KALIMANTAN SELATAN — Tiga akun perusahaan teknologi Denmark yang memiliki akses resmi ke sistem kependudukan negara itu dibobol peretas karena memakai password "123456", mengakibatkan data 8,8 juta orang terekspos. Insiden ini melibatkan Pays ApS, penyedia layanan validasi data pelanggan bisnis, dengan sekitar 14 juta pencarian otomatis dijalankan antara 10 dan 20 September. Kasus ini menyoroti lemahnya praktik keamanan akun administrator di sektor yang menangani data sensitif.
Pays ApS memegang izin resmi untuk mengakses sistem kependudukan Denmark guna keperluan validasi data pelanggan korporat. Izin itulah yang disalahgunakan setelah peretas berhasil masuk ke setidaknya tiga akun perusahaan, termasuk akun administrator, dengan kombinasi password yang identik.
Informasi yang terekspos mencakup nama, alamat, dan nomor identitas penduduk. Direktur Pays ApS mengakui bahwa akses tersebut telah dieksploitasi pihak luar tanpa otorisasi.
Pengakuan Peretas dan Modus Serangan
Kepada media Denmark Politiken, peretas mengaku menemukan tiga akun milik perusahaan yang menjadi sasaran memakai password "123456" yang sama. Salah satu di antaranya berstatus akun administrator.
Dari akun itulah pelaku menembus sistem melalui perusahaan yang memang memiliki izin mengakses data kependudukan. Menurut dokumen yang dilihat TV2, pelaku menjalankan sekitar 14 juta pencarian otomatis dalam rentang 10 hingga 20 September.
Peretas mengklaim tidak berniat menjual atau membocorkan informasi yang diperoleh. Klaim itu belum bisa diverifikasi, dan belum ada jaminan data tersebut benar-benar tidak akan disalahgunakan di kemudian hari.
Bagaimana Insiden Terdeteksi
Aktivitas tidak wajar baru terendus setelah seorang pegawai kementerian menemukan tagihan yang menunjukkan lonjakan pencarian data. Temuan itu memicu investigasi lebih lanjut dan mengungkap skala akses yang terjadi.
Jeda antara awal pencarian otomatis dan deteksi menunjukkan bahwa pemantauan anomali pada akun dengan hak akses tinggi belum berjalan cukup ketat. Sistem peringatan dini berbasis pola pencarian semestinya bisa menangkap lonjakan seperti ini lebih cepat.
Pelajaran untuk Pengelola Data Sensitif
Kasus ini menegaskan bahwa pembatasan akses dan teknologi keamanan canggih tidak cukup jika kredensial akun administrator mudah ditebak. Password sederhana yang dipakai berulang di beberapa akun menjadi titik lemah paling dasar.
Praktik yang direkomendasikan untuk mengurangi risiko serupa mencakup penggunaan password unik untuk setiap akun, penerapan autentikasi multifaktor, serta pembatasan hak akses sesuai kebutuhan peran. Audit berkala terhadap akun istimewa dan pemantauan volume kueri juga menjadi lapisan pertahanan yang penting.
Bagi pengguna di Indonesia, insiden ini relevan dengan kewajiban pengendali data di bawah UU Perlindungan Data Pribadi, termasuk penerapan langkah teknis dan organisasi untuk melindungi data dari akses tidak sah. Regulator di sektor keuangan dan kesehatan dapat merujuk pola serangan ini saat mengevaluasi kepatuhan mitra teknologi mereka.
Hingga kini belum ada keterangan resmi soal sanksi bagi Pays ApS maupun kemungkinan penyelidikan pidana terhadap pelaku. Perkembangan berikutnya akan menentukan seberapa jauh dampak insiden ini terhadap kepercayaan publik Denmark pada pengelolaan data kependudukannya.
