Pakar keamanan siber sarankan pengguna Tokopedia ganti sandi
Pakar keamanan siber, Pratama Persadha mengungkapkan bahwa kejadian peretasan yang dialami Tokopedia seharusnya direspon secara cepat oleh perusahaan dan juga para penggunanya.
Tokopedia dilaporkan mengalami peretasan, seperti dalam cuitan akun twitter @underthebreach. Diperkirakan terdapat 91 juta akun dan 7 juta akun merchant, bukan 15 juta seperti diinfokan sebelumnya. Mengingat pada tahun 2019 lalu, Tokopedia telah mengungkapkan bahwa terdapat sekitar 91 juta akun aktif di platformnya. Artinya, hampir semua akun Tokopedia saat ini berhasil diambil datanya oleh peretas.
Diketahui pelaku menjual data tersebut di darkweb berupa user ID, email, nama lengkap, tanggal lahir, jenis kelamin, nomor handphone, dan password yang masih ter-hash atau tersandi. Semua datanya dijual dengan harga USD5.000 atau setara Rp74 juta. Bahkan ada 14.999.896 akun Tokopedia yang datanya saat ini bisa didownload.
Kini pakar keamanan siber, Pratama Persadha telah mengungkapkan bahwa kejadian peretasan yang dialami Tokopedia seharusnya direspon secara cepat oleh perusahaan dan juga para penggunanya. Pasalnya ancaman penipuan dan pengambilalihan akun bisa terjadi kapan saja.
Pratama menjelaskan bahwa peretas Whysodank pertama kali mempublikasikan hasil peretasan di raid forum pada Sabtu (2/5). Kemudian peretas ShinyHunters memposting thread penjualan 91 juta akun Tokopedia di forum darkweb bernama EmpireMarket. Dari sinilah akun @underthebreach mempublikasikan peretasan Tokopedia ke publik Twitter.
“Memang data untuk password masih dienkripsi, namun tinggal menunggu waktu sampai ada pihak yang bisa membuka. Itulah kenapa pelaku mau melakukan share gratis beberapa juta akun untuk membuat semacam sandiwara siapa yang berhasil membuka kode acak pada password,” kata chairman Lembaga Riset SIber Indonesia CISSReC (Communication & Information System Security Research Center), Pratama Persadha.
Pratama juga menambahkan bahwa meski password masih dalam bentuk acak, namun data lain sudah ''plain" alias terbuka. Artinya semua peretas bisa memanfaatkan data tersebut untuk melakukan penipuan dan pengambilalihan akun-akun di internet. Misalnya mengirimkan link phising maupun upaya social engineering lainnya.
“Bila nantinya password sudah berhasil dibuka oleh pelaku, pastinya salah satu yang akan dilakukan adalah take over akun. Lalu pelaku secara random akan mencoba melakukan take over akun media sosial dan marketplace lainnya, karena ada kebiasaan penggunaan password yang sama untuk semua platform,” kata Pratama Persadha.
Pratama menggarisbawahi yang bisa dilakukan pengguna Tokopedia adalah mengganti password dan mengaktifkan OTP (one time password) lewat SMS. Lalu mengganti semua password dari akun media sosial dan platform marketplace selain Tokopedia.
“Akibat peretasan Tokopedia ini bisa menjalar ke akun media sosial dan platform lainnya bila menggunakan email dan password yang sama. Terutama bagi admin akun media sosial pemerintah dan lembaga harus cepat melakukan pengamanan akun sebagai langkah antisipasi,” kata Pratama Persadha.
Pratama turut menjelaskan saat mendapatkan sampel data dari forum, belum ada data kartu kredit maupun debet yang disebar pelaku. Diharapkan data kartu tersebut tidak ikut menjadi salah satu yang berhasil diretas.
“Pihak Tokopedia harus bertanggungjawab atas kejadian ini karena data penggunanya diambil dan diperjualbelikan. Pihak Tokopedia wajib secara berulang-ulang, dengan menggunakan segala sarana media yang ada, mensosialisasikan apa saja yang harus dilakukan oleh para penggunanya, seperti ganti password akun dan mengaktifkan OTP, sampai semua penggunanya menyadari kebocoran ini dan mau mengganti passwordnya,” kata Pratama Persadha.
