Data pribadi Anda atau data milik instansi muncul di forum, kanal Telegram, situs jual beli data, atau dipakai orang lain untuk menipu. Data yang sudah tersebar tidak bisa ditarik kembali, jadi fokusnya menutup sumber kebocoran dan mencegah data itu disalahgunakan.
Tanda-tanda
- Ada unggahan atau iklan yang menawarkan data dengan contoh baris yang cocok dengan data instansi Anda.
- Anda dihubungi orang tak dikenal yang mengetahui NIK, alamat, atau data akun Anda.
- Layanan yang Anda pakai mengirim pemberitahuan kebocoran, atau email Anda tercantum di layanan pengecek kebocoran.
- Di sistem instansi: ada ekspor data besar, unduhan database, atau akses dari IP asing di log.
Lakukan sekarang
Untuk instansi (pemilik atau pengelola sistem):
- Simpan bukti: alamat unggahan, tangkapan layar, dan contoh data yang ditampilkan pelaku. Jangan membeli atau mengunduh berkas lengkapnya.
- Laporkan ke KUTIM-CSIRT sebelum mengubah apa pun di server.
- Amankan log aplikasi, web server, dan database dari periode yang dicurigai.
- Ganti password dan API key yang punya akses ke data itu, lalu nonaktifkan akun yang tidak dipakai.
- Cocokkan contoh data dengan sistem untuk memastikan sumber, cakupan, dan perkiraan waktunya.
- Siapkan pemberitahuan kepada pemilik data. Pasal 46 UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data menyampaikan pemberitahuan tertulis kepada subjek data dan lembaga paling lambat 3 × 24 jam.
Untuk perorangan:
- Ganti password akun yang datanya bocor dan akun lain yang memakai password sama.
- Aktifkan 2FA di email dan aplikasi keuangan.
- Waspadai telepon, SMS, atau pesan yang memakai data Anda supaya tampak resmi.
- Cek apakah email Anda tercantum dalam kebocoran yang sudah diketahui lewat Have I Been Pwned.
- Kalau NIK atau data rekening ikut bocor, pantau mutasi rekening dan beri tahu bank lewat call center resmi yang tertera di belakang kartu atau di aplikasi.
Jangan
- Jangan menyebarkan ulang tautan, sampel data, atau tangkapan layar berisi data utuh ke grup.
- Jangan bernegosiasi atau membayar penjual data.
- Jangan menghapus log atau mematikan server sebelum bukti disalin.
- Jangan menyebut jumlah atau jenis data yang bocor ke publik sebelum diperiksa, karena angka yang keliru sulit diralat.
Laporkan
Laporkan lewat /lapor dengan kategori Kebocoran / Pencurian Data. Pilih Kritis bila yang bocor berupa data pribadi warga dalam jumlah besar, data kependudukan, data kesehatan, atau kredensial sistem; Tinggi untuk kebocoran data instansi lainnya; Sedang untuk data pribadi Anda sendiri. Lampirkan tangkapan layar unggahan dengan data sensitif disamarkan, dan tulis alamat unggahannya di uraian. Bukti yang tidak bisa disamarkan dapat dikirim terenkripsi ke csirt@kutaitimurkab.go.id mengikuti panduan PGP.
Unggahan atau akun media sosial yang menjual data dapat diadukan juga ke aduankonten.id milik Kementerian Komunikasi dan Digital.
Supaya tidak terulang
- Batasi akses data sesuai peran, dan jangan beri hak ekspor kepada akun yang tidak memerlukannya.
- Jangan menaruh berkas data (Excel, SQL, backup) di folder web atau tautan berbagi publik.
- Catat dan simpan log akses ke data sensitif.
- Kumpulkan data seperlunya dan hapus yang sudah lewat masa retensinya.
- Uji keamanan aplikasi yang memegang data pribadi lewat permohonan layanan VA/pentest.