Hack Registry Nasional Denmark, Password “123456” Jadi Biang Kerok

Telset.id – Registry nasional Denmark atau Danish Central Register of Persons (CPR) dilaporkan dibobol, dan penyebab utamanya disebut berasal dari password lemah milik sebuah perusahaan IT. Seseorang yang mengaku bertanggung jawab atas insiden ini mengklaim bahwa salah satu akun yang mereka tembus hanya dilindungi password “123456”. Kabar ini menjadi peringatan serius bagi siapa pun yang menyimpan data sensitif di balik kredensial selemah itu.

Menurut laporan The Register, Pays ApS menjadi pintu masuk insiden tersebut. Pays ApS adalah perusahaan layanan IT dan data yang memungkinkan pelanggannya mengakses dan mereferensikan data dari CPR. Pemerintah Denmark sendiri telah mengonfirmasi adanya pembobolan ini. Seorang pejabat pemerintah menyebutkan bahwa pelanggaran baru ditemukan 12 hari setelah kejadian, ketika sebuah invoice memperlihatkan aktivitas yang tidak wajar dari perusahaan tersebut.

Pemerintah Denmark menyatakan bahwa 8,8 juta catatan telah diambil secara ilegal. Meski demikian, pihak yang mengaku sebagai pelaku mengklaim tidak berniat menjual atau membocorkan informasi tersebut. Pemerintah tidak menyebutkan perusahaan mana yang dieksploitasi, tetapi managing director Pays ApS, Sophie Laursen, mengonfirmasi bahwa pelaku menggunakan akses perusahaan ke basis data untuk mengekstraksi data tersebut.

Insiden ini memperlihatkan bahwa keamanan sebuah sistem hanya sekuat mata rantai terlemahnya. Basis data Denmark itu akhirnya bisa dikompromikan lewat password yang dipilih dengan buruk oleh pengguna pihak ketiga. Mengingat CPR pada dasarnya memuat informasi hampir seluruh warga negara Denmark, seharusnya layanan semacam itu setidaknya mewajibkan password yang lebih rumit, jika bukan autentikasi dua faktor.

Kasus serupa bukan pertama kali terjadi. Indonesia sempat menyadari bahwa mereka tidak punya cadangan data ketika serangan ransomware pada 2024 memengaruhi lebih dari 230 instansi publik. Sementara itu, Korea Selatan kehilangan 858 terabyte data setelah kebakaran catastrophic di sebuah pusat data pemerintah pada tahun lalu. Pola insiden seperti ini menunjukkan bahwa perlindungan basis data pemerintah kerap menyisakan celah mendasar.

Sejumlah insiden lain juga menegaskan bahwa ancaman siber terus bergerak. Serangan terhadap bank-bank Korea Selatan dan pemerintah Taiwan dilaporkan dilakukan dengan bantuan AI agent. Bahkan, hacker dilaporkan sempat menembus OpenAI menggunakan tools Claude, yang memperlihatkan betapa kuatnya AI sebagai alat hacking di tangan yang salah. Namun, dengan password seperti “123456”, pelaku potensial tidak perlu memakai alat AI apa pun untuk menembus sistem yang terlindungi dengan lemah.

Sejumlah kasus peretasan lain juga sempat mencuat, mulai dari hacker Iran yang diekstradisi ke AS hingga insiden palsukan aplikasi HR yang mencuri akses remote karyawan. Semua ini menegaskan bahwa kredensial yang lemah tetap menjadi celah paling sederhana yang bisa dimanfaatkan.

Dari sisi tata kelola, model Pemerintah Denmark yang menjual akses tak terbatas kepada perusahaan mana pun yang bersedia membayar, tanpa mewajibkan audit keamanan siber proaktif, dinilai tidak bertanggung jawab. Dalam dunia di mana informasi tentang tempat tinggal seseorang sudah pernah disalahgunakan oleh informan yang melayani regu pembunuh, dan kemungkinan juga dieksfiltrasi oleh layanan intelijen Rusia untuk menyasar CEO perusahaan manufaktur senjata serta personel militer berpangkat tinggi, celah sekecil apa pun bisa berdampak besar.

Dari sudut pandang hukum, “hacking” ini pada prinsipnya adalah persoalan antara pelaku dan Pays ApS, bukan antara pelaku dan pemerintah, karena pemerintah hanya menyajikan catatan CPR dengan imbalan pembayaran yang diharapkan. Perusahaan pun bertanggung jawab membayar biaya pencarian 8,8 juta catatan tersebut dan perlu mencari pemulihan kepada pelaku.

Sebagai penutup, insiden ini menegaskan bahwa password lemah tetap menjadi titik paling rapuh dalam rantai keamanan data. Pemerintah Denmark diperkirakan akan merombak kebijakan password dalam waktu dekat, terutama ketika AI membuat pekerjaan hacker jadi lebih mudah dan efisien. Namun dengan password seperti “123456”, tidak diperlukan AI untuk membobol sistem yang terlindungi dengan buruk.

Bagi pengguna dan profesional di Indonesia, kasus ini menjadi pengingat bahwa kredensial sederhana pada layanan pihak ketiga bisa membuka akses ke data dalam skala jutaan. Sejumlah insiden lain di Tanah Air, termasuk yang melibatkan aplikasi HR dan payroll palsu, menunjukkan bahwa ancaman serupa bisa menyasar siapa saja yang lengah terhadap keamanan akun.

[ META_DESCRIPTION]
Registry nasional Denmark dibobol lewat password “123456” milik perusahaan IT Pays ApS. Sebanyak 8,8 juta catatan warga diambil secara ilegal.