Hack Registry Nasional Denmark, Password Lemah Jadi Celah

Telset.id – Sebuah insiden kebocoran data besar-besaran menimpa Denmark setelah seseorang yang mengaku bertanggung jawab atas peretasan registry nasional negara itu mengklaim berhasil mengakses sistem hanya bermodal password lemah milik sebuah perusahaan IT. Pemerintah Denmark telah mengonfirmasi insiden ini, dengan 8,8 juta record dilaporkan diambil secara ilegal dari Danish Central Register of Persons (CPR). Kasus ini menjadi pengingat keras bahwa keamanan sebuah sistem hanya sekuat mata rantai terlemahnya, terutama ketika akses diberikan kepada pihak ketiga.

Berdasarkan laporan The Register, perusahaan IT dan layanan data bernama Pays ApS menjadi sumber celah dalam insiden ini. Pays ApS adalah perusahaan yang memungkinkan pelanggannya mengakses dan mereferensikan data dari CPR. Peretas yang mengaku bertanggung jawab menyebut salah satu akun yang berhasil mereka bobol hanya dilindungi oleh password ‘123456’. Kombinasi password yang sangat mudah ditebak itu menjadi pintu masuk bagi peretas untuk mengeksfiltrasi data dalam jumlah masif.

Pemerintah Denmark mengungkapkan bahwa pelanggaran ini baru terdeteksi 12 hari setelah kejadian. Deteksi tersebut muncul ketika sebuah invoice atau tagihan memperlihatkan adanya aktivitas tidak wajar dalam jumlah besar dari perusahaan tersebut. Temuan ini menunjukkan bahwa sistem pemantauan akses terhadap database sensitif masih memiliki keterlambatan yang signifikan dalam mendeteksi anomali.

Meskipun pemerintah Denmark tidak secara resmi menyebut perusahaan mana yang dieksploitasi, Managing Director Pays ApS, Sophie Laursen, mengonfirmasi bahwa peretas memang menggunakan akses perusahaan tersebut ke database untuk mengambil data. Pengakuan ini menegaskan bahwa insiden bukan terjadi karena pemerintah Denmark dijebol secara langsung, melainkan melalui celah pada akun pihak ketiga yang memiliki hak akses resmi.

Menariknya, peretas yang mengaku bertanggung jawab menyatakan bahwa mereka tidak berniat menjual atau membocorkan informasi yang telah diambil. Meski demikian, skala data yang terekspos tetap membuat insiden ini menjadi salah satu yang serius, mengingat CPR pada dasarnya memuat informasi hampir seluruh warga negara Denmark. Seharusnya, sistem dengan tingkat sensitivitas setinggi itu mewajibkan setidaknya password yang lebih rumit, atau bahkan autentikasi dua faktor.

Pola Kerentanan Database Pemerintah di Berbagai Negara

Insiden di Denmark bukan kasus pertama yang membuka kelemahan perlindungan database pemerintah. Indonesia pernah mengalami situasi serupa ketika serangan ransomware pada 2024 memengaruhi lebih dari 230 instansi publik, dan saat itu terungkap bahwa tidak tersedia backup yang memadai. Sementara itu, Korea Selatan kehilangan 858 terabyte data setelah kebakaran katastrofik di sebuah pusat data pemerintah pada tahun lalu. Rangkaian peristiwa ini menunjukkan bahwa tantangan perlindungan data pemerintah bersifat global dan berulang.

Dalam konteks ancaman yang terus berkembang, pemanfaatan kecerdasan buatan oleh pelaku kejahatan siber turut menjadi perhatian. Serangan terhadap bank-bank Korea Selatan dan pemerintah Taiwan dilaporkan dilakukan dengan bantuan AI agent. Peretas juga dilaporkan menembus OpenAI menggunakan tools Claude, yang memperlihatkan betapa potennya AI sebagai alat peretasan di tangan yang salah. Namun, dengan password seperti ‘123456’, peretas potensial sebenarnya tidak memerlukan tools AI apa pun untuk menembus sistem yang lemah.

Kasus ini mempertegas bahwa akses pihak ketiga terhadap data sensitif memerlukan pengawasan berlapis. Sebuah perusahaan yang diberi hak untuk menarik data dalam jumlah besar dari registry nasional idealnya menjalani audit keamanan siber secara proaktif, bukan hanya mengandalkan kontrol akses dasar. Ketika satu akun dengan password sederhana dapat membuka jalan bagi eksfiltrasi jutaan record, maka seluruh model tata kelola akses perlu dievaluasi ulang.

Pola serangan yang menyasar celah pada rantai pasok digital juga semakin sering terjadi. Sebelumnya, terdapat kasus di mana aplikasi HR dan Payroll dipalsukan untuk mencuri akses remote karyawan, dengan 291 kali unduhan tercatat. Insiden semacam ini menegaskan bahwa pelaku kejahatan siber kerap memilih titik terlemah dalam ekosistem, termasuk layanan pihak ketiga yang dipercaya memegang akses.

Di sisi lain, penegakan hukum terhadap kejahatan siber lintas negara juga terus berlangsung. Seorang hacker Iran diekstradisi ke Amerika Serikat atas dugaan kampanye peretasan yang didukung negara dengan kerugian mencapai $3,4 miliar. Kasus ini menunjukkan bahwa meskipun atribusi dan penindakan membutuhkan waktu, tekanan hukum terhadap pelaku tetap menjadi bagian penting dari upaya pencegahan.

Kembali ke kasus Denmark, pemerintah diperkirakan akan merombak kebijakan password mereka dalam waktu dekat. Hal ini terutama mengingat AI kini mempermudah dan mempercepat peretas dalam mencapai target mereka. Namun, seperti yang ditunjukkan insiden ini, tidak semua serangan memerlukan teknologi canggih. Sebuah password dengan enam digit berurutan sudah cukup untuk membuka akses ke data jutaan orang, sebuah fakta yang menuntut perhatian serius pada kebijakan keamanan dasar.

Bagi pengguna dan organisasi, pelajaran dari insiden ini bersifat mendasar. Kekuatan proteksi data tidak ditentukan oleh kompleksitas sistem di permukaan, melainkan oleh disiplin pada lapisan paling sederhana seperti manajemen password dan pemantauan aktivitas akses. Ketika sebuah registry nasional yang memuat data hampir seluruh populasi dapat diakses melalui kredensial lemah, maka setiap organisasi yang memegang data sensitif perlu meninjau ulang praktik keamanan mereka, termasuk terhadap akses yang diberikan kepada pihak ketiga.

[ META_DESCRIPTION]
Hack registry nasional Denmark bocor 8,8 juta record. Celahnya? Password ‘123456’ milik perusahaan IT Pays ApS. Ini fakta dan pelajarannya.