[비즈한국] SK Telecom017670, perusahaan telekomunikasi nomor 1 di Korea, tengah menjadi sorotan besar setelah insiden kebocoran data SIM berskala besar akibat peretasan. Meski SKT telah berusaha meredam situasi dengan menawarkan penggantian kartu SIM gratis dan layanan perlindungan SIM untuk mencegah kerugian, kecemasan pelanggan tak kunjung reda. Hal ini dikarenakan adanya kasus kejahatan penggandaan kartu SIM di masa lalu yang berujung pada kerugian finansial, seperti pencurian aset kripto. Di tengah meningkatnya kekhawatiran pelanggan karena tidak tahu kapan dan di mana kerugian tambahan akan terjadi, kami meninjau bagaimana peretasan berujung pada pencurian aset melalui putusan pengadilan terkait kejahatan penggandaan SIM yang terjadi antara tahun 2022 hingga 2024.
Dampak dari insiden peretasan informasi kartu SIM SKT yang terjadi pada 19 April terus meluas. Melalui pengumuman pada tanggal 25 lalu, SKT menyatakan, “Data pribadi seperti nama, alamat, dan nomor registrasi penduduk tidak ikut bocor.” Mengenai skala kerusakan, mereka menyatakan bahwa pihaknya “sedang menyelidiki penyebab dan skala insiden bersama otoritas terkait.”
SKT adalah operator telekomunikasi seluler nomor 1 di Korea. Berdasarkan data Kementerian Sains dan TIK, pangsa pasar mereka mencapai 45,3% pada akhir tahun 2024. SKT menyebutkan total pelanggan mereka sekitar 23 juta orang. Meskipun SKT belum mengungkapkan jumlah pasti yang terdampak, mengingat pangsa pasarnya, diperkirakan jumlahnya tidak sedikit. Anggota parlemen dari Partai Demokrat, Choi Min-hee, sempat mengumumkan bahwa informasi yang bocor mencapai ukuran 9,7 gigabyte (GB).
Seminggu setelah insiden bocornya data tersebut diketahui, kecemasan pelanggan masih tetap ada. Kekhawatiran akan menjadi korban kejahatan penggandaan kartu SIM semakin meningkat. 'Serangan penggandaan ilegal SIM' adalah modus kejahatan baru di mana informasi kartu SIM seseorang dikumpulkan melalui jalur ilegal, lalu SIM digandakan untuk mencuri aset keuangan, yang telah menjadi masalah di Korea dalam 3 tahun terakhir. Dibandingkan dengan penipuan keuangan seperti *phishing*, modus ini termasuk kejahatan yang belum terlalu dikenal luas.
Oleh karena itu, kami meninjau 3 putusan pengadilan pidana selama 3 tahun terakhir (2022-2024) terkait kejahatan penggandaan SIM untuk melihat bagaimana kebocoran informasi SIM berujung pada pencurian uang. Kejahatan ini dilakukan secara terorganisir hingga aset korban berhasil dicuri. Selain itu, komplotan kriminal tersebut juga mengamankan informasi pribadi korban, seperti nama dan nomor registrasi penduduk, selain informasi kartu SIM.
Modusnya terdiri dari tiga tahap utama. Pertama, komplotan tersebut mengumpulkan informasi SIM dan data pribadi pelanggan operator tertentu melalui jalur ilegal. Setelah menggandakan SIM dengan informasi yang didapat, mereka memasukkannya ke dalam ponsel kosong untuk memotong pesan verifikasi identitas dari berbagai situs. Dengan informasi verifikasi yang dicuri, mereka mengakses portal situs atau bursa aset kripto tempat akun korban berada, lalu melakukan pembayaran dalam jumlah kecil atau memindahkan aset kripto ke dompet lain.
Kasus terbaru terjadi pada Juni 2023, di mana aset kripto senilai sekitar 365 juta won dicuri. Mulai dari mengumpulkan informasi SIM korban hingga mencuri aset, perantara dikerahkan di setiap langkahnya. Komplotan bergerak secara berurutan mulai dari 'pengumpul informasi SIM' yang mengumpulkan data lewat peretasan, 'pengganti SIM' yang memasukkan SIM ganda ke perangkat lain dan mengubah informasi perangkat, 'pencuri informasi komunikasi' yang memotong pesan verifikasi, hingga 'pencuri aset kripto' yang mengakses akun bursa korban dan memindahkan asetnya. Komplotan ini beroperasi terutama di Tiongkok, serta di kota Gwangju dan Incheon.
Dalam kasus ini, perantara domestik menghubungkan alat pengganda SIM dan *router* ke laptop, kemudian komplotan di Tiongkok menggandakan SIM tersebut melalui program jarak jauh. Pencurian aset kripto dilakukan antara pukul 3 hingga 5 pagi. Ini adalah waktu di mana korban sulit menyadari adanya peretasan, dan bahkan jika menyadarinya, mereka sulit untuk merespons dengan segera.
Pada Februari 2022, ada juga kasus di mana komplotan kejahatan penggandaan SIM menyalahgunakan celah dalam prosedur verifikasi di situs operator seluler murah (*MVNO*) untuk menerbitkan SIM secara non-tatap muka. Mereka menggunakan sertifikat digital umum palsu untuk menembus prosedur verifikasi. Hal ini juga dimungkinkan karena komplotan tersebut sudah mengamankan nama dan nomor registrasi penduduk korban.
SKT sendiri pernah menjadi target serangan penggandaan SIM ilegal. Dalam kasus yang terjadi pada Mei-Juni 2022, menurut putusan pengadilan, komplotan kriminal menggandakan SIM milik lebih dari 15 pelanggan SKT.
Setelah insiden kali ini, SKT menyatakan bahwa penggandaan SIM atau pencurian perangkat secara ilegal sulit terjadi. Penjelasan mereka adalah bahwa 'Sistem Pencegahan Otentikasi Abnormal (FDS)' yang mendeteksi penggunaan SIM ilegal sudah beroperasi, dan jika pelanggan mendaftar layanan perlindungan SIM, pencegahan kerugian yang setara dengan penggantian SIM dapat dilakukan. Layanan perlindungan SIM adalah layanan yang memblokir akses ke layanan telekomunikasi jika menggunakan SIM ganda di perangkat lain. SKT menyatakan bahwa layanan ini dikembangkan pada tahun 2023 bekerja sama dengan Satuan Investigasi Siber Kepolisian Seoul.
Dilihat dari yurisprudensi sebelumnya, komplotan kejahatan memperoleh informasi pribadi korban melalui berbagai cara untuk mencuri aset keuangan. Karena SKT menyatakan bahwa data pribadi tidak bocor, kerugian sekunder saat ini belum diketahui. Pada tanggal 27, SKT menuai kritik karena menyatakan, “Jika ada kasus kerugian akibat penggandaan SIM ilegal bagi pelanggan layanan perlindungan SIM, SKT akan bertanggung jawab dan memberi kompensasi,” di mana target kompensasi 100% hanya dibatasi pada pengguna layanan tersebut. Pihak SKT menyampaikan, “Itu adalah upaya untuk menekankan stabilitas layanan perlindungan SIM dan mendorong pendaftaran.”
Para ahli juga berpendapat bahwa selama sistem keamanan SKT berfungsi dengan baik, kemungkinan kerugian finansial kecil. Yeom Heung-yeol, profesor kehormatan Departemen Keamanan Informasi di Soonchunhyang University, menganalisis, “Secara teknis, risiko pencurian aset keuangan tidak besar. Informasi kartu SIM pada dasarnya terdiri dari tiga hal: pengenal pelanggan unik (IMSI), kunci autentikasi SIM, dan pengenal unik perangkat (IMEI). Saya tahu bahwa di antaranya, IMEI tidak bocor. Jika demikian, koneksi ponsel ganda dapat diblokir melalui fungsi FDS.”
Menurut hasil investigasi awal tim gabungan pemerintah-swasta Kementerian Sains dan TIK, selain IMEI, 4 jenis data yang dapat digunakan untuk penggandaan SIM seperti IMSI dan nomor telepon, serta 21 jenis informasi manajemen SKT yang diperlukan untuk pemrosesan informasi SIM, telah bocor.
Namun, Prof. Yeom menekankan perlunya kewaspadaan. Ia menyarankan, “Risiko kerugian tambahan yang rendah adalah asumsi dengan syarat sistem perlindungan pengguna dan FDS SKT berfungsi dengan baik. Pelanggan sebaiknya mengganti kartu SIM atau mendaftar layanan perlindungan SIM untuk mengantisipasi kejadian yang tidak diinginkan.”