[비즈한국] Terjadi insiden kebocoran data pribadi berskala besar di Lotte Card. Dikonfirmasi bahwa jumlah pelanggan yang terdampak mencapai 2,97 juta orang, dengan volume data yang bocor melebihi 200 gigabita (GB). Segera setelah hasil investigasi final keluar, Lotte Card merilis permohonan maaf kepada publik, mengumumkan langkah-langkah dukungan pelanggan, dan berjanji untuk memperluas investasi dalam perlindungan informasi. Meski Lotte Card menanggapi dengan cukup transparan terkait proses insiden tersebut, badai kritik diperkirakan akan menerjang mengingat fakta bahwa kebocoran data berskala besar akhirnya terungkap, bertolak belakang dengan pernyataan awal mereka yang menyebutkan 'tidak ada kebocoran informasi pribadi'.
Data pribadi sebanyak 2,97 juta pelanggan Lotte Card bocor akibat insiden peretasan. Volume informasi yang keluar mencapai lebih dari 200GB. CEO Lotte Card, Cho Jwa-jin, menyampaikan hal tersebut secara langsung melalui pengarahan insiden pada tanggal 18 September. Lotte Card saat ini tengah memberikan informasi mengenai insiden peretasan dan langkah-langkah yang diambil kepada 2,97 juta pelanggan yang terdampak melalui pesan singkat.
Awalnya, Lotte Card melaporkan kepada otoritas keuangan bahwa volume data yang bocor hanya sekitar 1,7GB, namun hasil investigasi mengungkap adanya kebocoran tambahan sebesar 200GB. Menurut Lotte Card, peretasan terjadi antara tanggal 13 hingga 27 Agustus. Informasi yang bocor adalah data yang dibuat dan dikumpulkan selama proses pembayaran melalui server daring yang diretas, mencakup: △Informasi penghubung (CI, informasi identifikasi pribadi yang dienkripsi) △Kode pembayaran virtual △Layanan pembayaran mudah, dan lainnya.
Masalahnya adalah terdapat 280.000 pelanggan yang berisiko mengalami transaksi ilegal. Sebanyak 280.000 orang ini adalah pelanggan yang mendaftarkan kartu baru pada layanan pembayaran pay atau perdagangan daring antara tanggal 22 Juli hingga 27 Agustus. Data pribadi yang bocor mencakup △Nomor kartu △Tanggal kedaluwarsa △Kode CVC.
Namun, Lotte Card menjelaskan bahwa informasi yang diperlukan untuk duplikasi kartu fisik tidak termasuk dalam kebocoran, sehingga transaksi ilegal secara luring (offline) dengan data tersebut tidak mungkin dilakukan. Untuk pembayaran daring, mereka menjelaskan bahwa transaksi ilegal sulit dilakukan karena adanya prosedur sekunder seperti otentikasi SMS dan otentikasi biometrik. Kendati demikian, terdapat kemungkinan penggunaan ilegal melalui metode 'Key In' (memasukkan informasi kartu langsung ke terminal), meskipun sejauh ini belum ada kasus yang dilaporkan.
Lotte Card pertama kali menemukan jejak intrusi server pada tanggal 26 Agustus. Setelah itu, pada tanggal 31 Agustus, mereka mendeteksi upaya pengeluaran informasi ke luar dari server pembayaran daring dan melaporkannya kepada otoritas keuangan pada tanggal 1 September pukul 10.00 pagi. Namun, peretas dikonfirmasi pertama kali menanamkan kode berbahaya pada server pembayaran daring pada tanggal 13 Agustus. Hal ini menimbulkan kritik mengenai lemahnya keamanan, mengingat Lotte Card baru menyadari insiden tersebut setelah sekitar dua minggu berlalu.
Kronologi kejadiannya adalah sebagai berikut: Penyerang luar (peretas) membocorkan file sebesar 1,7GB pada tanggal 14-15 Agustus, kemudian mencuri 2.708 file log (tidak termasuk duplikat) yang dihasilkan selama proses pemrosesan pembayaran daring antara tanggal 15-27 Agustus. Sebanyak 56% dari file tersebut terenkripsi, sementara 44% sisanya bocor dalam bentuk teks biasa (plain text). Masalahnya terletak pada file 1,7GB yang bocor pada tanggal 14-15 Agustus; karena peretas menghapus file di dalam server setelah pencurian, Lotte Card tidak dapat memastikan isi dari file tersebut.
Kepala Divisi Perlindungan Informasi Lotte Card, Choi Yong-hyuk, menjawab, "Metode yang digunakan berbeda dari intrusi pada umumnya. Selain itu, kami terlambat menyadari karena server yang diretas hampir tidak memiliki aktivitas penggunaan. Peretas tidak mengambil data dalam jumlah besar sekaligus, melainkan sedikit demi sedikit, sehingga memakan waktu lama." Mengenai alasan mengapa dibutuhkan waktu lama untuk memahami konten setelah insiden ditemukan, CEO Cho menjelaskan, "Waktu diperlukan untuk memulihkan file terenkripsi sebesar 200GB, mencocokkannya dengan tiap pelanggan, dan mengklasifikasikan informasi. Proses ini baru selesai sekitar pukul 6 sore pada tanggal 17."
Pihak penyerang dalam peretasan ini belum ditemukan. CEO Cho Jwa-jin menjawab, "Tim investigasi siber sedang melacak IP atau penyedia layanan cloud. Berdasarkan metode peretasannya, kami menduga dilakukan oleh kelompok peretas luar negeri, namun belum dapat dipastikan."
Lotte Card mengumumkan langkah-langkah dukungan dan perlindungan pelanggan, antara lain: △Penggantian kerugian penuh jika terjadi transaksi ilegal △Prioritas penerbitan ulang kartu △Penambahan staf pusat konsultasi 24 jam khusus insiden peretasan △Cicilan 10 bulan tanpa bunga tanpa batas jumlah bagi korban kebocoran hingga akhir tahun △Penyediaan layanan kompensasi kerugian keuangan 'Credit Care' secara gratis △Layanan notifikasi penggunaan kartu gratis. Khusus bagi 280.000 pelanggan yang berisiko mengalami transaksi ilegal, mereka menyatakan akan membebaskan biaya tahunan kartu tahun berikutnya tanpa batas saat kartu diterbitkan ulang.
Investasi perlindungan informasi juga akan ditingkatkan. Rencananya, investasi sebesar 110 miliar won akan dikucurkan dalam 5 tahun ke depan, dan porsi anggaran perlindungan informasi terhadap anggaran TI akan dinaikkan hingga 15%. Menanggapi kritik bahwa masalah ini timbul akibat penghematan biaya, CEO Cho menjawab, "Kami telah secara konsisten meningkatkan tenaga kerja internal dan investasi perlindungan informasi, serta melakukan tindakan pencegahan seperti menggunakan white hacker, namun tampaknya hal tersebut masih belum cukup."
Sementara itu, Lotte Card tampaknya sulit untuk menghindari sanksi dari otoritas keuangan. Pada tahun 2014, KB Kookmin Card, NH Nonghyup Card, dan Lotte Card juga pernah menerima sanksi berupa penghentian operasi dan denda dari Komisi Jasa Keuangan (FSC) akibat kasus kebocoran data pribadi. Selain itu, pada tanggal 16, Ketua Layanan Pengawas Keuangan (FSS) yang baru, Lee Chan-jin, dalam pertemuan dengan CEO perusahaan keuangan khusus kredit, menyebutkan, "Sektor kartu menangani informasi seluruh rakyat, jadi kami akan menerapkan prinsip toleransi nol. Saya minta CEO untuk turun langsung memimpin perencanaan dan pelaksanaan langkah keamanan." Ia menambahkan, "FSS akan melakukan manajemen dan pengawasan yang ketat, dan kami akan meminta pertanggungjawaban yang tegas dan berat atas setiap pelanggaran."
CEO Cho Jwa-jin tampaknya telah memutuskan untuk mundur dari jabatannya sebelum masa jabatan berakhir sebagai bentuk tanggung jawab atas situasi ini. Pada tanggal 18, CEO Cho menyatakan, "Saya akan menyelesaikan reformasi SDM secara besar-besaran hingga akhir tahun, termasuk diri saya sendiri sebagai CEO. Akan ada reformasi di tingkat yang dapat diterima oleh pasar, termasuk pengunduran diri dari jabatan CEO." Ia menambahkan, "Saya akan melakukan yang terbaik dengan tekad bulat bahwa misi saya sebagai CEO Lotte Card adalah untuk meniadakan kerugian pelanggan dan meminimalkan ketidaknyamanan sebagai tugas terakhir saya."
CEO Cho menjabat sebagai CEO Lotte Card sejak Maret 2020 dan berhasil menjabat selama tiga periode hingga Maret 2022 dan Maret 2024. Masa jabatan per periode adalah 2 tahun, dan masa jabatan saat ini berlangsung hingga Maret 2026.