[비즈한국] Peretas yang membobol sistem 'Ttareungi', layanan sepeda umum di Seoul, dan mencuri data pribadi pengguna dalam jumlah besar, ternyata adalah remaja. Meski salah satu pelaku mengaku melakukan aksi tersebut untuk “memamerkan kemampuan”, insiden ini menyisakan celah yang sulit hanya dikategorikan sebagai kenakalan 'hacker muda'. Hal ini dikarenakan akses tersebut tidak menggunakan teknik penetrasi yang canggih, melainkan memanfaatkan kerentanan struktur server yang memungkinkan informasi diakses tanpa perlu verifikasi pengguna.
Penyelidikan saat ini telah diperluas hingga mencakup tanggung jawab manajemen Korporasi Fasilitas Seoul (Seoul Facilities Corporation) selaku operator, dan tahap investigasi awal (sebelum penetapan tersangka resmi) sedang berlangsung. Muncul kritik bahwa alih-alih menyalahkan kelalaian individu, desain keamanan dan sistem pemantauan di seluruh platform publik perlu dievaluasi kembali.
Menurut Badan Kepolisian Metropolitan Seoul, mereka dituduh menyusup ke server Ttareungi selama dua hari sejak 28 Juni 2024, saat mereka masih duduk di bangku SMP, dan mengunduh informasi sekitar 4,62 juta akun pengguna. Data yang bocor meliputi ID, nomor telepon, alamat email, alamat tempat tinggal, tanggal lahir, jenis kelamin, dan berat badan, namun tidak mencakup nama lengkap atau nomor registrasi penduduk.
Pada saat itu, sempat terjadi serangan DDoS yang menargetkan server aplikasi Ttareungi, yang menyebabkan aplikasi tersebut down selama sekitar 80 menit, sehingga Pemerintah Kota Seoul melaporkan gangguan tersebut ke Kementerian Dalam Negeri dan Keamanan. Hingga saat ini, belum ada bukti bahwa data pribadi tersebut telah disebarkan kembali atau digunakan untuk keuntungan finansial.
Kedua pelaku diketahui saling mengenal melalui komunitas online dan media sosial, namun penyelidikan menunjukkan mereka belum pernah bertemu secara langsung. Percakapan Telegram yang diperoleh selama proses penyelidikan memuat bukti persekongkolan kejahatan tersebut. Setelah menyadari celah pada server, salah satu pelaku menyarankan, "Mari kita unduh semuanya," dan mereka membagi peran untuk mengumpulkan informasi. Mereka menyatakan bahwa mereka terbiasa tertarik pada bidang keamanan siber dan mempelajari teknologi terkait secara otodidak.
Kasus ini terungkap bukan melalui audit internal, melainkan saat polisi sedang menyelidiki serangan siber terhadap perusahaan mobilitas berbagi lainnya. Penyelidikan meluas setelah file data anggota dalam jumlah besar ditemukan saat analisis forensik perangkat elektronik milik pelaku. Salah satu pelaku ditangkap pada Oktober 2024, dan rekannya diidentifikasi melalui pelacakan akun Telegram, lalu ditangkap pada Januari tahun ini.
Polisi telah mengajukan surat perintah penangkapan dua kali terhadap pelaku yang dianggap sebagai otak di balik aksi ini, namun jaksa tidak menuntutnya dengan mempertimbangkan status mereka sebagai pelanggar hukum anak.
Metode penyusupan yang ditemukan dalam penyelidikan lebih mengarah pada pemanfaatan kelemahan pengaturan server yang memungkinkan pengambilan informasi tanpa verifikasi pengguna atau otorisasi khusus, alih-alih menggunakan teknik yang canggih.
Jalur penyusupan dilakukan dengan memanfaatkan kelemahan struktural yang relatif sederhana. Mengingat jutaan data berhasil dicuri dalam dua hari, hal ini memicu perdebatan mengenai apakah perangkat kontrol akses untuk pengambilan data dalam jumlah besar dan sistem pemantauan untuk mendeteksi tanda-tanda abnormal sudah memadai atau belum.
Penyelidikan terhadap Korporasi Fasilitas Seoul sebagai operator juga sedang dilakukan. Korporasi tersebut dikritik karena tidak mengambil tindakan apa pun meskipun telah mengetahui adanya peretasan pada tahun 2024. Menurut Pemerintah Kota Seoul, setelah kejadian tersebut, perusahaan penyedia jasa manajemen server cloud menyampaikan laporan mengenai indikasi kebocoran data pribadi kepada Korporasi Fasilitas Seoul pada Juli di tahun yang sama. Namun, pihak korporasi membiarkannya tanpa melakukan tindakan lanjutan sesuai hukum, seperti melapor ke Komisi Perlindungan Informasi Pribadi atau memberikan pemberitahuan kepada warga. Polisi saat ini sedang melakukan investigasi awal terhadap pihak-pihak terkait, terutama mengenai potensi pelanggaran UU Perlindungan Informasi Pribadi.
Pengelola langsung manajemen data pribadi aplikasi Ttareungi adalah Korporasi Fasilitas Seoul, sementara Pemerintah Kota Seoul bertindak sebagai lembaga pengawas. Mengingat kasus ini merupakan proses untuk menentukan apakah sistem kontrol akses, manajemen otoritas, dan sistem respons peretasan pada platform publik sudah tepat secara kelembagaan, kemungkinan besar hal ini akan mengarah pada diskusi perbaikan sistem daripada sekadar menyalahkan kelalaian karyawan individu.
Komisi Perlindungan Informasi Pribadi juga telah memulai penyelidikan terkait setelah menerima laporan kebocoran dari polisi pada tanggal 30 bulan lalu. Melalui penyelidikan ini, detail kronologi kecelakaan, kepastian kebocoran data, pelanggaran hukum terkait, serta lingkup spesifik kelemahan teknis diharapkan dapat terungkap.
Kasus ini terjadi sekitar 1 tahun 8 bulan yang lalu, namun baru diketahui publik ketika polisi yang menyelidiki kasus serangan siber lain menemukan file data anggota saat menganalisis barang bukti sitaan. Setelah menerima informasi mengenai indikasi kebocoran data anggota dari Badan Kepolisian Metropolitan Seoul pada tanggal 27 bulan lalu, Pemerintah Kota Seoul melakukan audit internal dan mengonfirmasi adanya kegagalan dalam penanganan awal.
Han Jung-hoon, Direktur Operasional Transportasi Pemerintah Kota Seoul, mengadakan pengarahan pada tanggal 6 dan menyatakan, "Dalam proses penyelidikan, kami mengonfirmasi bahwa pihak korporasi telah mengetahui adanya kebocoran data pribadi pada Juli 2024 namun tidak mengambil tindakan yang tepat." Ia menambahkan, "Berdasarkan hasil investigasi, kami akan memperjelas tanggung jawab pihak korporasi yang terlibat dan mempertimbangkan tindakan lanjutan, termasuk pemberhentian dari tugas jika diperlukan."
Ttareungi adalah layanan sepeda umum yang diperkenalkan oleh Pemerintah Kota Seoul pada tahun 2015, dengan stasiun penyewaan tersebar di seluruh kota sebagai sarana transportasi jarak pendek warga. Sejak diluncurkan, jumlah penggunaan kumulatif telah melampaui 250 juta kali, dengan 43,85 juta penggunaan tercatat pada tahun 2024 saja. Jika dibandingkan dengan 10 tahun lalu, skala pemanfaatannya telah meningkat sekitar 400 kali lipat.