[비즈한국] KT dijatuhi denda sebesar 53,979 miliar won akibat kebocoran data pribadi yang dipicu oleh peretasan femtocell (stasiun pangkalan mikro). Angka ini setara dengan 40% dari denda yang dikenakan kepada SK Telecom tahun lalu terkait kebocoran data USIM (134,791 miliar won). Jika dikonversi per pengguna yang terdampak, dendanya mencapai sekitar 3,24 juta won, lebih dari 550 kali lipat dibanding SK Telecom (sekitar 5.800 won). Hal ini mencerminkan betapa beratnya tanggung jawab manajemen penyedia jaringan komunikasi serta dampak kerugian finansial nyata yang terjadi, di samping skala kebocoran itu sendiri.
“KT adalah Penanggung Jawab Manajemen Femtocell”
Pada tanggal 30, Komisi Perlindungan Informasi Pribadi (PIPC) memutuskan untuk menjatuhkan denda sebesar 53,979 miliar won dan denda administratif sebesar 7,2 juta won kepada KT karena melanggar Undang-Undang Perlindungan Informasi Pribadi, serta mengeluarkan perintah koreksi, rekomendasi perbaikan, dan perintah pengumuman publik. PIPC juga memutuskan untuk melaporkan KT ke pihak berwajib karena menghalangi penyelidikan dengan memberikan data palsu. Sementara itu, LG Uplus, yang memusnahkan server terkait sebelum penyelidikan dimulai, dirujuk ke lembaga penegak hukum atas dugaan penghalangan tugas dinas.
Skala kebocoran data pribadi ditetapkan sebanyak 16.647 orang, lebih sedikit dari angka 22.227 yang diumumkan oleh tim investigasi gabungan pemerintah dan swasta sebelumnya. Angka ini merupakan hasil perhitungan ulang berdasarkan subjek informasi aktual setelah mengecualikan saluran perusahaan dan saluran ganda milik individu yang sama. Sebanyak 368 orang mengalami kerugian finansial nyata dengan total sekitar 240 juta won.
Kasus ini bermula ketika peretas menyalin sertifikat dari femtocell KT yang hilang, membuat femtocell ilegal buatan sendiri, dan menyambungkannya ke jaringan seluler KT. Femtocell adalah stasiun pangkalan kecil yang diperkenalkan KT sejak 2016 untuk mengatasi zona buta (blind spot) komunikasi nirkabel. Peretas memancing perangkat pengguna agar melewati femtocell mereka untuk mencuri nomor ponsel, IMSI (identitas pelanggan), dan IMEI (identitas perangkat). Mereka kemudian menggabungkan data tersebut dengan informasi pribadi yang didapat secara terpisah untuk mengajukan pembayaran mikro, mencegat otentikasi ARS/SMS, dan melakukan pembayaran tanpa izin.
Jika dilihat dari total jumlahnya, sanksi bagi KT lebih rendah daripada SK Telecom. Meskipun mengklasifikasikan KT satu tingkat di bawah SK Telecom sebagai "pelanggaran serius", PIPC menilai, "Sebagai operator telekomunikasi utama yang menyediakan layanan esensial bagi kehidupan masyarakat, KT lalai dalam pengelolaan kontrol akses jaringan internal, gagal membatasi akses ilegal peretas, dan tidak mendeteksi perilaku abnormal yang berkelanjutan, sehingga menyebabkan kerugian finansial nyata." Tingkat pelanggaran informasi pribadi dinilai sangat tinggi, namun denda akhir dihitung dengan mempertimbangkan skala kebocoran yang relatif kecil dan jenis informasi yang bocor hanya terbatas pada tiga kategori: nomor ponsel, IMSI, dan IMEI.
Beberapa pihak sempat memprediksi bahwa karena femtocell hanya dipasang pada sebagian pelanggan, denda mungkin hanya didasarkan pada pendapatan terkait. Namun, dasar perhitungan denda sebenarnya ditentukan dari pendapatan layanan komunikasi 5G dan LTE KT. Pendapatan independen yang tidak terkait seperti IPTV dan layanan internet tidak diikutsertakan.
Inti perdebatan dalam sidang ini adalah siapa yang harus bertanggung jawab atas pengelolaan femtocell. Selama persidangan, KT berargumen, "Ini adalah jenis serangan baru yang belum pernah terjadi sebelumnya di mana peretas menggunakan femtocell buatan sendiri untuk mencegat sinyal komunikasi perangkat, sehingga tidak mungkin diprediksi atau diantisipasi."
PIPC memutuskan bahwa "Pengelola nyata femtocell adalah KT, dan KT juga memiliki kendali manajemen atas otentikasi pengguna untuk koneksi jaringan dan penyediaan layanan, serta pengiriman informasi pribadi dalam proses tersebut." Status femtocell sebagai aset perusahaan yang dipasang sendiri oleh teknisi KT dan tidak dijual kepada pengguna juga dijadikan landasan hukum.
Celah dalam sistem manajemen pun ditunjuk secara spesifik. Kejadian ini dianggap sangat bisa dicegah jika pengelolaan perangkat dan kontrol akses jaringan internal dilakukan dengan benar. Pada saat kejadian, sistem manajemen femtocell KT dinilai buruk, sehingga femtocell yang tidak sah dapat dengan mudah terhubung ke jaringan internal. Beberapa faktor yang dipertimbangkan termasuk: masa berlaku sertifikat femtocell yang ditetapkan terlalu lama yaitu 10 tahun, tidak adanya pembatasan IP akses jaringan internal sehingga bisa diakses dari luar negeri atau IP pihak ketiga, adanya jalur yang melewati server manajemen, serta tidak adanya sistem untuk mendeteksi atau merespons ID sel yang tidak sah.
Akibatnya, peretas dapat mengakses jaringan internal selama sekitar 11 bulan untuk mencuri data pribadi, sementara KT tidak menyadarinya dan baru mengetahui adanya koneksi abnormal setelah menerima keluhan mengenai kerugian pembayaran mikro.
Manajemen Risiko Industri Telekomunikasi Disorot Akibat Serangkaian Kasus
Setelah SK Telecom dan KT, kini LG Uplus pun terjerat dugaan kebocoran data besar-besaran dan upaya penyembunyian insiden, yang membuat buruknya sistem manajemen risiko keamanan di seluruh industri telekomunikasi menjadi perhatian publik.
Respon KT pasca-kejadian juga menuai kritik. KT menyadari adanya infeksi kode berbahaya pada server pada Maret 2024, namun tidak melaporkan pelanggaran tersebut kepada pemerintah dan melakukan tindakan sepihak tanpa analisis mendalam tentang kebocoran informasi pribadi. Belakangan, saat melakukan pemeriksaan menyeluruh pada server sebagai respons atas kebocoran di perusahaan lain, ditemukan adanya upaya penghapusan log server secara terorganisir untuk menutupi jejak.
KT juga memutuskan untuk dilaporkan oleh PIPC karena dianggap menghalangi penyelidikan, setelah sebelumnya menyatakan tidak memiliki data cadangan, namun kemudian mengubah pernyataan dan menyerahkan log secara terlambat setelah forensik digital mengungkap penghapusan log tersebut.
Kasus ini mendorong revisi Undang-Undang Perlindungan Informasi Pribadi yang mencakup hukuman pidana untuk penyembunyian/pemusnahan bukti sebelum penyelidikan, pengenaan denda, penalti atas ketidakkooperatifan penyelidikan, dan penerapan perintah pelestarian data. Dengan ini, pola respon "tutup-tutupi dulu" saat terjadi kecelakaan tampaknya tidak akan lagi efektif. Rekomendasi perbaikan yang mengharuskan perluasan lingkup sertifikasi sistem manajemen perlindungan informasi pribadi (ISMS-P) hingga ke sistem jaringan telekomunikasi juga mulai berlaku, sehingga fasilitas jaringan yang selama ini berada di titik buta sertifikasi kini masuk dalam pengawasan rutin pemerintah.
Selain denda, KT juga menerima perintah koreksi yang mencakup pemeriksaan kerentanan peralatan jaringan nirkabel, penguatan sistem kontrol akses informasi pribadi, serta peningkatan tanggung jawab dan peran Pejabat Perlindungan Informasi Pribadi (CPO).
Seorang pejabat KT menyatakan, "Kami menerima hasil keputusan Komisi Perlindungan Informasi Pribadi dengan berat hati, dan kami memohon maaf sekali lagi atas kekhawatiran dan ketidaknyamanan besar yang ditimbulkan kepada pelanggan dan masyarakat akibat insiden ini. Kami akan membenahi sistem perlindungan informasi pribadi secara menyeluruh dari titik nol, memperluas investasi keamanan, dan mengerahkan seluruh kemampuan untuk mencegah terulangnya insiden serta memulihkan kepercayaan pelanggan."
Setelah keputusan PIPC, perusahaan dapat meninjau isi putusan setelah menerimanya secara resmi, kemudian mengajukan gugatan administratif. Mengingat banyaknya kasus denda besar yang berujung ke ranah hukum administratif, langkah KT selanjutnya kini menarik perhatian publik. Pejabat KT menyampaikan, "Kami akan menentukan posisi terkait setelah meninjau isi putusan secara cermat begitu kami menerimanya."