1,3 Juta Data Pengguna eHAC Kemenkes Terekpose, Pakar: Hapus Aplikasi Bukan Solusi

Cyberthreat.id – Kementerian Kesehatan RI mendorong agar pengguna menghapus atau meng-uninstall aplikasi aplikasi Kartu Kewaspadaan Kesehatan Elektronik (Electronic Health Alert Card/eHAC) versi lama menyusul temuan kebocoran data.

Aplikasi tersebut selama ini bisa diunduh di toko aplikasi App Store dan Google Play Store.

eHAC awalnya diperuntukkan bagi penumpang pesawat terbang yang berasal dari luar negeri. Mereka diminta untuk mengisi kondisi kesehatan terbaru—tujuannya untuk “memastikan” bahwa mereka tak membawa virus ke Indonesia. Namun, selama pandemi ini, penerbangan domestik juga mewajibkan penumpang mengisi eHAC.

Lantaran pemerintah memfokuskan penanganan Covid-19 ini melalui satu platform, aplikasi eHAC diintegrasikan sebagai fitur di aplikasi PeduliLindungi.

Kementerian mengatakan data yang terekspose berasal dari eHAC versi lama yang sudah tidak digunakan sejak 2 Juli 2021. “Dugaan kebocoran ini tidak terkait dengan eHAC di PeduliLindungi. Dan saat ini tengah dilakukan investigasi dan penelusuran lanjut,” ujar dia.

“Untuk eHAC lama tidak terhubung dengan eHAC di PeduliLindungi. eHAC baru pindah di Pusat Data Nasional (di bawah kelola Kementerian Kominfo, red) dan dilindungi dengan aman,” ia menambahkan.

Apakah menghapus aplikasi masalah bisa terselesaikan? Pakar keamanan siber Pratama Persadha mengatakan, desakan untuk menghapus aplikasi jelas tidak menyelesaikan masalah kebocoran data.

“Bahkan, sejak awal [aplikasi] dihapus, basis data eHAC masih bisa bocor. Karena sumber kebocorannya ada pada sistem, bukan di aplikasi pengguna. Tap, di server pengelola,” ujar Ketua Communication & Information System Security Research Center (CISSRec), lembaga riset keamanan siber, kepada Cyberthreat.id, Selasa (31 Agustus).

Melihat kasus yang terjadi, ia berpendapat tampaknya peneliti vpnMentor tidak mengalami kesulitan ketika menemukan basis data pengguna eHAC yang terbuka. Ini menunjukkan, kata dia, bahwa tidak ada protokol keamanan yang berarti yang diterapkan pengembang aplikasi tersebut.

vpnMentor, situs web pengulas perangkat lunak VPN milik Kape Technologies, menemukan basis data tak terlindungi eHAC pada 15 Juli 2021. Mereka melaporkan temuan tersebut ke Kemenkes dua kali. Sayangnya, karena tidak ada tanggapan, mereka kembali melaporkan ke Badan Siber dan Sandi Negara (BSSN) pada 22 Agustus dan mendapatkan respons di hari yang sama. Barulah pada 24 Agustus server eHAC ditutup.

Informasi data pribadi yang ditemukan vpnMentor berjumlah 1,4 juta catatan dari 1,3 juta pengguna eHAC. Data ini berisi nama, NIK, paspor, email, nama rumah sakit, alamat, hasil tes PCR, akun eHAC, bahkan data detail tentang RS dan dokter yang memeriksa pengguna, dan lain-lain.

Menurut Pratama, dengan kebocoran data seperti itu, pemilik data tersebut bisa mendapatkan risiko siber. “Kelengahan dari developer ini bisa mengakibatkan pemilik akun eHAC bisa menjadi target profiling dan penipuan dengan modus Covid-19, terutama, seperti telemedicine palsu maupun semacamnya,” kata Pratama.

Sementara, efek kebocoran data tersebut bagi pemerintah, katanya, ialah menguatnya ketidakpercayaan terhadap proses penanggulangan Covid-19 dan usaha vaksinasi, apalagi saat ini kampanye vaksinasi menjadikan aplikasi Pedulilindungi sebagai ujung tombak. “Jadi, pasti ada kekhawatiran datanya juga bocor meski memakai eHAC yang berbeda sesuai penuturan Kemenkes,” ujar Pratama.

Terlepas dari itu, Pratama juga menyarankan beberapa hal yang harus dilakukan Kemenkes menyusul kebocoran data tersebut. Pertama, amankan server yang dipakai dan buat protokol akses ke sistem yang aman, sehingga tidak sembarang orang bisa masuk.

Kedua, jangan biarkan sistem yang tidak ada autentikasi bebas diakses di internet. Ketiga, lakukan pengecekan secara berkala untuk semua sistem yang dimiliki, untuk mendeteksi kerawanan.

Dan, yang tidak boleh dilupakan ialah mengenkripsi data. Berkaca dalam kasus ini, kata dia, terlihat bahwa sistem eHAC bisa bebas dimasuki seseorang tak dikenal dan diambil datanya “karena [sistemnya] benar-benar tidak aman dan tidak ada implementasi enkripsi, sehingga data yang diambil tidak diacak sama sekali,” kata Pratama.[]