Pathao mengonfirmasi pencurian data pribadi, sementara klaim yang belum terverifikasi menyebut 19 juta akun terekspos

Pencurian data dikonfirmasi, tetapi skalanya belum diketahui

Pathao mengonfirmasi bahwa penyerang memperoleh nama, alamat email, dan nomor telepon sejumlah pengguna dalam insiden keamanan siber pada 4 Oktober yang mengganggu operasionalnya di Bangladesh dan Nepal. Perusahaan belum memverifikasi klaim yang jauh lebih besar bahwa pelaku mencuri 133 gigabita informasi yang mencakup 19.063.918 akun dan meminta 400.000 USDT agar data tersebut tidak dirilis.

Perbedaan ini penting: Pathao mengakui pencurian sejumlah informasi pribadi, sementara dugaan tereksposnya dokumen identitas, transaksi keuangan, kata sandi, dan data lokasi belum terverifikasi. Perusahaan belum mengungkap jumlah orang yang terdampak, cara penyerang masuk ke sistemnya, atau berapa lama mereka dapat mengakses sistem tersebut.

Dalam pernyataan pada 7 Oktober di halaman Facebook terverifikasinya, Pathao untuk pertama kalinya mengonfirmasi secara terbuka bahwa informasi pribadi telah diperoleh. Perusahaan menjelaskan informasi yang menurut pemahamannya telah jatuh ke tangan penyerang:

Kami memahami bahwa sejumlah informasi pribadi, termasuk nama, alamat email, dan nomor telepon, telah diperoleh oleh pihak jahat.

Pathao mengatakan pihaknya untuk sementara menonaktifkan sistem-sistem penting setelah mendeteksi insiden tersebut, memulihkan layanan tak lama kemudian, dan melibatkan spesialis keamanan siber eksternal. Sejumlah pengguna mungkin masih mengalami gangguan sesekali selama upaya menstabilkan platform berlanjut.

Dampak insiden ini meluas ke lebih dari satu layanan. Pathao mengoperasikan layanan transportasi dan pengiriman, serta produk keuangan, termasuk dompet digital Pathao Pay dan layanan Pathao Pay Later. Ragam layanan ini membuat penentuan sistem dan data mana yang terdampak menjadi penting, tetapi keberadaan produk keuangan tidak dengan sendirinya membuktikan bahwa informasi pembayaran dicuri.

Hingga 9 Oktober, perusahaan masih menyelidiki klaim tentang kumpulan data yang lebih besar. Pathao telah mengonfirmasi gangguan di kedua negara, tetapi belum merinci jumlah pengguna atau data yang terdampak di masing-masing negara.

Kronologi insiden

Keterangan yang disampaikan kepada publik mencakup gangguan awal, pengakuan perusahaan, dan tanggapan selanjutnya terkait dugaan kumpulan data tersebut. Tanggal-tanggal ini menunjukkan kapan insiden terdeteksi dan dibahas secara terbuka, bukan durasi penuh akses penyerang.

• 4 Oktober: Pathao mendeteksi insiden keamanan siber, mengalami gangguan layanan, dan untuk sementara menonaktifkan sistem-sistem penting sebagai langkah pencegahan.
• 7 Oktober: Pathao mengakui secara terbuka bahwa sejumlah informasi pribadi telah diperoleh. Tangkapan layar unggahan yang diduga berasal dari forum kriminal juga beredar di X, berisi klaim pencurian data jauh lebih besar dan tuntutan tebusan.
• 9 Oktober: Tanggapan lanjutan perusahaan mengonfirmasi bahwa operasional di Bangladesh dan Nepal terdampak, sementara dugaan volume data, jumlah data, dan kategori informasi sensitif masih diselidiki.

Pathao mengatakan layanan kembali beroperasi tak lama setelah penonaktifan. Perusahaan belum merilis durasi pasti gangguan atau penjelasan teknis mengenai pemulihan. Memulihkan akses ke aplikasi dan menuntaskan penyelidikan kebocoran adalah dua hal berbeda: layanan dapat kembali beroperasi sementara penyelidik masih berupaya memastikan informasi apa yang diambil.

Isi kumpulan data yang diduga dicuri

Klaim dari pihak kriminal itu menyebut sekitar 250 juta baris basis data dalam 591 tabel, dengan satu kumpulan data akun utama yang berisi 19.063.918 rekaman. Satu baris basis data merupakan entri individual, sedangkan tabel mengelompokkan entri berdasarkan jenis tertentu. Beberapa baris dapat terkait dengan satu orang, sehingga 250 juta baris tidak berarti 250 juta pengguna terdampak.

Informasi akun yang diduga dicuri mencakup nama, nomor telepon, alamat email, data kata sandi, informasi GPS, pengenal Facebook, dan token akses. Token akses adalah kredensial digital yang dapat memungkinkan aplikasi mengakses akun atau layanan tanpa terus-menerus meminta kata sandi.

Sejumlah laporan berbeda dalam menjelaskan bagian-bagian dari klaim tersebut. Satu laporan secara spesifik menyebut kata sandi yang di-hash, sementara laporan lain hanya menyebut kata sandi. Proses hashing mengubah kata sandi menjadi representasi tersimpan, alih-alih menyimpan teks yang dapat dibaca, meskipun kebocoran tetap dapat menimbulkan risiko bergantung pada cara kata sandi itu dilindungi. Pathao belum mengonfirmasi bahwa salah satu bentuk data tersebut telah dicuri.

Struktur data itu juga dijelaskan dengan cara berbeda: beberapa sumber menyebut 591 unit tersebut sebagai tabel basis data, sedangkan sumber lain menyebutnya sebagai basis data atau repositori data. Istilah-istilah itu tidak dapat dipertukarkan. Tanpa kumpulan data yang terautentikasi atau temuan teknis, struktur pastinya belum dapat dipastikan.

Dokumen identitas yang diduga dicuri mencakup 19.059.387 nomor kartu identitas nasional dan 19.046.583 data surat izin mengemudi. Klaim tersebut juga mencakup sekitar 5,7 juta alamat rumah dan, menurut beberapa sumber, sekitar 19 juta foto pengguna. Pathao belum memverifikasi satu pun kategori tersebut.

Bahkan jumlah akun yang disebutkan secara spesifik tidak memastikan jumlah orang yang berbeda. Penyelidik perlu menentukan apakah data itu autentik, masih berlaku, atau terduplikasi sebelum menganggap angka tersebut sebagai jumlah pengguna terdampak.

Data karyawan, mitra dagang, dan transaksi juga diduga dicuri

Dugaan pencurian data ini tidak hanya mencakup profil pelanggan. Kumpulan data yang diklaim itu mencakup informasi 549 karyawan, termasuk detail kartu identitas nasional, gaji, afiliasi agama, dan nomor kontak darurat. Klaim lain menyebut catatan akses administratif, lokasi pengiriman, dan rekam perjalanan pengemudi.

Dugaan terkait keuangan mencakup 17.943 data rekening bank dan kode perutean milik mitra dagang, serta 845.872 catatan transaksi debit langsung. Informasi perutean bank mengidentifikasi lembaga atau cabang yang terlibat dalam pembayaran. Catatan transaksi mendokumentasikan peristiwa pembayaran, tetapi keberadaan data itu saja tidak membuktikan bahwa penyerang dapat memindahkan uang.

Angka-angka ini menggambarkan jenis data yang berbeda, bukan satu jumlah yang dapat dijumlahkan untuk menetapkan jumlah korban. Data karyawan, rekening mitra dagang, dan transaksi berulang mungkin tumpang tindih dengan entri lain dalam kumpulan data yang diduga dicuri.

Manajer Kemitraan dan Humas Pathao, Md. Foyej, mengatakan perusahaan belum memverifikasi klaim mengenai kategori data sensitif. Dalam tanggapan melalui email, ia menyatakan:

Klaim mengenai NID, surat izin mengemudi, data lokasi, alamat, atau data keuangan belum terverifikasi pada tahap ini. Informasi terverifikasi lebih lanjut akan disampaikan melalui kanal resmi Pathao.

Tuntutan tebusan belum dikonfirmasi

Unggahan kriminal yang diduga itu menuntut 400.000 USDT, yang dalam sejumlah laporan disebut bernilai sekitar $400.000. USDT, yang juga dikenal sebagai Tether, adalah mata uang kripto yang dirancang untuk mengikuti nilai dolar AS. Kelompok tersebut dilaporkan memberi Pathao waktu 24 jam untuk membayar dan mengancam akan merilis informasi secara bertahap.

Rilis yang diancamkan itu dilaporkan mencakup informasi identitas, perbankan, karyawan, dan administratif. Klaim tersebut beserta tenggat waktunya tidak dapat diverifikasi secara independen. Tidak ada keterangan yang memastikan kapan tenggat itu mulai berlaku, apakah keputusan pembayaran telah dibuat, atau apakah data kemudian dirilis.

Foyej, mewakili Pathao, menolak mengonfirmasi tuntutan yang diduga tersebut:

Pathao tidak ingin berkomentar mengenai klaim yang belum terverifikasi terkait tuntutan tebusan.

Ancaman untuk memublikasikan informasi curian merupakan bentuk pemerasan data. Ancaman semacam itu tidak serta-merta berarti penyerang mengenkripsi sistem atau menghalangi perusahaan mengakses berkasnya sendiri. Pathao belum mengungkap bukti adanya enkripsi atau menjelaskan mekanisme teknis di balik gangguan tersebut.

Langkah yang menurut Pathao telah dilakukan

Tanggapan yang diumumkan Pathao terdiri atas tiga langkah utama: menonaktifkan sistem-sistem penting, melibatkan spesialis keamanan siber eksternal, dan memberi tahu otoritas terkait. Perusahaan mengatakan pemberitahuan telah disampaikan kepada aparat penegak hukum atau lembaga pemerintah sesuai aturan yang berlaku, tetapi tidak menyebutkan lembaga atau ketentuan hukum tertentu.

Dalam pernyataan publiknya, Pathao menjelaskan tanggapan awal dan peran para spesialis:

Langkah-langkah penanggulangan segera telah dilakukan, dan pakar keamanan siber eksternal telah dilibatkan untuk memperkuat kontrol keamanan serta membantu memastikan sistem Pathao tetap aman dan stabil.

Perusahaan mengatakan pihaknya bekerja sama dengan otoritas selama penyelidikan berlangsung. Pathao meminta maaf kepada pengguna, pengemudi, mitra dagang, dan mitra lainnya atas insiden dan gangguan tersebut, serta mengakui tanggung jawabnya untuk melindungi informasi yang dipercayakan kepadanya.

Foyej juga mengatakan langkah pencegahan mungkin secara otomatis mengeluarkan sebagian pengguna dari akun mereka. Pengguna tersebut dapat masuk kembali untuk menggunakan layanan. Pengeluaran otomatis dari akun bukan dengan sendirinya bukti bahwa informasi seseorang telah dicuri.

Mengapa data kontak saja tetap dapat menimbulkan risiko

Tereksposnya nama, alamat email, dan nomor telepon yang telah dikonfirmasi memberi penyerang informasi yang dapat membuat komunikasi palsu tampak meyakinkan. Pesan yang menyebut seseorang dengan namanya dan merujuk pada layanan yang digunakannya mungkin terlihat lebih tepercaya daripada permintaan anonim.

Phishing adalah upaya menyamar sebagai organisasi atau orang tepercaya untuk membujuk seseorang agar mengungkapkan informasi, membuka tautan berbahaya, atau menyetujui suatu tindakan. Pathao memperingatkan tentang kemungkinan ini, tetapi tidak mengatakan bahwa serangan phishing atau penyamaran yang terkait dengan kebocoran tersebut sudah terjadi.

Spesialis teknologi informasi Suman Ahmed Sabir menyebut pencurian identitas, penipuan perbankan, phishing, pemerasan, dan pembajakan akun media sosial sebagai risiko yang mungkin terjadi jika dugaan yang lebih luas terbukti benar. Penilaiannya membahas potensi konsekuensi, bukan kejahatan yang telah dikonfirmasi terhadap pengguna Pathao.

Jenis informasi yang terekspos memengaruhi tingkat risikonya. Data kontak dapat mendukung penipuan yang ditargetkan; dokumen identitas dapat digunakan untuk upaya penyamaran; data lokasi dan perjalanan dapat mengungkap pergerakan pribadi. Token akses dapat menimbulkan risiko terhadap keamanan akun, bergantung pada izin yang dimilikinya dan apakah token tersebut masih berlaku. Pathao belum mengonfirmasi tereksposnya kategori yang lebih sensitif tersebut.

Saran bagi pengguna

Instruksi utama Pathao adalah agar pengguna berhati-hati terhadap pesan, panggilan, dan tautan tak terduga dari siapa pun yang mengaku mewakili perusahaan. Pathao meminta pengguna untuk tidak membagikan kata sandi, PIN, atau kata sandi sekali pakai sebagai tanggapan atas komunikasi semacam itu.

OTP adalah kode sementara untuk menyetujui proses masuk atau transaksi. Membagikannya dapat membuat orang lain menyelesaikan tindakan yang dilindungi kode tersebut, meskipun mereka tidak mengetahui kata sandi akun yang biasa digunakan.

Perusahaan menyarankan pengguna mengandalkan kanal komunikasi resminya untuk mendapatkan informasi terverifikasi. Saran keamanan yang dibahas terkait insiden ini juga mencakup menghindari tautan yang tidak dikenal serta mengaktifkan autentikasi dua faktor di Facebook dan akun lainnya. Langkah itu menambahkan tahap verifikasi kedua selain kata sandi.

Langkah pencegahan ini ditujukan untuk mengatasi kemungkinan penyalahgunaan informasi tanpa menganggap semua klaim benar. Belum ada jumlah pasti akun Facebook yang diretas, transaksi penipuan, atau kasus pencurian identitas yang dikaitkan dengan insiden ini.

Hal-hal yang masih perlu dipastikan dalam penyelidikan

Spesialis keamanan siber Tanvir Hassan Zoha merekomendasikan penyelidikan forensik digital independen, pengamanan server dan catatan akses yang relevan, serta pemberitahuan kepada regulator dan aparat penegak hukum sesuai hukum yang berlaku. Forensik digital menggunakan bukti teknis untuk merekonstruksi kejadian, termasuk sistem mana yang diakses dan tindakan apa yang dilakukan.

Mengamankan catatan akses penting karena data tersebut dapat membantu memastikan cara penyerang masuk, rentang waktu akses tanpa izin, dan data yang dijangkau penyerang. Pathao telah mengumumkan keterlibatan spesialis eksternal, tetapi belum mengungkapkan apakah pekerjaan mereka merupakan penyelidikan forensik independen atau memublikasikan temuannya.

Sabir juga menilai pengawasan keamanan siber Bangladesh menghadapi keterbatasan staf dan sumber daya, termasuk di lembaga yang bertanggung jawab menangani insiden. Ia menyerukan kerangka hukum untuk memberikan kompensasi kepada pelanggan yang mengalami kerugian. Hal-hal tersebut merupakan penilaian dan rekomendasinya, bukan temuan otoritas yang menyelidiki Pathao.

Pertanyaan utama yang belum terjawab lebih spesifik: berapa banyak pengguna yang terdampak, kategori informasi mana yang dicuri, apakah data dari kedua negara terekspos, dan apakah kredensial keuangan atau akun yang diduga dicuri itu autentik. Pathao belum mengumumkan tanggal penyelesaian penyelidikan, publikasi temuan, atau penyampaian pembaruan berikutnya.

Janji perusahaan untuk menyampaikan informasi terverifikasi menegaskan perbedaan yang perlu diperhatikan pengguna. Pencurian sejumlah data pribadi telah dikonfirmasi. Klaim tentang kumpulan data berukuran 133 gigabita yang berisi lebih dari 19 juta akun, banyak data identitas, dan informasi keuangan belum terverifikasi.

Poin Penting

• Pathao mengonfirmasi bahwa penyerang memperoleh sejumlah nama, alamat email, dan nomor telepon dalam insiden pada 4 Oktober.
• Operasional di Bangladesh dan Nepal terganggu, dan sebagian pengguna mungkin mengalami gangguan sesekali selama upaya stabilisasi.
• Klaim tentang 133 gigabita data, 19.063.918 akun, dan sekitar 250 juta baris basis data masih belum terverifikasi.
• Pathao belum mengonfirmasi dugaan tereksposnya kata sandi, dokumen identitas, data lokasi, atau informasi keuangan.
• Tuntutan yang dilaporkan sebesar 400.000 USDT dengan tenggat 24 jam belum diverifikasi oleh perusahaan.
• Spesialis keamanan siber eksternal telah dilibatkan, otoritas terkait telah diberi tahu, dan belum ada tanggal penyelesaian penyelidikan yang diumumkan.
• Pengguna telah diperingatkan agar waspada terhadap komunikasi yang tidak diminta dan tidak membagikan kata sandi, PIN, atau OTP.