Layanan Digital Nepal Dihadapkan pada Kebocoran Data, Gangguan Pasar, dan Kesenjangan Akuntabilitas

135 akun email pemerintah mengungkap masalah keamanan yang lebih luas

Sedikitnya 135 akun email di bawah domain pemerintah Nepal, nepal.gov.np, teridentifikasi dalam kebocoran data eksternal setelah Pusat Keamanan Siber Nasional bergabung dengan Have I Been Pwned, layanan yang melacak kredensial yang terekspos. Alamat yang terdampak mencakup akun yang terkait dengan Kantor Perdana Menteri serta kementerian Dalam Negeri, Keuangan, dan Luar Negeri.

Temuan ini muncul bersamaan dengan laporan dokumen mahasiswa dan dosen yang terekspos, serangan terhadap portal pemerintah, gangguan pada pengadaan elektronik, serta insiden ransomware yang menghentikan perdagangan saham. Sejumlah laporan yang dipublikasikan pada Oktober 2026 menggambarkan administrasi digital yang kegagalan keamanannya dapat berdampak pada privasi pribadi maupun akses ke layanan penting.

Insiden-insiden ini menyangkut masalah yang berbeda. Kemunculan alamat email dalam suatu kebocoran tidak dengan sendirinya membuktikan bahwa seseorang telah masuk ke jaringan pemerintah. Situs web yang tak bisa diakses juga tidak membuktikan bahwa datanya dicuri. Namun, kredensial yang terekspos, kontrol akses yang lemah, dan ketergantungan pada infrastruktur bersama dapat berpadu membuka jalan menuju sistem yang lebih sensitif.

Nepal menghubungkan layanan digital untuk paspor, verifikasi identitas, perpajakan, perbankan, dan jaminan sosial, sementara warga masih melaporkan antrean, keterlambatan kartu identitas, dan server yang tidak tersedia. Karena itu, persoalan utamanya lebih luas daripada sekadar menghentikan peretas: pemerintah harus melindungi informasi yang wajib diserahkan warga sekaligus menjaga layanan tetap dapat digunakan saat salah satu komponennya mengalami gangguan.

Makna temuan akun email

Menurut Direktur Pusat Keamanan Siber Nasional Raj Kumar Maharjan, Nepal menjadi entitas pemerintah ke-47 yang bergabung dengan Have I Been Pwned. Koneksi ini memberi pusat tersebut cara untuk mengidentifikasi alamat pemerintah yang terekspos melalui kebocoran di tempat lain, alih-alih hanya mengandalkan bukti dari jaringannya sendiri.

Maharjan mengatakan pusat tersebut akan memberi tahu departemen yang terdampak dan mewajibkan penggantian kata sandi. Ia menjelaskan perubahan respons berkat layanan pemantauan itu:

Melalui portal ini, pusat kami kini menerima informasi akurat mengenai alamat email mana yang bocor dan dari sumber mana. Ini memungkinkan kami memperingatkan pejabat terkait secara waktu nyata, mewajibkan penggantian kata sandi segera, dan mencegah kerugian lebih lanjut.

Angka 135 tidak boleh ditafsirkan sebagai jumlah 135 kotak surat pemerintah yang dipastikan telah dibobol. Laporan publik tidak memastikan berapa banyak akun yang masih rentan, apakah kata sandi yang terekspos masih berlaku, atau berapa banyak akun yang dilindungi dengan autentikasi tambahan.

Pakar keamanan siber Mona Nyachhyon memperingatkan bahwa akun resmi yang dibobol dapat mengancam jaringan internal dan komunikasi rahasia. Penyerang yang menguasai kotak surat pemerintah yang asli juga dapat membuat permintaan palsu tampak meyakinkan, terutama ketika penerima mengenali alamat tersebut.

Laporan terpisah menyebutkan kredensial yang terkait dengan Agriculture Development Bank terekspos melalui malware yang mencuri informasi dari perangkat yang terinfeksi. Pencurian semacam ini dapat terjadi pada komputer yang digunakan untuk mengakses layanan, tanpa mengharuskan penyerang membobol langsung server pusat layanan tersebut.

Dokumen warga dan portal publik menghadapi ancaman berbeda

Sistem daring Komisi Hibah Universitas dilaporkan mengekspos dokumen kewarganegaraan, sertifikat pendidikan, detail rekening bank, dan catatan Nomor Rekening Tetap milik profesor dan mahasiswa. Mengubah alamat web dilaporkan sudah cukup untuk mengakses dokumen karena kontrol akses tidak tersedia.

Kontrol akses adalah pemeriksaan yang menentukan apakah seseorang berhak melihat catatan tertentu. Dokumen tidak terlindungi hanya karena alamatnya sulit ditebak. Server harus memverifikasi izin setiap kali seseorang memintanya.

Laporan juga menyebutkan akses tanpa izin ke antarmuka pemrograman aplikasi publik portal komputasi awan pemerintah. Antarmuka yang biasa disebut API memungkinkan sistem perangkat lunak bertukar informasi atau melakukan tindakan. Kelompok yang diidentifikasi sebagai PSy404 dan AnoNagoSt, yang dikaitkan dengan jaringan ForceAnon, diduga menggunakan akses tersebut untuk mengunggah pesan dan gambar.

Insiden lain yang dilaporkan mencakup kerentanan yang diungkap Midnight Ops Nepal pada sistem seperti Departemen Hidrologi dan Meteorologi, serta akses ke panel administrasi kementerian yang dikaitkan dengan FunkSec. Dokumen anggaran dan pemerintah kota diduga ditawarkan untuk dijual.

Klaim-klaim tersebut perlu dinilai secara terpisah. Mengunggah materi melalui antarmuka publik menunjukkan kegagalan kontrol, tetapi tidak membuktikan adanya akses ke setiap basis data yang dihosting di komputasi awan pemerintah. Laporan dokumen yang ditawarkan untuk dijual juga perlu diverifikasi keaslian, cakupan, dan asalnya sebelum keseluruhan paparan dapat diukur.

Kronologi serangan yang dilaporkan dan tindakan pemerintah

Laporan-laporan tersebut menggambarkan insiden yang terjadi selama beberapa tahun, bukan satu serangan terkoordinasi. Urutannya juga menunjukkan bahwa pembentukan pusat siber khusus tidak mengakhiri gangguan.

• 1 Januari 2024: Serangan penolakan layanan terdistribusi dilaporkan mengganggu situs web dan aplikasi layanan publik, dengan dampak yang berlangsung selama beberapa pekan.
• 23 Januari 2024: Kabinet memutuskan untuk membentuk Pusat Keamanan Siber Nasional, yang mulai beroperasi pada musim semi tahun itu.
• Desember 2024: Serangan dilaporkan menyasar portal pemerintah di Provinsi Gandaki, Lumbini, dan Bagmati.
• Februari 2025: Laporan menyebutkan serangan terhadap 21 subdomain Provinsi Koshi.
• Maret 2025: Basis data platform pengaduan Hello Sarkar dilaporkan dibobol dan ditawarkan untuk dijual.
• April 2025: Sekitar 2 juta catatan kewarganegaraan yang diserahkan untuk laporan kepolisian diduga dicuri dari situs web Kepolisian Nepal dan ditawarkan untuk dijual.
• 13 Mei 2026: Perubahan yang dipublikasikan pada Peraturan Pembagian Urusan Pemerintah Nepal dilaporkan mengalihkan lembaga teknologi utama ke Kantor Perdana Menteri.
• September 2026: Serangan ransomware yang diduga terjadi mengganggu sistem yang melayani 72 perusahaan pialang saham dan menghentikan perdagangan selama sehari.
• Awal Oktober 2026: Pathao Nepal dilaporkan mengakui kebocoran yang melibatkan nama pengguna, alamat email, dan nomor telepon.

Dugaan pencurian sekitar 2 juta catatan kepolisian termasuk paparan terbesar yang disebutkan. Angka tersebut merupakan klaim dalam laporan, bukan jumlah individu terdampak yang telah dipastikan secara independen. Laporan yang tersedia tidak memberikan rincian terverifikasi mengenai jumlah catatan unik atau penilaian publik lengkap atas dampaknya.

Pengadaan elektronik membawa keamanan ke ranah belanja publik

Dugaan pembobolan sistem pengadaan elektronik pemerintah, yang dikenal sebagai e-GP, menyangkut integritas kontrak publik sekaligus informasi rahasia. Kantor Pemantauan Pengadaan Publik mengoperasikan platform tersebut untuk lelang pekerjaan pemerintah senilai miliaran rupee.

Penyelidik dilaporkan menemukan bahwa pengguna tanpa izin dapat melihat nilai penawaran rahasia pesaing dan mengubah angka setelah batas waktu pengajuan. Sejumlah laporan menyebut dugaan kerja sama antara peretas, perantara, dan kontraktor, termasuk pembayaran dengan mata uang kripto dan situs web pengadaan palsu.

Biro Investigasi Pusat Kepolisian Nepal dilaporkan menangkap lebih dari 20 orang, termasuk mantan menteri, pelaku usaha konstruksi, dan pegawai teknis, serta mengajukan perkara ke pengadilan. Penangkapan dan dakwaan bukanlah putusan bersalah. Laporan tersebut tidak mencantumkan putusan akhir yang menetapkan tanggung jawab setiap orang yang didakwa.

Masalah keamanan dilaporkan mendorong penangguhan lelang elektronik dan kembalinya penggunaan penawaran tertutup berbasis kertas untuk pengadaan penting. Laporan yang tersedia tidak menyebutkan tanggal pemulihan yang telah dipastikan.

Perbedaan antara insiden ini dan kebocoran dokumen sangat penting. Kerahasiaan gagal ketika seseorang melihat penawaran yang seharusnya tidak boleh dilihatnya. Integritas gagal ketika seseorang mengubah isi penawaran. Jika salah satu perlindungan itu runtuh, sistem digital yang ditujukan untuk membuat pengadaan lebih transparan justru dapat memberi keuntungan tersembunyi kepada peserta tertentu.

Satu penyedia dapat melumpuhkan seluruh pasar

Insiden ransomware pada September 2026 diduga menyasar pusat data swasta yang menghosting sistem manajemen perdagangan untuk 72 perusahaan pialang saham. Perdagangan di Bursa Efek Nepal dilaporkan tidak dapat dilakukan selama sehari penuh. Laporan awal juga menyebutkan bahwa informasi pemerintah dihosting di fasilitas yang terdampak.

Ransomware biasanya menghalangi akses ke sistem atau data, sering kali dengan mengenkripsi berkas, lalu menuntut pembayaran. Laporan tersebut tidak memastikan mekanisme teknis serangan, apakah informasi juga dicuri, atau apakah tebusan dibayar.

Dampak yang lebih jelas dalam laporan bersifat operasional: gangguan pada satu penyedia hosting menjalar ke puluhan pialang dan membuat investor tidak dapat bertransaksi. Inilah risiko konsentrasi, ketika banyak organisasi bergantung pada pemasok atau infrastruktur yang sama.

Pengungkapan Pathao Nepal menunjukkan paparan berbeda di sektor swasta. Nama, alamat email, dan nomor telepon dilaporkan bocor pada awal Oktober 2026. Laporan menyebut ribuan pengguna terdampak, tetapi tidak memberikan jumlah pasti yang telah diverifikasi.

Laporan terdahulu juga menyebut kebocoran informasi pelanggan yang melibatkan Vianet dan Foodmandu, serangan terhadap sistem ATM bank, serta upaya serangan terhadap sistem SWIFT NIC Asia Bank. Cakupan dan dampak insiden-insiden ini berbeda, tetapi semuanya menunjukkan bahwa tantangan keamanan tidak terbatas pada situs web pemerintah, melainkan juga mencakup layanan komunikasi, belanja, transportasi, dan keuangan.

Masalah kapasitas identitas nasional berdampak ke berbagai layanan

Sistem identitas nasional menunjukkan bagaimana sebuah layanan dapat gagal tanpa adanya serangan siber yang terkonfirmasi. Laporan menyebut gangguan autentikasi selama beberapa pekan disebabkan tekanan teknis ketika sistem biometrik mendekati kapasitas sekitar 20 juta catatan.

Lebih dari 16 lembaga dilaporkan mengalami gangguan, termasuk layanan paspor, perpajakan, transportasi, dan perbankan. Angka tersebut menggambarkan tekanan terhadap kapasitas sistem yang dilaporkan, bukan jumlah pasti orang yang informasi biometriknya terekspos.

Laporan-laporan yang tersedia berbeda dalam menyebut identitas perusahaan pemasok asal Prancis. Laporan awal menyebut peralihan dari Idemia ke IN Groupe, sedangkan laporan lain menyebut IDEMIA sebagai nama terkini. Pengaturan kontrak dan dukungan yang sebenarnya belum dipastikan di sini. Persoalan operasionalnya tetap sama: sejumlah layanan bergantung pada satu platform autentikasi dan terdampak ketika platform itu tidak tersedia.

Layanan identitas bersama dapat mengurangi pemeriksaan dan dokumen berulang. Namun, layanan itu juga menjadi satu titik kegagalan jika lembaga tidak dapat menjalankan alternatif yang aman ketika layanan tersebut berhenti merespons. Karena itu, perencanaan kapasitas, pengaturan pemulihan, dan kejelasan tanggung jawab pemasok sama pentingnya dengan perlindungan dari penyusup.

Dampak terhadap privasi juga perlu diperhatikan dengan saksama. Sidik jari merupakan identitas biometrik; nomor kewarganegaraan dan tanggal lahir adalah informasi identitas, bukan biometrik. Berbeda dengan kata sandi, sidik jari tidak dapat begitu saja diganti. Paparan detail ini dapat membuka peluang jangka panjang untuk penyamaran identitas dan penipuan yang ditargetkan.

Pertahanan pemerintah berkembang, tetapi masih terbatas

Pusat Keamanan Siber Nasional dilaporkan mengaudit hampir 40 sistem pemerintah selama empat bulan sebelum laporan kebocoran email diterbitkan. Pusat itu juga menggunakan CTM360, perangkat pemantauan yang disediakan oleh Uni Telekomunikasi Internasional, untuk melacak transaksi ilegal yang melibatkan informasi pemerintah.

Sistem Manajemen Informasi dan Peristiwa Keamanan yang baru dibeli mengumpulkan dan menganalisis log aktivitas di seluruh jaringan pemerintah. Perangkat seperti ini membantu staf mengidentifikasi pola mencurigakan, tetapi manfaatnya bergantung pada hal-hal yang dipantau dan seberapa cepat tim menyelidiki peringatan.

Prakash Duwadi, yang dalam laporan berbahasa Nepal disebut sebagai petugas informasi di Kantor Teknologi Informasi dan Tata Kelola Elektronik, mengatakan portal pemerintah yang dihosting dapat menghadapi 7.000 hingga 8.000 upaya serangan secara bersamaan. Ia memperkirakan pengujian dasar oleh mahasiswa atau anak-anak mencakup 10 hingga 20 persen upaya tersebut. Laporan itu tidak menjelaskan periode pengukuran atau metode penghitungannya.

Duwadi juga mengatakan staf terkadang memutus sistem ketika mereka tidak dapat mempertahankannya dengan aman. Karena itu, server yang tidak berfungsi mungkin merupakan tindakan perlindungan, bukan bukti bahwa penyerang telah mengambil alih. Warga tetap kehilangan akses dalam kedua situasi tersebut, sehingga pemberitahuan layanan yang akurat dan prosedur pemulihan diperlukan.

Maharjan menyebut perilaku manusia dan rekayasa sosial sebagai penyebab lebih dari 90 persen insiden siber. Angka itu merupakan penilaiannya, bukan temuan statistik nasional yang terdokumentasi. Ia juga memperingatkan bahwa aplikasi yang dikembangkan dengan cepat menggunakan kecerdasan buatan dapat membuat pengembang tidak menyadari kelemahan dalam enkripsi dan keamanan.

Pesan phishing yang dilaporkan pernah menyamar sebagai Inspektur Jenderal Polisi Tambahan Manoj Kumar KC, Kantor Perdana Menteri, dan pejabat kepolisian lainnya. Pesan-pesan itu mengancam akan menuntut penerima untuk menekan mereka agar membalas atau mengungkapkan informasi. Contoh-contoh ini menunjukkan bagaimana rasa takut dan kewibawaan pejabat dapat dimanfaatkan untuk melakukan penipuan.

Hak privasi membutuhkan penegakan yang nyata

Pasal 28 Konstitusi Nepal melindungi privasi. Undang-Undang Privasi 2075 (2018) juga menetapkan kewajiban terkait informasi pribadi yang disimpan badan publik. Laporan awal dan analisis yang menyertainya menyebut Pasal 29 mengatur hukuman hingga tiga tahun penjara, Pasal 31 mengatur ganti rugi, dan Pasal 32 mengatur tindakan disipliner.

Ketentuan tersebut tidak membuktikan bahwa setiap kegagalan teknis yang dilaporkan memenuhi syarat sebagai tindak pidana atau dasar pemberian ganti rugi. Tanggung jawab harus ditentukan berdasarkan tindakan yang terjadi, ketentuan hukum yang berlaku, dan bukti. Laporan publik hanya memberikan sedikit rincian tentang hukuman atau ganti rugi yang timbul dari insiden-insiden yang dibahas.

Tanggung jawab administratif juga sedang berubah. Perubahan yang dipublikasikan pada 13 Mei 2026 dilaporkan memindahkan Pusat Keamanan Siber, Pusat Manajemen Data, dan Departemen Teknologi Informasi ke Kantor Perdana Menteri. Agenda Kabinet yang disetujui pada 27 Maret 2026 menyerukan pembentukan Kantor Teknologi Informasi dan Tata Kelola Elektronik dalam tiga bulan, tetapi survei organisasi dilaporkan belum selesai saat laporan tersebut diterbitkan.

Struktur dan hierarki pelaporan yang dihasilkan masih belum jelas. Pemindahan lembaga tidak dengan sendirinya menentukan siapa yang harus memberi tahu warga terdampak, menyetujui pemulihan layanan yang dibobol, atau memastikan bahwa pemasok telah memperbaiki celah keamanan.

Pengujian, pengadaan, dan pengungkapan menjadi keputusan berikutnya

Analisis awal mengusulkan agar kewajiban keamanan dimasukkan sejak awal dalam pengadaan perangkat lunak. Kewajiban ini mencakup enkripsi, pembaruan berkelanjutan, pemeliharaan, serta seleksi berdasarkan kualitas dan biaya, alih-alih menganggap pembelian perangkat lunak selesai saat produk diserahkan. Semua ini merupakan usulan, bukan persyaratan baru pemerintah yang telah dipastikan.

Analisis itu juga menyerukan penilaian kerentanan dan pengujian penetrasi wajib sebelum layanan dibuka untuk warga. Pengujian tersebut mengidentifikasi kelemahan dan mencoba melakukan penyusupan secara terkendali. Menyelesaikan pengujian berbeda dengan memperbaiki temuan: keputusan peluncuran yang dapat dipertanggungjawabkan memerlukan bukti bahwa celah serius telah diperbaiki dan diperiksa kembali.

Pakar keamanan siber Naresh Lamgade mengatakan keamanan sering diabaikan saat pengembangan dan peneliti swasta tidak didorong untuk melaporkan kerentanan. Saluran pelaporan yang jelas dengan prosedur penanganan yang ditetapkan dapat membantu mengubah temuan menjadi perbaikan, alih-alih membuat peneliti ragu untuk menghubungi suatu lembaga.

Langkah lain yang diusulkan mencakup autentikasi tambahan untuk email pemerintah dan akun administratif, audit pusat data secara berkala, pemberitahuan kepada warga terdampak setelah terjadi kebocoran, serta regulator perlindungan data yang independen. Laporan tersebut tidak memberikan tanggal pasti penerapan langkah-langkah ini.

Pertanyaan mendesak yang belum terjawab bersifat spesifik: berapa banyak akun yang terekspos telah diamankan, apakah kumpulan data yang diduga dicuri telah diautentikasi, kapan lelang elektronik akan kembali berjalan, dan bagaimana layanan identitas akan mencegah gangguan kapasitas terulang. Jawaban publik akan memungkinkan pemulihan dinilai berdasarkan hasil, bukan jumlah layanan yang telah dipindahkan ke ranah daring.

Poin Utama

• Sedikitnya 135 akun email pemerintah teridentifikasi dalam kebocoran eksternal setelah Nepal bergabung dengan Have I Been Pwned.
• Paparan yang dilaporkan mencakup dokumen universitas dan sekitar 2 juta catatan kewarganegaraan untuk laporan kepolisian, dengan jumlah terakhir itu belum terverifikasi.
• Lebih dari 20 orang dilaporkan ditangkap dalam kasus pengadaan elektronik; putusan akhir pengadilan tidak disebutkan.
• Insiden ransomware yang diduga terjadi pada September 2026 mengganggu sistem yang melayani 72 perusahaan pialang saham dan menghentikan perdagangan saham selama sehari.
• Masalah kapasitas identitas nasional dilaporkan mengganggu autentikasi selama beberapa pekan di lebih dari 16 lembaga.
• Pemantauan dan pengujian keamanan telah diperluas, tetapi pemberitahuan kebocoran, penetapan tanggung jawab, dan sejumlah jadwal pemulihan masih belum jelas.