Jepang Siapkan Paket Darurat Keamanan Siber setelah Kebocoran Data GMO Berdampak pada Nasabah Perdagangan

Kebocoran Data Berujung Kerugian bagi Nasabah

Jepang akan menyusun paket darurat keamanan siber paling lambat akhir pekan yang dimulai pada 2 November, kata Perdana Menteri Sanae Takaichi pada 26 Oktober 2026. Serangan terhadap sejumlah perusahaan telah membeberkan informasi pribadi dan membuat sebagian nasabah mengalami kerugian akibat transaksi keuangan tanpa izin.

Pengumuman itu disampaikan setelah insiden yang melibatkan GMO Internet Group. Perusahaan tersebut mengatakan 26.739 server berpotensi terdampak, termasuk akun perdagangan di lebih dari 70 perusahaan sekuritas, penyedia valuta asing, dan bisnis lain di Jepang maupun luar negeri. Seorang nasabah di Prefektur Kanagawa mengatakan transaksi valuta asing tanpa izin telah membuatnya rugi lebih dari 6 juta yen.

Takaichi menggelar rapat pertama para menteri terkait keamanan siber di kantornya di Tokyo. Ia menyerukan respons terkoordinasi yang dapat mencakup penggunaan kewenangan hukum baru untuk memasuki sistem para penyerang dan menetralkan ancaman, serta memperkuat pengujian dan pemantauan terhadap bisnis Jepang.

Dalam taklimat 26 Oktober, Kepala Sekretaris Kabinet Minoru Kihara mengumumkan rapat tersebut akan digelar pukul 18.00 dan menguraikan kekhawatiran utama pemerintah: kebocoran informasi berskala besar yang berulang kini diikuti kerugian lanjutan akibat penyalahgunaan data yang dicuri. Kementerian akan membahas langkah tambahan sekaligus mempererat kerja sama.

Usai rapat, Takaichi menjelaskan urgensi situasi itu dengan menyoroti kerugian yang timbul ketika informasi yang bocor digunakan untuk merugikan orang-orang yang bersangkutan.

"Situasinya serius, dengan meningkatnya kekhawatiran atas kerugian perdata akibat penyalahgunaan informasi yang bocor. Kita harus segera memperkuat langkah penanggulangan," katanya.

Tugas mendesak pemerintah lebih luas daripada sekadar memperbaiki komputer yang disusupi. Para menteri harus menangani bagaimana informasi yang dicuri dapat membahayakan uang nasabah, bagaimana bisnis mendeteksi penyusupan, dan kapan negara perlu bertindak terhadap penyerang.

Cakupan Paket Darurat

Takaichi menyebut simulasi serangan dengan kecerdasan buatan generatif dan jaringan pemantauan yang menjangkau usaha kecil dan menengah sebagai langkah untuk memperkuat pertahanan Jepang. AI generatif menghasilkan konten seperti teks atau kode komputer; dalam uji keamanan yang terkendali, teknologi ini dapat membantu membuat skenario serangan untuk menguji respons suatu sistem.

Simulasi serangan adalah latihan yang dilakukan dengan izin. Tim keamanan berusaha menemukan titik lemah sebelum dimanfaatkan oleh pelaku kriminal. Jaringan pemantauan memiliki fungsi berbeda: mengawasi aktivitas mencurigakan agar organisasi dapat mendeteksi dan merespons penyusupan.

Rencana untuk menjangkau bisnis yang lebih kecil penting karena respons pemerintah dimaksudkan agar tidak hanya mencakup perusahaan besar dan lembaga publik. Paket tersebut akan melibatkan lebih banyak bisnis dalam upaya terkoordinasi untuk mendeteksi serangan dan berbagi peringatan.

Takaichi menginstruksikan para menteri agar segera mengkaji langkah-langkah tersebut beserta pendanaannya. Ia juga meminta agar seluruh kekuatan pemerintah dikerahkan untuk mempercepat pekerjaan ini. Anggaran paket, pengaturan pemantauan secara terperinci, dan tanggal pasti pengumumannya belum disampaikan.

Mengapa Banyak Kementerian Terlibat

Pengumuman Kihara mencantumkan para peserta yang bertanggung jawab atas keamanan siber, kepolisian, keuangan, komunikasi, industri, transportasi, dan pertahanan. Selain Takaichi dan Kihara, nama-nama yang disebut meliputi Menteri Keamanan Siber Toshiharu Furukawa, Ketua Komisi Keselamatan Publik Nasional Yasuhiro Hanashi, dan Menteri Pertahanan Shinjiro Koizumi.

Ragam tanggung jawab tersebut mencerminkan berbagai sisi masalah ini. Kebocoran pada penyedia server dapat mengekspos informasi yang digunakan nasabah layanan keuangan. Polisi dapat menyelidiki kegiatan kriminal, sementara otoritas pertahanan memiliki tanggung jawab berdasarkan kerangka baru untuk menangkal ancaman siber.

Rapat 26 Oktober dimaksudkan agar para menteri memiliki pemahaman bersama mengenai insiden yang terjadi serta memperkuat kerja sama antarkementerian. Rapat itu menyusul usulan yang disampaikan kepada Takaichi pada 23 Oktober oleh pusat strategi keamanan siber Partai Demokrat Liberal yang berkuasa.

Partai tersebut menyerukan pembentukan markas khusus penanganan di bawah kantor perdana menteri, peningkatan kesadaran di kalangan eksekutif perusahaan, khususnya perusahaan tercatat di bursa, serta perekrutan dan pelatihan tenaga profesional keamanan siber yang lebih kuat. Takaichi berjanji menangani keamanan siber di bawah kepemimpinan kantornya.

Bagaimana Kebocoran GMO Menjangkau Akun Perdagangan

Pada 24 Oktober, GMO mengakui bahwa informasi dari Onamae.com Desktop Cloud, layanan yang menyewakan akses ke server jarak jauh, mungkin telah dicuri. Nasabah menggunakan layanan ini untuk perdagangan valuta asing otomatis sehingga perangkat lunak perdagangan dapat berjalan di komputer jarak jauh, bukan bergantung pada komputer di rumah.

Perdagangan margin valuta asing, yang biasanya disebut perdagangan FX, melibatkan pengambilan posisi atas perubahan harga mata uang dengan hanya menyetor sebagian dari nilai transaksi. Nasabah dapat mengalami kerugian besar ketika pergerakan pasar berlawanan dengan posisi mereka. Dalam kasus ini, nasabah mengeluhkan adanya transaksi yang dilakukan tanpa izin mereka.

GMO mengatakan kata sandi dan informasi lain yang terhubung dengan akun perdagangan di servernya mungkin telah dilihat pihak ketiga. Potensi paparan mencakup 26.739 server yang terkait dengan akun di lebih dari 70 bisnis. Perusahaan belum memberikan angka pasti jumlah nasabah yang kehilangan uang ataupun nilai total kerugian mereka.

Seorang pekerja kantoran berusia 44 tahun di Prefektur Kanagawa mengatakan transaksi tanpa izin pada 21 Oktober membuatnya rugi lebih dari 6 juta yen. Ia menggambarkan reaksinya dengan singkat:

"Saya panik," katanya.

Nasabah tersebut kemudian menerima email dari pengirim yang mengaku sebagai "Hacking Team" dan mengklaim telah menghapus saldo akunnya. Pengalamannya menunjukkan mengapa pemerintah menganggap penyalahgunaan informasi yang bocor sebagai ancaman langsung terhadap keuangan masyarakat, sekaligus persoalan bagi perusahaan yang menyimpan data mereka.

Kompensasi dan Ancaman terhadap Pengguna

GMO mengatakan akan membayar 5.000 yen kepada setiap pengguna layanan yang terdampak, termasuk mereka yang tidak mengalami kerugian finansial. Perusahaan itu juga menjanjikan kompensasi atas kerugian yang dinilai terjadi akibat akses tanpa izin. Karena itu, pembayaran umum dan proses kompensasi menyasar kelompok berbeda: semua pengguna layanan menerima pembayaran, sedangkan kerugian perdagangan harus dinilai terlebih dahulu.

CEO GMO Masatoshi Kumagai meminta maaf dalam unggahan blog pada 25 Oktober atas kegagalan perusahaan melindungi nasabah dan berjanji memberikan kompensasi. Ia juga meminta pemerintah menggunakan langkah pertahanan siber aktif.

GMO mengatakan pihak yang diduga sebagai penyerang telah meminta uang dan mengancam akan merilis informasi perusahaan serta nasabah. Perusahaan menjelaskan mengapa memenuhi permintaan itu tetap akan membahayakan nasabah:

"Sekalipun kami memenuhi tuntutan tersebut, tidak ada jaminan bahwa informasi yang diperoleh akan dihapus atau penyalahgunaannya dapat dicegah," kata GMO.

Pada 24 Oktober, seseorang yang diyakini berada di balik serangan itu juga mengancam secara daring akan melancarkan serangan ransomware terhadap komputer nasabah. Ransomware adalah perangkat lunak berbahaya yang dapat mengunci berkas atau sistem dan meminta pembayaran. GMO mendesak pengguna untuk mencadangkan data dan menjalankan pemindaian virus.

Kewenangan Pertahanan Siber Aktif

Undang-Undang Pertahanan Siber Aktif Jepang disahkan parlemen pada Mei 2025 dan mulai berlaku pada 1 Oktober 2026. Ketentuan penetralan melalui akses memungkinkan pihak berwenang memasuki sistem penyerang dan bertindak untuk menghentikan ancaman siber dari sumbernya.

Pendekatan ini melampaui upaya melindungi komputer milik korban. Alih-alih hanya memblokir aktivitas yang masuk atau memperbaiki kerusakan, pihak berwenang dapat bertindak terhadap sistem yang digunakan untuk melancarkan serangan. Kepolisian dan Pasukan Bela Diri Jepang memiliki peran dalam penerapan kerangka tersebut.

Takaichi mengatakan pemerintah akan memilih dan melaksanakan respons yang tersedia secara strategis, termasuk penetralan melalui akses, terhadap serangan siber yang situasinya telah diketahui. Pernyataannya menempatkan penyelidikan dan pertimbangan operasional sebagai inti dari setiap keputusan.

Permintaan GMO membawa kewenangan tersebut ke dalam sengketa konkret yang menyangkut aset nasabah perusahaan swasta. Kumagai mengakui bahwa intervensi pemerintah biasanya dikaitkan dengan operator infrastruktur penting, seperti perusahaan utilitas dan transportasi, serta menyadari bahwa pihak berwenang menentukan kapan dan bagaimana tindakan dilakukan.

Kumagai berpendapat serangan dengan metode yang sama dapat meluas dari layanan perusahaan swasta ke infrastruktur lain dan aset pribadi. Permintaannya bertujuan agar undang-undang yang baru berlaku itu menjadi bagian dari respons terhadap kerugian yang sudah dilaporkan nasabah.

Siapa yang Memutuskan Apakah Intervensi Diperlukan?

Kihara mengatakan pemerintah akan menilai sendiri apakah penetralan melalui akses diperlukan. Permintaan perusahaan dapat menyampaikan informasi dan urgensi kepada pihak berwenang, tetapi keputusan tetap berada di tangan negara sesuai persyaratan hukum yang berlaku.

Ketika ditanya mengenai respons terhadap kasus GMO, Kihara menolak membahas detail operasional dengan alasan komentar mengenai serangan tertentu dapat mengungkap strategi pemerintah. Ia menjelaskan pendekatan yang biasanya dilakukan pemerintah terhadap informasi dari organisasi terdampak:

"Secara umum, pemerintah menerima berbagai bentuk informasi dari organisasi yang terdampak, memberikan dukungan yang diperlukan, dan mengambil langkah yang sesuai dengan kondisi setiap kasus," katanya.

Seorang pejabat di kantor perdana menteri mengatakan analisis lebih lanjut diperlukan untuk menentukan apakah kasus GMO memenuhi kriteria. Operasi apa pun kemungkinan tidak akan diungkapkan kepada publik karena pengumumannya dapat membocorkan kemampuan pemerintah. Karena itu, bagi nasabah dan bisnis, respons pemerintah mungkin lebih mudah dipantau melalui kompensasi, perlindungan layanan, dan pengumuman kebijakan daripada detail tindakan terhadap penyerang.

Menguji Pertahanan dan Menyelidiki Serangan

Menteri Industri Ryosei Akazawa juga mengumumkan rencana untuk membentuk tim peretas etis pada bulan berikutnya. Para spesialis keamanan siber itu akan bekerja di Badan Platform Inovasi, yang berafiliasi dengan Kementerian Ekonomi, Perdagangan, dan Industri, untuk menemukan kelemahan dalam sistem komputer.

Peretas etis menguji sistem dengan izin agar kelemahannya dapat diperbaiki. Pekerjaan mereka akan melengkapi rencana uji simulasi serangan dan jaringan pemantauan: pengujian mencari titik rentan, sedangkan pemantauan mendeteksi tanda-tanda upaya untuk mengeksploitasinya.

Pengumuman Akazawa disampaikan ketika sejumlah halaman web kementerian dan layanan perusahaan dihentikan sementara sebagian sebagai langkah pencegahan setelah ditemukan kerentanan pada PHP, bahasa pemrograman yang banyak digunakan untuk membuat situs web. Kementerian telah menyebarkan peringatan keamanan siber melalui sekitar 1.000 organisasi dan asosiasi industri.

Penyelidik juga memeriksa perangkat yang terkait dengan penyusupan GMO. GMO Cybersecurity by Ierae, anak usaha grup tersebut, mengatakan telah melacak serangan itu ke sebuah alat kecerdasan buatan bernama Artex. Penyelidikan CrowdStrike atas serangan Artex di Korea Selatan menilai ancaman tersebut kemungkinan besar berasal dari China. Asal serangan terhadap GMO belum dikonfirmasi.

Tanggal-Tanggal Penting dalam Respons Darurat

Pada Oktober, pemerintah memberlakukan kewenangan baru, laporan kerugian nasabah bermunculan, dan keputusan politik diambil secara beruntun. Tanggal-tanggal utama menunjukkan betapa cepatnya persoalan ini berkembang dari insiden yang berdampak pada nasabah perdagangan menjadi respons yang melibatkan berbagai kementerian.

• Mei 2025: Parlemen mengesahkan Undang-Undang Pertahanan Siber Aktif.
• 1 Oktober 2026: Kerangka hukum mulai berlaku, termasuk ketentuan penetralan melalui akses.
• 21 Oktober: Nasabah di Kanagawa mengatakan transaksi FX tanpa izin menyebabkan kerugian lebih dari 6 juta yen.
• 23 Oktober: Partai Demokrat Liberal menyampaikan usulan darurat, termasuk pembentukan markas penanganan di bawah kantor perdana menteri.
• 24 Oktober: GMO mengakui adanya dugaan pencurian informasi dari Onamae.com Desktop Cloud. Ancaman terhadap komputer nasabah juga muncul secara daring.
• 25 Oktober: Kumagai meminta maaf, menjanjikan kompensasi, dan meminta intervensi pemerintah.
• 26 Oktober: Takaichi menggelar rapat para menteri dan memerintahkan penyusunan paket darurat untuk pekan berikutnya.

Paket tersebut menjadi tonggak kebijakan publik berikutnya. Manfaat nyatanya bagi bisnis dan nasabah akan bergantung pada langkah yang dipilih para menteri, pendanaan yang menyertainya, serta seberapa cepat pengujian, pemantauan, dan respons insiden menjangkau organisasi yang menjadi sasaran.

Poin-Poin Utama

• Takaichi ingin paket darurat keamanan siber diselesaikan pada pekan yang dimulai 2 November 2026.
• GMO mengatakan 26.739 server berpotensi terdampak, termasuk akun perdagangan di lebih dari 70 bisnis.
• Seorang nasabah melaporkan kerugian lebih dari 6 juta yen akibat transaksi FX tanpa izin.
• GMO menjanjikan 5.000 yen kepada setiap pengguna layanan terdampak dan kompensasi atas kerugian yang dinilai terjadi akibat akses tanpa izin.
• Langkah pemerintah yang diusulkan mencakup simulasi serangan dengan AI generatif dan pemantauan yang menjangkau bisnis kecil.
• Pihak berwenang akan memutuskan secara independen apakah akan menggunakan kewenangan baru untuk memasuki sistem penyerang dan menetralkan ancaman.