Attacker Punya Playbook, Auditor Punya Checklist: Begini Kebocoran Data Sebenarnya Terjadi

Dari luar, memang begitu kesannya. Kemarin sistem baik-baik saja, hari ini nama perusahaan sudah jadi berita utama karena data pelanggannya bocor. Rasanya seperti ada saklar yang tiba-tiba dinyalakan.

Tapi kalau ditelusuri lebih jauh, hampir tidak pernah ada insiden kebocoran data yang benar-benar terjadi dalam sekejap. Yang terjadi biasanya rangkaian langkah kecil pengintaian, pencarian celah, percobaan masuk yang berlangsung diam-diam jauh sebelum berita itu muncul. Titik "tiba-tiba" yang kita lihat sebenarnya cuma ujung dari proses yang panjang.

Artikel ini mencoba membedah proses itu dari dua sisi yang sering dibahas terpisah: sisi attacker yang menyusun serangan tahap demi tahap, dan sisi auditor yang datang setelahnya untuk menanyakan kenapa semua itu bisa lolos.

Data Breach Bukan Sekadar Masalah Teknis

Data breach, secara sederhana, adalah insiden keamanan di mana pihak yang tidak berwenang berhasil mengakses, mencuri, atau mengekspos informasi sensitif milik individu maupun organisasi tanpa izin. Data yang jadi incaran biasanya bukan sembarang data mulai dari identitas dan data pelanggan, email dan kredensial login, password dan data autentikasi, data keuangan, sampai dokumen internal yang sifatnya rahasia.

Yang perlu diluruskan sejak awal: ini bukan cuma urusan tim IT. Ketika data bocor, dampaknya menyentuh hampir seluruh sisi organisasi. Ada kebocoran data pelanggan dan informasi sensitif yang tidak bisa ditarik kembali begitu sudah tersebar. Ada kerugian finansial, baik dari biaya pemulihan sistem maupun potensi tuntutan hukum. Ada gangguan operasional karena layanan mungkin harus dihentikan sementara selama investigasi berlangsung. Ada juga hilangnya kepercayaan pelanggan, yang biasanya jauh lebih sulit dipulihkan dibanding sistem itu sendiri, dan berujung pada kerusakan reputasi perusahaan di mata publik.

Kalau ada yang menganggap data breach sebagai masalah IT semata, itu cara pandang yang keliru sejak awal. Ini masalah bisnis yang kebetulan bermula dari celah teknis.

Think Like an Attacker: Serangan yang Berjalan Bertahap

Banyak orang membayangkan attacker sebagai sosok yang bisa langsung menembus sistem begitu ia mau. Padahal kenyataannya jauh lebih sabar dari itu. Sebuah data breach terjadi melalui serangkaian tahapan yang sistematis dan terencana, bukan satu tindakan tunggal.

Berikut alur yang biasa dilalui, dari titik paling awal sampai attacker berhasil menutup jejaknya.

Tahap paling awal biasa disebut Information Gathering, atau passive reconnaissance. Di sini attacker mengumpulkan informasi publik sebanyak mungkin tentang target domain dan subdomain perusahaan, email publik karyawan, teknologi yang dipakai di website, sampai infrastruktur yang terekspos ke internet. Belum ada interaksi langsung dengan sistem, sehingga tahap ini sulit terdeteksi. Bayangkan seseorang mengamati sebuah gedung dari kejauhan sebelum memutuskan mau masuk lewat pintu mana.

Setelah punya gambaran awal, attacker masuk ke tahap Service Enumeration memetakan layanan apa saja yang aktif di sistem target, mulai dari port yang terbuka, jenis dan versi web server, sistem operasi yang berjalan, sampai layanan yang berpotensi punya celah.

Tahap berikutnya adalah Vulnerability Assessment, di mana attacker mulai aktif mencari kelemahan yang bisa dimanfaatkan: software yang belum diperbarui, konfigurasi sistem yang kurang aman, penggunaan password yang lemah, atau kerentanan yang sudah diketahui publik dan biasa disebut CVE.

Begitu kelemahan ditemukan, attacker masuk ke tahap Exploit untuk mendapatkan akses awal. Menariknya, tahap ini justru sering mengandalkan faktor manusia, bukan cuma kecanggihan teknis lewat social engineering, phishing, atau human error yang dimanfaatkan attacker.

Setelah berhasil masuk, attacker biasanya tidak berhenti di akses terbatas. Lewat Privilege Escalation, mereka menaikkan hak akses dari sekadar pengguna biasa menjadi administrator atau root. Setelah itu mereka menanamkan Backdoor, semacam pintu belakang tersembunyi, agar bisa kembali mengakses sistem kapan saja bahkan setelah celah awal yang mereka pakai sudah ditutup oleh tim keamanan.

Tahap terakhir adalah Housekeeping: menghapus log sistem dan event log, memodifikasi atau menghapus file aktivitas, membersihkan history command dan sesi, serta menyembunyikan artefak yang bisa mengarah ke keberadaan mereka. Tujuannya jelas, membuat investigasi lebih sulit dan keberadaan mereka tetap tidak terdeteksi selama mungkin.

Ketujuh tahap ini menunjukkan sesuatu yang penting. Serangan yang berhasil bukan berarti attacker-nya jenius luar biasa. Lebih sering, itu berarti ada beberapa titik di sepanjang proses ini yang seharusnya bisa dihentikan, tapi tidak.

Faktor Manusia Juga Menjadi Bagian dari Serangan

Kalau diperhatikan lagi, tidak semua tahap di atas bergantung pada kecanggihan teknis. Phishing berhasil karena ada orang yang klik link tanpa curiga. Social engineering berhasil karena ada yang percaya begitu saja pada permintaan yang terdengar meyakinkan. Password lemah dan sistem yang belum diperbarui adalah celah yang sebenarnya bisa dicegah, bukan sesuatu yang tidak terhindarkan.

Ini yang membuat cybersecurity tidak bisa didekati semata-mata sebagai persoalan teknologi. Firewall yang canggih tidak banyak membantu kalau ada karyawan yang menyerahkan passwordnya lewat email phishing yang meyakinkan. Teknologi dan manusia sama-sama jadi bagian dari pertahanan atau sama-sama jadi celah.

Think Like an Auditor: Pertanyaan yang Berubah Setelah Insiden

Begitu insiden terjadi, pertanyaan pertama yang biasanya muncul adalah soal siapa dan bagaimana attacker bisa masuk. Wajar, tapi bukan itu pertanyaan yang paling penting.

Kalau attacker bisa menemukan kelemahan tersebut, mengapa kontrol organisasi tidak mencegah atau mendeteksinya lebih dulu?

Di sinilah IT Compliance masuk. Bukan sebagai pihak yang mencari siapa yang salah, tapi sebagai pihak yang mengevaluasi apakah sistem pertahanan yang sudah dibangun benar-benar bekerja seperti seharusnya. Setelah sebuah insiden keamanan terjadi, langkah berikutnya bukan langsung ditutup begitu saja organisasi perlu mengevaluasi apakah kontrol yang seharusnya melindungi sistem benar-benar berjalan.

People, Process, Technology

Evaluasi IT Compliance biasanya berputar di sekitar tiga aspek yang saling terkait.

Dari sisi orang yang menjalankan sistem, pertanyaannya sederhana: apakah pengguna memahami kebijakan keamanan yang berlaku, apakah akun pegawai yang sudah resign benar-benar dinonaktifkan, dan apakah pelatihan security awareness pernah dijalankan secara konsisten, bukan cuma sekali saat onboarding.

Dari sisi prosedur, pertanyaannya berkisar pada apakah SOP benar-benar dijalankan di lapangan, bukan cuma dokumen yang tersimpan rapi. Apakah ada mekanisme incident response yang jelas. Dan apakah setiap insiden yang pernah terjadi didokumentasikan serta dievaluasi, bukan sekadar diselesaikan lalu dilupakan.

Dari sisi teknologi, yang dicek adalah apakah kontrol keamanan yang terpasang benar-benar berfungsi, apakah logging aktif memantau aktivitas sistem, dan apakah backup yang disiapkan sudah pernah benar-benar diuji, bukan cuma "ada" di atas kertas.

Tiga aspek ini saling menopang. Teknologi paling mutakhir sekalipun tidak banyak berarti kalau prosesnya tidak dijalankan konsisten, dan proses yang rapi di atas kertas pun percuma kalau orang-orang yang menjalankannya tidak paham atau tidak patuh.

Dari Attack Lifecycle ke Defense

Kalau attack lifecycle dan pertahanan digabungkan, setiap fase serangan sebenarnya punya kontrol yang seharusnya menjadi lawannya. Information Gathering dilawan dengan Asset Management yang rapi. Service Enumeration dilawan dengan Firewall dan Network Monitoring. Vulnerability Assessment dilawan dengan Patch Management yang disiplin. Exploit dilawan dengan kombinasi MFA dan Security Awareness. Privilege Escalation dilawan dengan prinsip Least Privilege. Backdooring dilawan dengan Endpoint Detection and Response. Dan Housekeeping upaya attacker menghapus jejak dilawan dengan SIEM dan Log Monitoring yang aktif memantau anomali.

Yang penting dipahami dari mapping ini: tidak ada satu kontrol pun yang bisa berdiri sendiri sebagai solusi lengkap. Asset Management yang baik tidak banyak berguna kalau patch management-nya lemah. MFA yang kuat tidak banyak menolong kalau tidak dibarengi kesadaran keamanan dari penggunanya. Pertahanan yang efektif adalah rangkaian lapisan, bukan satu tembok tunggal yang diharapkan menahan semuanya sendirian.

Apa yang Sebenarnya Dilihat Auditor?

Secara lebih spesifik, seorang auditor IT Compliance biasanya menelusuri lima area, masing-masing dengan bukti yang harus bisa ditunjukkan, bukan sekadar diklaim.

Risk Assessment menelusuri apakah risiko sudah diidentifikasi dan apakah kontrol yang dipilih memang berdasarkan risiko tersebut, dengan bukti berupa Risk Register dan Risk Treatment Plan. Identity & Access Management menelusuri apakah hak akses sesuai tugas masing-masing orang dan apakah akun yang sudah resign benar-benar dicabut aksesnya, dengan bukti berupa Access Request, Access Review, dan Exit Clearance. Logging & Monitoring menelusuri apakah aktivitas pengguna tercatat dan apakah ada alert ketika muncul aktivitas yang tidak wajar, dengan bukti berupa Audit Log dan Firewall Log. Incident Response menelusuri apakah insiden ditangani sesuai prosedur dan terdokumentasi, dengan bukti berupa Incident Report, Root Cause Analysis (RCA), dan CAPA. Business Continuity menelusuri apakah backup benar-benar diuji dan apakah layanan bisa dipulihkan saat terjadi gangguan besar, dengan bukti berupa Backup Report dan DR Drill Report.

Lima area ini yang membuat evaluasi IT Compliance terasa berbeda dari sekadar audit administratif. Setiap pertanyaan menuntut bukti konkret, bukan jawaban "sudah ada kok" tanpa dokumentasi pendukung.

Apa yang Bisa Dipelajari dari Insiden di Indonesia?

Pola ini bukan cuma teori. Di Indonesia sendiri, beberapa insiden kebocoran data sudah cukup dikenal publik.

Pada 2021, BPJS Kesehatan mengalami eksfiltrasi sekitar 279 juta data penduduk. Pada 2022, muncul dugaan kebocoran sekitar 204 juta data pemilih KPU RI yang diklaim diperjualbelikan di forum peretas. Pada 2024, Pusat Data Nasional Sementara (PDNS) mengalami serangan ransomware. Dan pada 2026, data pelamar kerja di Kemkomdigi sempat dapat diakses publik akibat pengaturan akses yang kurang tepat pada proses rekrutmen.

Yang menarik dari empat kasus ini: penyebabnya tidak selalu berupa serangan yang sangat canggih. Ada yang berupa eksfiltrasi data dalam skala besar, ada yang berupa ransomware, tapi ada juga yang sesederhana pengaturan akses yang keliru sesuatu yang seharusnya bisa dicegah lewat kontrol Identity & Access Management yang lebih ketat.

Dari Reaktif Menjadi Preventif

Pola yang sering terjadi di banyak organisasi: sistem keamanan baru benar-benar dibenahi setelah insiden terjadi. Padahal kalau melihat attack lifecycle dan area audit yang sudah dibahas, ada banyak titik di sepanjang proses itu yang sebenarnya bisa menghentikan serangan lebih awal, asal kesiapannya sudah dibangun sejak sebelum insiden terjadi.

Mitigasi risiko yang terstruktur perlu dijalankan secara berkelanjutan, bukan cuma tambal sulam setiap ada masalah baru. Audit keamanan berkala membantu menemukan celah sebelum pihak luar menemukannya lebih dulu. Monitoring yang aktif membuat aktivitas mencurigakan bisa terdeteksi lebih cepat, bukan baru diketahui setelah data sudah bocor. Incident response yang sudah dilatih membuat organisasi tidak panik saat insiden benar-benar terjadi. Business continuity yang teruji memastikan layanan tetap bisa berjalan meski ada gangguan besar. Semua ini perlu dibarengi evaluasi kontrol dan continuous improvement yang berjalan terus-menerus, bukan sekadar formalitas administratif.

Closing: Think Like an Attacker, Act Like a Defender

Memahami cara attacker berpikir itu penting, tapi bukan untuk meniru caranya menyerang. Tujuannya adalah mengenali titik lemah lebih dulu, sebelum orang lain menemukannya duluan.

Di sisi lain, IT Compliance juga bukan sekadar formalitas kepatuhan. IT Compliance tidak menghilangkan risiko, tetapi memastikan risiko dikelola secara sistematis dan terus dievaluasi.

Dua cara berpikir ini, kalau dijalankan berdampingan, membentuk siklus yang saling menguatkan. Attacker menunjukkan di mana celahnya. Auditor memastikan celah itu benar-benar ditutup dan tetap tertutup, bukan cuma untuk hari ini, tapi untuk insiden yang belum tentu tidak akan datang lagi.