Pakar Ungkap Kebocoran Akun E-mail dari Kemenag sampai Kementerian PUPR

JAKARTA, KOMPAS.com - Pengamat keamanan siber dari Vaksin.com, Alfons Tanujaya mengatakan, saat ini tercatat ada 28 domain dan subdomain lembaga pemerintah, kementerian, hingga pemerintah daerah yang mengalami kebocoran akun surat elektronik (surel) atau e-mail.

"Berdasarkan data DarkTracer yang diolah oleh lab Vaksincom, ada lebih dari 28 domain dan subdomain institusi pemerintah Indonesia yang mengalami kebocoran data kredensial mail server," tulis Alfons dalam keterangan pers yang diterima Kompas.com, Senin (25/4/2022).

Baca juga: Keamanan Data PeduliLindungi Wajib Dijaga karena Jadi Incaran Peretas

Daftar peladen surel (mail server) institusi pemerintah yang mengalami kebocoran e-mail menurut DarkTracer adalah sebagai berikut :

1. mail.kemenag.go.id (326)
2. mail.polri.go.id (114)
3. mail.atrbpn.go.id (104)
4. mail.bps.go.id (100)
5. sakti.mail.go.id (96)
6. webmail.kemenkeu.go.id (85)
7. mailhost.bpd.go.id (84)
8. mail.jabarprov.go.id (79)
9. email.pajak.go.id (46)
10. mail.go.id (37)
11. mail.kemendikbud.go.id (25)
12. mail.dephub.go.id (21)
13. mail.customs.go.id (20)
14. mail.esdm.go.id (14)
15. mail.kejaksaan.go.id (13)
16. mail.kemenkumham.go.id (13)
17. webmail.bnn.go.id (13)
18. email.jakarta.go.id (11)
19. mail.bppt.go.id (11)
20. mail.pertanian.go.id (11)
21. mail.ojk.go.id (10)
22. mail.kemsos.go.id (7)
23. mail.pom.go.id (7)
24. mail.bkkbn.go.id (6)
25. webmail.kpu.go.id (6)
26. mail.bpk.go.id (5)
27. mail.kemenpppa.go.id (5)
28. mail.pu.go.id (4)

Alfons mengatakan, kebocoran kredensial e-mail perlu mendapatkan perhatian ekstra karena dengan berbekal data itu peretas dapat mengakses peladen surel institusi secara sah, dan mengirimkan e-mail menggunakan akun yang bocor tersebut.

Menurut Alfons, jika pelaku berhasil meretas akun surel yang bocor, maka mereka akan mampu menembus perlindungan antispam yang canggih sekalipun seperti Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM), dan DMARC (Domain-based Message Authentication, Reporting, and Conformance).

Baca juga: Kebutuhan RUU Keamanan Siber Dinilai Sudah Sangat Mendesak

"Dan bukan salah program antispamnya yang tidak mampu mendeteksi spam, tetapi karena memang e-mail itu dikirimkan dari IP dan domain e-mail yang sah sehingga diloloskan oleh antispam," ujar Alfons.

Selain itu, kata Alfons, kebocoran kredensial e-mail domain atau subdomain institusi pemerintah dan swasta sangat berbahaya karena orang yang menerima surel dari akun yang berhasil diretas tidak curiga. Akhirnya, mereka terkecoh dan menjadi korban rekayasa sosial mengatasnamakan lembaga yang bersangkutan.

Baca juga: Pembahasan RUU Keamanan Siber Diharapkan Rinci Hindari Tumpang Tindih

"Jika dikombinasikan dengan rekayasa sosial dan situs phishing akan dengan mudah mengecoh korbannya baik untuk mendapatkan kredensial lain ataupun mendapatkan keuntungan lain seperti keuntungan finansial," ucap Alfons.