Apa Itu Data Breach? Pengertian, Contoh Kasus, dan Cara Mengamankan Data

Data breach adalah insiden keamanan ketika informasi diakses, diambil, diungkapkan, atau digunakan oleh pihak yang tidak berwenang. Istilah Indonesianya adalah kebocoran data atau, dalam bahasa Undang-Undang Pelindungan Data Pribadi, kegagalan pelindungan data pribadi. Peristiwanya bisa menimpa satu akun, satu departemen, atau seluruh basis data pelanggan sebuah perusahaan.

Informasi yang terekspos bisa beragam: nama, alamat email, nomor telepon, password dalam bentuk hash, riwayat transaksi, nomor identitas kependudukan, hingga rekam medis atau template biometrik.

Penyebabnya juga tidak tunggal. Sebagian berawal dari serangan siber terencana, sebagian lain dari salah konfigurasi penyimpanan awan, dokumen yang salah kirim, atau perangkat kerja yang hilang. Regulator perlindungan data umumnya memperlakukan keduanya sama seriusnya.

Artikel ini membahas cara membedakan istilah yang sering tertukar, contoh kasus yang dapat diverifikasi, cara menilai klaim kebocoran yang beredar di media sosial, serta langkah perlindungan untuk individu maupun organisasi.

Apa Itu Data Breach?

Data breach adalah insiden keamanan yang menyebabkan pihak tanpa otorisasi memperoleh akses ke informasi sensitif atau rahasia, baik data pribadi maupun data perusahaan. IBM menegaskan satu batasan penting: tidak semua serangan siber merupakan data breach. Serangan DDoS yang membuat situs tumbang, misalnya, mengganggu layanan tetapi tidak dengan sendirinya berarti ada data yang diambil.

Regulator memakai rumusan yang lebih luas. Otoritas perlindungan data Inggris (ICO) mendefinisikan personal data breach sebagai pelanggaran keamanan yang mengakibatkan pemusnahan, kehilangan, perubahan, pengungkapan, atau akses terhadap data pribadi secara tidak sah maupun tidak sengaja. Definisi ini secara eksplisit mencakup penyebab yang disengaja dan yang tidak disengaja.

Contohnya: basis data pengguna yang seharusnya hanya dapat dibaca sistem internal ternyata dapat diakses dan disalin pihak luar. Skalanya bervariasi — satu akun pun dapat terdampak, meski pemberitaan biasanya hanya menyoroti kebocoran berskala besar.

Arti Data Breach dalam Bahasa Sederhana

Bayangkan lemari arsip digital yang seharusnya hanya bisa dibuka oleh orang tertentu. Ketika seseorang yang tidak berhak berhasil membukanya, melihat isinya, atau membawa salinannya keluar, itulah pelanggaran keamanan data.

Kuncinya bukan apakah pelakunya “meretas”, melainkan bahwa informasi berpindah ke pihak yang tidak berhak. Analogi ini membantu, tetapi definisi teknis di atas tetap menjadi acuan.

Data Breach vs Data Leak

Kedua istilah ini sering dipakai bergantian, dan penggunaannya memang berbeda antarorganisasi.

Aspek	Data Breach	Data Leak
Pengertian	Akses tidak sah terhadap data, umumnya sebagai hasil insiden keamanan	Paparan data sensitif secara tidak disengaja kepada pihak tanpa otorisasi
Akses tidak sah	Ada	Ada, tetapi sering terjadi tanpa ada yang “menerobos”
Serangan aktif	Sering menjadi pemicu	Umumnya tidak diperlukan
Human error	Bisa menjadi penyebab	Penyebab paling khas
Salah konfigurasi	Bisa menjadi pintu masuk	Penyebab paling khas
Contoh	Penyerang mengeksploitasi kerentanan lalu menyalin basis data pelanggan	Penyimpanan cloud dibiarkan terbuka publik sehingga data dapat diunduh siapa saja

IBM menjelaskan data leak sebagai paparan informasi sensitif yang tidak disengaja, biasanya akibat praktik atau sistem yang buruk, sementara data breach lebih sering merupakan hasil serangan bertarget — dan sebuah leak dapat berkembang menjadi breach. Dari sudut pandang regulasi, pembedaan itu tidak selalu berarti banyak: ICO memasukkan penyebab disengaja maupun tidak disengaja ke dalam definisi personal data breach yang sama. Jangan membaca perbedaan istilah ini sebagai garis absolut.

Data Breach vs Hacking

Hacking atau cyberattack adalah tindakan dan metodenya. Data breach adalah akibat yang mungkin timbul. Sebuah serangan bisa berakhir tanpa data yang berpindah, dan sebuah kebocoran bisa terjadi tanpa ada yang menyerang.

Penyebab non-serangan yang umum:

• Bucket penyimpanan cloud dibiarkan dapat diakses publik
• Basis data salah konfigurasi sehingga terbuka ke internet
• Laptop atau media penyimpanan hilang dalam kondisi tidak terenkripsi
• Dokumen berisi data pribadi terkirim ke penerima yang salah
• Akses pegawai yang melebihi kebutuhan dan disalahgunakan

Data Breach vs Ransomware

Ransomware adalah jenis serangan yang mengenkripsi sistem korban dan menuntut tebusan. Operasi modern kerap mencuri data lebih dulu, lalu memakai ancaman publikasi sebagai tekanan tambahan — pola yang disebut pemerasan ganda.

Dua hal ini tetap perlu dipisahkan: tidak semua serangan ransomware terbukti menghasilkan pencurian data, dan sebagian besar data breach tidak melibatkan ransomware. Verizon Data Breach Investigations Report (DBIR) 2026 mencatat ransomware terlibat dalam 48% breach terkonfirmasi sepanjang 2025, naik dari 44%, meski hanya 31% korban membayar dan nilai tebusan median turun di bawah USD 140.000.

Data Breach vs Phishing

Phishing adalah teknik memancing korban menyerahkan kredensial atau menyetujui akses. Ia sering menjadi pintu masuk, bukan kebocorannya itu sendiri. Setelah kredensial berpindah tangan, pelaku dapat masuk ke email korban, mengambil session token, menembus aplikasi perusahaan, lalu mengakses data internal. Laporan IBM Cost of a Data Breach 2026 mencatat phishing tetap menjadi vektor serangan awal paling umum untuk tahun keempat berturut-turut.

Tetapi email phishing yang masuk ke kotak masuk Anda, dengan sendirinya, belum berarti terjadi data breach.

Jenis Data yang Bisa Bocor

UU PDP membagi data pribadi menjadi dua kategori dalam Pasal 4: data yang bersifat spesifik dan data yang bersifat umum. Kategori spesifik mencakup data kesehatan, biometrik, genetika, catatan kejahatan, data anak, dan data keuangan pribadi.

Data identitas. Nama, tanggal lahir, alamat, nomor telepon, alamat email.

Data kredensial. Username, password (teks biasa maupun hash), informasi pemulihan akun, dan session token. Token yang masih aktif berbahaya karena memberi akses tanpa perlu password.

Data keuangan. Informasi pembayaran, nomor rekening, riwayat transaksi. Standar industri pembayaran melarang penyimpanan sebagian elemen kartu, sehingga tidak setiap kebocoran berarti nomor kartu lengkap ikut terekspos.

Data pemerintah. NIK dan nomor dokumen kependudukan. Data kesehatan. Diagnosis, riwayat perawatan, hasil laboratorium. Data lokasi dan perangkat. Titik lokasi, riwayat perjalanan, identitas perangkat. Data perusahaan. Dokumen internal, source code, kontrak, arsip email, API key, kredensial sistem.

Data biometrik. Sidik jari, pemindaian wajah, template biometrik. Kategori ini paling sulit dipulihkan karena Anda tidak bisa mengganti wajah atau sidik jari seperti mengganti password.

Bagaimana Data Breach Terjadi?

Alur yang umum terlihat dalam investigasi insiden kira-kira seperti ini:

1. Penyerang menemukan titik masuk, misalnya sistem yang belum diperbarui atau kredensial yang bocor
2. Memperoleh akses awal
3. Meningkatkan level akses bila diperlukan
4. Mencari lokasi data bernilai
5. Menyalin atau mengekstraksi data keluar
6. Memanfaatkan, memeras, atau menjual data tersebut

Alur ini bukan satu-satunya pola. Banyak insiden justru berawal dari salah konfigurasi, kekeliruan pegawai, kehilangan perangkat, atau akses internal yang tidak semestinya — tanpa tahapan serangan sama sekali.

Penyebab Data Breach yang Paling Umum

Verizon DBIR 2026 menganalisis lebih dari 22.000 breach terkonfirmasi di 145 negara, jumlah terbesar sepanjang sejarah laporan tersebut.

Kerentanan Software yang Belum Ditambal

Untuk pertama kalinya dalam 19 tahun laporan DBIR, eksploitasi kerentanan menggeser pencurian kredensial sebagai vektor akses awal paling umum, mencapai 31% dari breach. Verizon mencatat hanya 26% kerentanan kritis yang tuntas ditambal pada 2025, turun dari 38%, dengan waktu remediasi median memanjang dari 32 menjadi 43 hari.

Password dan Kredensial Dicuri

Penyalahgunaan kredensial turun menjadi 13% sebagai vektor akses awal, tetapi tetap muncul di 39% rangkaian breach secara keseluruhan. Kredensial curian jarang menjadi satu-satunya cara masuk, namun hampir selalu hadir di suatu titik.

Phishing dan Social Engineering

Pelaku memanfaatkan tekanan waktu, otoritas palsu, dan konteks kerja yang tampak wajar. Verizon mencatat unsur manusia hadir dalam 62% breach.

Malware Pencuri Informasi (Infostealer)

Infostealer menyalin password tersimpan, cookie peramban, session token, dan data dompet digital dari perangkat korban, lalu menjualnya sebagai “log”. Flashpoint mencatat 7,4 juta perangkat terinfeksi sepanjang paruh pertama 2026, naik 27%, dengan 1,7 miliar kredensial terkumpul pada periode itu.

Password Digunakan Ulang

Bila password sama dipakai di banyak layanan, satu kebocoran membuka pintu untuk yang lain melalui credential stuffing — percobaan login otomatis memakai kombinasi email dan password hasil kebocoran sebelumnya.

Salah Konfigurasi Cloud

Penyimpanan objek yang dibiarkan publik, basis data tanpa autentikasi, dan izin akses yang terlalu longgar masih sering berulang.

Human Error dan Insider Threat

Termasuk dokumen salah kirim, berkas terunggah ke lokasi publik, dan izin berbagi terlalu luas. Insider threat perlu dibedakan: ada yang disengaja untuk keuntungan pribadi, ada yang murni kelalaian.

Kompromi Pihak Ketiga dan Supply Chain

Tren dengan kenaikan paling tajam. DBIR 2026 mencatat keterlibatan pihak ketiga muncul dalam 48% breach, melonjak 60%. Organisasi bisa terdampak tanpa sistemnya sendiri ditembus — cukup melalui vendor, integrasi SaaS, atau penyedia layanan yang dipercayanya.

Perangkat Hilang atau Dicuri

Risikonya meningkat drastis bila penyimpanan perangkat tidak dienkripsi.

Contoh Alur Data Breach

Ilustrasi hipotetis berikut disusun untuk tujuan edukasi defensif:

1. Seorang pegawai menerima email phishing yang meniru portal internal
2. Kredensialnya berpindah ke pelaku
3. Akun tersebut dipakai untuk masuk ke sistem perusahaan
4. Pelaku memperoleh akses ke penyimpanan berkas internal
5. Sebagian data pelanggan disalin keluar
6. Tim keamanan mendeteksi pola akses yang tidak wajar
7. Password dan seluruh sesi aktif direset
8. Investigasi forensik dijalankan untuk menentukan cakupan data terdampak
9. Pengguna terdampak dan regulator menerima pemberitahuan

Ilustrasi ini menunjukkan di titik mana pertahanan dan deteksi bekerja, bukan cara menembus sistem.

Contoh Kasus Data Breach di Indonesia

Bagian ini memisahkan insiden yang diakui organisasi dari klaim yang belum terverifikasi.

Organisasi/Kasus	Tahun	Jenis Informasi	Skala yang Dilaporkan	Status Verifikasi
PDNS 2 (Pusat Data Nasional Sementara)	2024	Data layanan publik terenkripsi ransomware	282 instansi terdampak	Terkonfirmasi pemerintah
Dugaan kebocoran data BPJS Kesehatan	2021	Nama, NIK, NPWP, nomor telepon, email	Diklaim 279 juta	Diselidiki; skala tidak pernah dikonfirmasi resmi
Dugaan kebocoran 58 juta data pendidikan	2026	Data siswa via akses API	Diklaim 58 juta	Sedang diselidiki; sebagian pejabat membantah
Dugaan kebocoran data mahasiswa 13 universitas	2026	Data pribadi mahasiswa	Tidak diverifikasi	Dilaporkan; diduga distribusi ulang data lama
Klaim “240 juta data penduduk”	2026	Diklaim data kependudukan	Diklaim 240 juta	Tidak terverifikasi

PDNS 2 (Juni 2024) adalah insiden dengan tingkat konfirmasi paling tinggi. BSSN mengidentifikasi ransomware Brain Cipher, yang disebutnya varian LockBit 3.0, dengan gangguan awal terdeteksi 17 Juni dan layanan lumpuh mulai 20 Juni. Kominfo menyebut 282 instansi terdampak dan tebusan USD 8 juta ditolak. Rapat kerja Komisi I DPR mengungkap hanya sebagian kecil data yang punya cadangan memadai. Catatan penting: insiden ini terutama penguncian data; klaim pelaku bahwa mereka mencuri lalu menghapus data tidak pernah terverifikasi independen.

BPJS Kesehatan (Mei 2021). Kominfo memanggil direksi BPJS Kesehatan pada 21 Mei 2021 dan bersama BSSN memperluas investigasi terhadap sekitar satu juta baris data sampel. Angka 279 juta berasal dari klaim penjual di forum, bukan konfirmasi resmi.

Dugaan kebocoran data pendidikan (Februari 2026). Dirjen Pengawasan Ruang Digital Komdigi, Alexander Sabar, menyatakan pihaknya menelusuri dugaan penjualan akses API yang berpotensi mengakibatkan kebocoran data siswa. Sementara itu Wakil Menteri Pendidikan Dasar dan Menengah Atip Latipulhayat membantah adanya kebocoran, dan Sekjen Kementerian Pendidikan Tinggi menyatakan tidak ada data mahasiswa yang bocor. Hingga artikel ini diperbarui, belum ditemukan pengumuman resmi yang menutup perbedaan keterangan itu.

Klaim 240 juta data penduduk (Februari 2026). Praktisi keamanan siber Vaksincom, Alfons Tanujaya, menyatakan situs yang dirujuk unggahan tersebut tidak dapat diakses sehingga klaimnya tidak dapat diyakini sepenuhnya, dan menyebut kemungkinan daur ulang data lama.

Sebagai konteks, Lanskap Keamanan Siber Indonesia 2024 dari BSSN mencatat 241 dugaan insiden kebocoran data dan 56.128.160 temuan paparan data di darknet yang berdampak pada 461 pemangku kepentingan. Pada 2025, BSSN mencatat sekitar 5,2 miliar anomali trafik internet, 93,78% terkait potensi malware.

Contoh Kasus Data Breach Besar di Dunia

Yahoo (2013, diungkap 2016–2017). Pada Desember 2016 Yahoo mengumumkan pencurian data lebih dari satu miliar akun yang terjadi Agustus 2013, dan mengakui belum berhasil mengidentifikasi cara masuknya. Data yang terekspos mencakup nama, email, nomor telepon, tanggal lahir, password ter-hash MD5, serta sebagian pertanyaan keamanan. Oktober 2017, angkanya direvisi menjadi seluruh 3 miliar akun. SEC kemudian menjatuhkan denda USD 35 juta terkait kegagalan pengungkapan. Pelajaran: deteksi yang gagal membuat cakupan insiden baru diketahui bertahun-tahun kemudian, dan hash yang lemah memperbesar dampak.

Equifax (2017). FTC menyatakan insiden ini berdampak pada sekitar 147 juta orang, dengan data terekspos meliputi nama, tanggal lahir, nomor jaminan sosial, dan alamat. Menurut gugatan FTC, Equifax gagal menambal kerentanan yang sudah diketahui pada basis data ACIS setelah diperingatkan pada Maret 2017. Perusahaan setuju membayar sedikitnya USD 575 juta. Pelajaran: patch management yang tertunda adalah risiko finansial, bukan sekadar isu teknis.

MOVEit Transfer (2023). Progress Software mengumumkan kerentanan kritis CVE-2023-34362 pada 31 Mei 2023 dan merilis tambalan hari itu juga, tetapi kelompok Clop sudah mengeksploitasinya sejak sekitar 27 Mei. Emsisoft mencatat 2.618 organisasi terdampak dan lebih dari 77 juta individu terekspos per November 2023. Banyak korban tidak memakai MOVEit sendiri, melainkan terdampak lewat penyedia layanannya. Pelajaran: satu produk lintas industri dapat menjadi titik gagal bersama.

Salesloft Drift (Agustus 2025). Google Threat Intelligence Group dan Mandiant mengungkap kampanye pencurian data yang memanfaatkan OAuth dan refresh token curian milik integrasi chat Drift untuk masuk ke instance Salesforce pelanggan, aktif sekitar 8–18 Agustus 2025. Google menyebut lebih dari 700 organisasi berpotensi terdampak, dengan tujuan utama memanen kredensial seperti kunci akses cloud. Salesloft dan Salesforce mencabut seluruh token Drift pada 20 Agustus 2025. Pelajaran: token integrasi adalah kredensial. Mengganti password tidak menutup akses yang berjalan lewat token.

Mengapa Klaim Data Dijual di Dark Web Belum Tentu Benar?

Munculnya unggahan di forum kriminal, kanal Telegram, atau marketplace gelap tidak otomatis membuktikan klaimnya benar. Data yang ditawarkan bisa berupa:

• Data lama yang dikemas ulang dengan judul baru
• Duplikat dari kebocoran yang sudah lama diketahui
• Gabungan beberapa kebocoran berbeda yang disatukan
• Informasi yang sebenarnya bersifat publik
• Hasil scraping, bukan hasil penerobosan sistem
• Data fiktif untuk menipu sesama pelaku
• Data yang memang baru dicuri

Contohnya terjadi November 2025, ketika Have I Been Pwned menambahkan hampir 2 miliar alamat email dari kumpulan data credential stuffing. Pendirinya, Troy Hunt, secara eksplisit mengoreksi pemberitaan yang menyebutnya kebocoran Gmail. Ia juga menegaskan kemunculan sebuah password dalam kumpulan data semacam itu bukan jaminan password tersebut pernah benar-benar dipakai orang bersangkutan.

Gunakan status diklaim sampai ada verifikasi dari organisasi terdampak, regulator, atau peneliti yang memeriksa sampel data secara independen. Bedakan dengan jelas antara diklaim, terindikasi, sedang diselidiki, dan terkonfirmasi.

Apa Bahaya Data Breach bagi Pengguna?

Pengambilalihan akun. Pelaku memakai kredensial yang bocor untuk masuk ke akun Anda.

Credential stuffing. Kombinasi email dan password dari satu layanan dicoba otomatis ke layanan lain. Risikonya nyata hanya bila Anda memakai password yang sama di banyak tempat.

Phishing yang jauh lebih meyakinkan. Ketika pelaku tahu nama, email, nomor telepon, dan layanan yang Anda pakai, pesan palsu menjadi sulit dibedakan dari yang asli.

Penyalahgunaan identitas. Kombinasi nama, tanggal lahir, dan nomor identitas dapat dipakai mendaftar layanan atas nama korban.

Penipuan finansial. Perlu diletakkan pada porsinya: alamat email yang bocor tidak membuat rekening otomatis dapat dibobol. Eksploitasi finansial hampir selalu butuh informasi tambahan atau kerja sama korban, misalnya menyerahkan OTP.

SIM swapping. Bila nomor telepon terekspos, pelaku dapat mencoba memindahkan nomor ke kartu SIM baru untuk mencegat kode verifikasi.

Doxxing dan pemerasan, terutama bila alamat rumah atau informasi sensitif ikut tersebar.

Risiko jangka panjang. Tanggal lahir, NIK, dan biometrik tidak bisa diganti semudah password.

Dampak Data Breach bagi Perusahaan

Selain kehilangan kepercayaan pelanggan, organisasi menghadapi gangguan operasional, biaya investigasi forensik, biaya pemulihan sistem, potensi tuntutan hukum, kewajiban notifikasi kepada regulator dan subjek data, serta risiko kebocoran kekayaan intelektual.

Sebagai gambaran biaya, laporan IBM Cost of a Data Breach 2026 bersama Ponemon Institute — berdasarkan 602 organisasi yang mengalami breach antara Maret 2025 dan Februari 2026 — mencatat rata-rata biaya global mencapai rekor USD 4,99 juta, naik 12%. Waktu rata-rata untuk mengidentifikasi dan menanggulangi breach naik menjadi 247 hari, membalikkan tren perbaikan lima tahun berturut-turut. Angka ini rata-rata global lintas industri dan negara, jadi tidak bisa dipakai memperkirakan kerugian satu perusahaan tertentu.

Bagaimana Mengetahui Data Pribadi Mungkin Bocor?

Tanda-tanda yang masuk akal untuk diperhatikan:

• Perusahaan mengirimkan pemberitahuan insiden melalui kanal resminya
• Muncul peringatan login dari perangkat atau lokasi yang tidak Anda kenali
• Password berubah tanpa Anda melakukannya
• Akun tiba-tiba logout di beberapa perangkat sekaligus
• Anda menerima email reset password yang tidak pernah diminta
• Email phishing yang Anda terima menjadi jauh lebih personal
• Muncul transaksi yang tidak dikenali

Satu tanda saja tidak membuktikan terjadi data breach. Beberapa tanda yang muncul bersamaan layak ditindaklanjuti dengan pemeriksaan akun.

Cara Mengecek Apakah Email Pernah Muncul dalam Data Breach

Layanan pemeriksa kebocoran seperti Have I Been Pwned memungkinkan Anda memasukkan alamat email untuk melihat apakah email itu muncul dalam kumpulan data breach yang diketahui layanan tersebut.

Aturan yang perlu dipegang:

1. Gunakan hanya layanan bereputasi baik dan periksa alamat situsnya dengan teliti
2. Jangan pernah memasukkan password Anda ke situs pemeriksa mana pun
3. Jangan mengunggah foto KTP atau dokumen identitas ke situs yang tidak dikenal
4. Jangan membayar layanan yang menjanjikan menghapus data Anda dari dark web

Hasil “pwned” berarti email Anda muncul dalam dataset yang diketahui layanan itu — bukan berarti akun Anda saat ini sudah diambil alih. Tidak ada satu pun layanan yang mengetahui seluruh kebocoran di dunia.

Apakah Password Saya Ikut Bocor?

Bergantung pada cara layanan menyimpannya: teks biasa, ter-hash, terenkripsi, atau tidak ada data autentikasi sama sekali.

Password hash tidak otomatis aman. Tingkat perlindungannya bergantung pada algoritma, konfigurasinya, penggunaan salt, dan kekuatan password aslinya. Kasus Yahoo memperlihatkan hal ini: password disimpan dengan MD5, algoritma yang sudah lama dianggap tidak memadai. Sikap paling aman adalah memperlakukan password pada layanan terdampak sebagai sudah bocor, lalu menggantinya.

Apa yang Harus Dilakukan Jika Data Bocor?

1. Pastikan informasinya benar. Cari pemberitahuan resmi dari organisasi terkait, bukan hanya tangkapan layar yang beredar.
2. Ganti password akun terdampak dengan password baru yang panjang dan unik.
3. Ganti password akun lain yang memakai password sama. Ini langkah yang paling sering dilewatkan dan paling menentukan.
4. Aktifkan MFA, utamakan metode yang tahan phishing bila tersedia.
5. Keluarkan seluruh sesi aktif. Gunakan fitur “logout semua perangkat” agar sesi lama tidak tetap berjalan.
6. Periksa email pemulihan dan nomor telepon pada pengaturan akun, pastikan tidak diubah pihak lain.
7. Tinjau riwayat aktivitas login bila layanan menyediakannya.
8. Naikkan kewaspadaan terhadap phishing selama beberapa pekan berikutnya.
9. Pantau transaksi keuangan bila data finansial relevan dengan insiden.
10. Hubungi penyedia layanan lewat kanal resmi, bukan lewat tautan dalam email.
11. Perbarui perangkat bila insiden berkaitan dengan malware.
12. Simpan bukti berupa tangkapan layar dan email notifikasi jika terjadi pengambilalihan akun atau penipuan.

Password Seperti Apa yang Lebih Aman?

Rujukan yang paling banyak diikuti industri adalah NIST SP 800-63B Revisi 4, yang difinalkan 31 Juli 2025 dan membalik beberapa kebiasaan lama.

Ketentuan pokoknya: password yang berdiri sendiri sebagai faktor tunggal harus minimal 15 karakter, sementara password sebagai bagian dari MFA boleh minimal 8 karakter. Sistem sebaiknya menerima panjang hingga setidaknya 64 karakter serta seluruh karakter ASCII yang dapat dicetak termasuk spasi.

Dua larangannya penting. NIST menyatakan sistem tidak boleh memaksakan aturan komposisi seperti kewajiban mencampur huruf besar, angka, dan simbol, dan tidak boleh mewajibkan pergantian password berkala — pergantian hanya diminta bila ada indikasi kompromi. NIST juga meminta password baru disaring terhadap daftar password yang diketahui bocor.

Terjemahan praktisnya bagi pengguna: panjang lebih penting daripada rumit, setiap akun punya password berbeda, hindari informasi pribadi sebagai dasar password, dan simpan semuanya di password manager.

Mengapa Password Tidak Boleh Digunakan Ulang?

Penggunaan ulang password adalah alasan satu kebocoran bisa merembet ke belasan akun lain. Mekanismenya sederhana: jika password di layanan A bocor, pelaku mencoba kombinasi email dan password yang sama di layanan B, C, dan seterusnya secara otomatis. Praktik ini disebut credential stuffing, dan berhasil justru karena banyak orang memakai password yang sama.

Konsekuensinya, mengganti password hanya di satu akun tidak menyelesaikan masalah bila password itu juga dipakai di tempat lain.

Apa Itu Password Manager?

Password manager adalah aplikasi yang menyimpan seluruh kredensial Anda dalam brankas terenkripsi, dibuka dengan satu master password. Fungsinya mencakup pembuatan password acak yang panjang, pengisian otomatis di situs yang benar, dan sinkronisasi antarperangkat. Manfaat terbesarnya bukan kepraktisan, melainkan memungkinkan password unik di setiap akun tanpa harus mengingatnya.

Prinsip memilih layanan: reputasi terbukti, transparansi soal insiden dan audit keamanan, dukungan MFA, model enkripsi yang jelas, pembaruan rutin, dan mekanisme pemulihan yang masuk akal.

Password manager tetap perangkat lunak dan bisa mengalami insiden. Yang tepat dikatakan adalah risikonya jauh lebih kecil dibanding memakai password sama di mana-mana.

Mengapa MFA Penting?

Multi-factor authentication menambahkan lapisan verifikasi di luar password. Microsoft melaporkan MFA menghentikan lebih dari 99,9% upaya pengambilalihan akun otomatis.

Namun tidak semua metode setara:

• SMS OTP — paling mudah diakses, rentan terhadap SIM swap dan pencegatan
• Aplikasi authenticator (TOTP) — lebih baik dari SMS, tetapi kodenya masih bisa direlai oleh halaman phishing
• Push notification — praktis, tetapi rentan terhadap kelelahan persetujuan
• Security key dan passkey — terikat secara kriptografis ke domain asli, sehingga tidak dapat direlai

CISA hanya mengakui FIDO/WebAuthn dan autentikasi berbasis PKI sebagai metode tahan phishing. NIST SP 800-63B Revisi 4 kini mewajibkan penyedia layanan pada tingkat AAL2 menawarkan setidaknya satu opsi tahan phishing.

Meski begitu, MFA lewat SMS umumnya tetap memberikan lapisan tambahan dibanding hanya password. Bila metode yang lebih tahan phishing tersedia, pilih itu; bila belum, jangan matikan SMS OTP hanya karena dianggap lemah.

Apa Itu Passkey?

Passkey adalah kredensial berbasis kriptografi kunci publik yang menggantikan password. Perangkat Anda menyimpan kunci privat yang tidak pernah dikirim ke mana pun, sementara layanan menyimpan kunci publik. Saat login, perangkat menandatangani tantangan dari situs tersebut.

Keunggulan utamanya adalah ketahanan terhadap phishing. Karena kunci terikat pada alamat situs yang sah, halaman palsu tidak bisa memancing perangkat menghasilkan tanda tangan yang berlaku — tidak ada rahasia bersama yang bisa diketik ke situs yang salah.

Riset State of Passkeys 2026 dari FIDO Alliance mencatat sekitar satu dari tiga konsumen mengalami kompromi akun atau menerima pemberitahuan kebocoran dalam setahun terakhir. Perlu dicatat, passkey yang disinkronkan lewat cloud membawa ketergantungan pada mekanisme pemulihan akun cloud tersebut — pertimbangan penting untuk akun berhak istimewa.

Mengapa Data Breach Sering Diikuti Phishing?

Informasi hasil kebocoran membuat pesan palsu jauh lebih meyakinkan. Ketika pelaku sudah tahu nama lengkap, alamat email, nomor telepon, dan layanan yang Anda gunakan, pesan mereka bisa menyebut detail yang terasa hanya diketahui pihak resmi. Kebiasaan yang melindungi:

• Jangan mengklik tautan dari pesan yang meminta tindakan mendesak
• Buka aplikasi atau situs secara manual, ketik alamatnya sendiri
• Periksa nama domain dengan teliti, bukan hanya nama pengirim
• Jangan pernah memberikan OTP kepada siapa pun, termasuk yang mengaku petugas
• Jangan membagikan recovery code
• Jangan menyetujui permintaan login yang tidak Anda lakukan

Apa yang Tidak Boleh Dilakukan Setelah Data Breach

• Panik lalu menghapus seluruh akun tanpa memeriksa apa yang sebenarnya terdampak
• Memakai kembali password lama, termasuk variasinya
• Mengganti password hanya di satu akun padahal password itu dipakai berulang
• Memberikan OTP kepada penelepon dengan alasan apa pun
• Mempercayai pesan yang menjanjikan “memulihkan data yang bocor”
• Memasukkan password ke situs pengecekan kebocoran
• Mengunggah foto KTP ke situs yang tidak dikenal
• Membayar pihak yang mengaku bisa menghapus data Anda dari dark web
• Menganggap tangkapan layar forum sebagai bukti final

Cara Mencegah Data Breach dari Sisi Pengguna

1. Password unik untuk setiap akun
2. Password manager untuk mengelolanya
3. MFA aktif, terutama pada email utama
4. Passkey bila layanannya sudah mendukung
5. Pembaruan sistem operasi secara rutin
6. Pembaruan aplikasi, terutama peramban
7. Kewaspadaan terhadap phishing
8. Membatasi informasi pribadi yang dibagikan di media sosial
9. Meninjau izin aplikasi pihak ketiga secara berkala
10. Menghindari perangkat lunak bajakan, jalur umum penyebaran infostealer
11. Tidak pernah membagikan OTP
12. Mengamankan email utama sebagai kunci pemulihan semua akun lain
13. Mengaktifkan kunci layar perangkat
14. Mengaktifkan enkripsi penyimpanan perangkat
15. Mencadangkan data penting
16. Mengeluarkan perangkat lama dari daftar sesi aktif
17. Menutup akun yang sudah tidak digunakan

Langkah-langkah ini menurunkan risiko secara signifikan, tetapi tidak ada kombinasi yang membuat siapa pun aman sepenuhnya.

Perlu diluruskan juga: antivirus tidak membuat perangkat mustahil diretas, VPN tidak mencegah data breach di sisi penyedia layanan, dan mode incognito sama sekali tidak berhubungan dengan kebocoran data.

Cara Perusahaan Mencegah Data Breach

Asset inventory. Organisasi tidak bisa melindungi sistem dan data yang tidak diketahui keberadaannya.

Klasifikasi data. Bedakan data publik, internal, dan sensitif agar kontrol bisa difokuskan.

Access control dan least privilege. Setiap akun hanya memperoleh akses seminimal yang dibutuhkan pekerjaannya.

MFA untuk akses kritis — akun administrator, konsol cloud, VPN, email, dan akun berhak istimewa.

Patch dan vulnerability management. Karena eksploitasi kerentanan kini menjadi vektor akses awal terbesar menurut DBIR 2026, kecepatan menambal sistem yang terhubung internet adalah prioritas, bukan pekerjaan latar belakang.

Secure configuration, termasuk penyimpanan cloud, basis data, dan izin berbagi berkas.

Enkripsi untuk data saat disimpan dan saat dikirim, disertai pengelolaan kunci yang benar.

Logging dan monitoring agar perilaku anomali terdeteksi sebelum data keluar. Endpoint protection untuk menekan risiko infostealer. Email security untuk mengurangi phishing yang sampai ke kotak masuk.

Backup terpisah dan diuji. Kasus PDNS 2 memperlihatkan cadangan yang tidak memadai mengubah insiden menjadi kehilangan permanen.

Security awareness yang berfokus pada perilaku konkret, bukan sesi tahunan.

Vendor risk management. Dengan pihak ketiga terlibat dalam hampir separuh breach, meninjau integrasi, token OAuth, dan izin aplikasi pihak ketiga adalah bagian inti pertahanan.

Data minimization dan incident response plan yang disiapkan sebelum insiden terjadi.

Apa Itu Incident Response?

Incident response adalah rangkaian proses terstruktur untuk menyiapkan, mendeteksi, menanggulangi, memulihkan, dan mengambil pelajaran dari insiden keamanan.

Banyak artikel masih mengacu pada siklus empat tahap dari NIST SP 800-61 Revisi 2. Dokumen itu sudah ditarik. Pada 3 April 2025, NIST menerbitkan SP 800-61 Revisi 3 yang menggantikannya sepenuhnya dan menyusun ulang panduan ini sebagai profil komunitas dari Cybersecurity Framework 2.0, dengan fungsi Govern, Identify, Protect, Detect, Respond, dan Recover. Pergeserannya bukan sekadar penamaan: respons insiden kini diposisikan sebagai bagian dari manajemen risiko organisasi, bukan prosedur teknis yang berdiri sendiri.

Apa yang Harus Dilakukan Perusahaan Ketika Data Breach Terjadi?

1. Aktifkan rencana incident response dan bentuk tim penanganan
2. Identifikasi sistem, akun, dan layanan yang terdampak
3. Amankan bukti dan log sebelum melakukan perubahan besar
4. Batasi akses berbahaya dan isolasi sistem yang terdampak
5. Reset kredensial dan cabut token integrasi yang berpotensi disalahgunakan
6. Tambal titik masuk yang teridentifikasi
7. Tentukan jenis dan jumlah data yang benar-benar terdampak
8. Identifikasi subjek data yang perlu diberi tahu
9. Dokumentasikan seluruh kronologi dan keputusan
10. Konsultasikan kewajiban hukum dengan tim legal dan kepatuhan
11. Sampaikan pemberitahuan sesuai ketentuan yang berlaku
12. Bersikap transparan tanpa menyatakan hal yang belum terverifikasi
13. Pantau aktivitas lanjutan, termasuk phishing yang menargetkan pengguna terdampak

Mengapa Enkripsi Penting?

Enkripsi mengubah data menjadi bentuk yang tidak terbaca tanpa kunci yang tepat, diterapkan saat data disimpan (at rest) dan saat berpindah melalui jaringan (in transit). Manfaatnya paling nyata pada kehilangan fisik: laptop hilang dengan penyimpanan terenkripsi jauh berbeda risikonya dari yang tidak terenkripsi.

Namun enkripsi bukan jaminan absolut. Bila penyerang memperoleh kredensial yang sah, kunci enkripsi, atau akses lewat aplikasi yang memang berwenang mendekripsi data, data tetap berisiko. Pengelolaan kunci yang buruk dapat meniadakan manfaat enkripsi itu sendiri.

Mengapa Data Minimization Penting?

Prinsipnya ringkas: data yang tidak disimpan tidak dapat bocor dari sistem tersebut. Penerapannya mencakup mengumpulkan hanya data yang benar-benar diperlukan untuk tujuan yang jelas, menetapkan masa retensi, menghapus sesuai kebijakan, membatasi duplikasi ke sistem lain, dan membatasi siapa yang dapat mengaksesnya.

Ini bukan sekadar praktik keamanan. Prinsip ini juga tercermin dalam kewajiban pengendali data memproses data pribadi secara terbatas dan spesifik sesuai tujuannya.

Hubungan Data Breach dengan UU Perlindungan Data Pribadi

Kerangka hukumnya adalah Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, disahkan 17 Oktober 2022 dan terdiri atas 16 bab serta 76 pasal. Masa transisi dua tahunnya berakhir 17 Oktober 2024, sehingga undang-undang ini sudah berlaku penuh.

Peraturan pelaksananya baru terbit belakangan. Peraturan Pemerintah Nomor 33 Tahun 2026 ditetapkan dan diundangkan pada 16 Juli 2026, memuat 225 pasal, dan mulai berlaku enam bulan sejak diundangkan — yakni Januari 2027. Sebagian pemberitaan menyebutnya sudah berlaku efektif; naskah resminya mencantumkan tenggat enam bulan tersebut, sehingga organisasi sebaiknya memakai tanggal itu sebagai acuan kepatuhan.

Pasal 57 mengatur sanksi administratif: peringatan tertulis, penghentian sementara pemrosesan, penghapusan atau pemusnahan data pribadi, hingga denda administratif paling tinggi 2% dari pendapatan atau penerimaan tahunan terhadap variabel pelanggaran. Pasal 67 dan 68 mengancam pidana penjara 4 sampai 6 tahun dan/atau denda Rp4 miliar sampai Rp6 miliar, dengan pemberatan bagi korporasi.

Catatan penting soal penegakan: Lembaga Pelindungan Data Pribadi yang diamanatkan Pasal 58 belum terbentuk hingga pertengahan 2026, sehingga sanksi administratif belum dapat dijalankan lembaga khusus. Sanksi pidananya sendiri sudah berlaku dan telah diterapkan dalam beberapa perkara. Informasi ini bersifat umum, bukan nasihat hukum untuk kasus tertentu.

Apakah Perusahaan Wajib Memberi Tahu Pengguna?

Ya. Pasal 46 UU PDP mewajibkan pengendali data pribadi menyampaikan pemberitahuan tertulis paling lambat 3×24 jam ketika terjadi kegagalan pelindungan data pribadi. Pemberitahuan ditujukan kepada subjek data pribadi dan kepada Lembaga. Dalam hal tertentu, pengendali juga wajib memberitahukan kepada masyarakat.

Sebagai perbandingan, kerangka Uni Eropa dan Inggris memakai tenggat 72 jam untuk pelaporan ke otoritas pengawas, disertai kewajiban memberi tahu individu tanpa penundaan bila risikonya tinggi. Karena Lembaga PDP belum terbentuk, mekanisme pelaporan praktis di Indonesia masih berjalan melalui kementerian dan lembaga terkait.

Siapa yang Menangani Keamanan Siber di Indonesia?

BSSN adalah koordinator nasional keamanan siber: memantau trafik, mengirim notifikasi indikasi insiden, dan mendampingi penanganan. Pada 2024, BSSN mengirimkan 1.367 notifikasi indikasi insiden kepada pemangku kepentingan, dengan jenis terbanyak berupa data breach.

CSIRT atau Tim Tanggap Insiden Siber dibentuk di tingkat organisasi, sektor, dan pemerintah daerah sebagai unit respons pertama. Komdigi, melalui Direktorat Jenderal Pengawasan Ruang Digital, menangani pengawasan penyelenggara sistem elektronik dan penegakan sementara ketentuan pelindungan data. Pengendali data tetap memegang tanggung jawab utama atas data yang dikelolanya. Aparat penegak hukum menangani aspek pidana, dan regulator sektoral mengatur kewajiban tambahan di sektornya.

Tidak semua insiden otomatis dilaporkan ke satu lembaga tunggal. Kewajiban pelaporan bergantung pada jenis organisasi, sektor, dan dasar hukum yang berlaku baginya.

Apakah Data yang Sudah Bocor Bisa Dihapus?

Jawaban realistisnya: sering kali tidak sepenuhnya. Begitu data disalin, diunduh, diperdagangkan, dan dibagikan ulang, tidak ada pihak yang dapat memastikan seluruh salinannya musnah. Sebaliknya, klaim bahwa data yang bocor pasti ada selamanya di dark web juga tidak akurat — sebagian kumpulan data terus beredar, sebagian menghilang ketika forum ditutup atau kehilangan nilai jual.

Karena itu fokus mitigasi bergeser dari menghapus data ke mengurangi dampaknya: mengamankan akun, mengganti kredensial, mengaktifkan MFA, dan memantau penyalahgunaan.

Apakah Mengganti Password Saja Sudah Cukup?

Tidak selalu — jawabannya bergantung pada jenis data yang bocor.

Bila yang terekspos adalah kredensial, mengganti password disertai logout seluruh sesi dan mengaktifkan MFA sudah menutup sebagian besar risiko. Perlu ditekankan: mengganti password tanpa mengakhiri sesi aktif tidak selalu mengusir pelaku, karena session token yang sudah dicuri bisa tetap berlaku.

Bila yang bocor adalah NIK, tanggal lahir, alamat, atau biometrik, password baru tidak mengubah apa pun. Perlindungan harus bergeser ke pemantauan penyalahgunaan identitas dan kewaspadaan terhadap rekayasa sosial.

Apakah NIK Bisa Diganti Jika Bocor?

Tidak. Berdasarkan Pasal 13 Undang-Undang Nomor 23 Tahun 2006 tentang Administrasi Kependudukan, NIK bersifat unik, tunggal, melekat pada seseorang, dan berlaku seumur hidup. Dukcapil Kemendagri menegaskan NIK tidak berubah meski terjadi perubahan biodata seperti pindah domisili.

Perlu dibedakan tiga hal: kebocoran NIK adalah paparan informasi, penyalahgunaan identitas adalah tindakan yang memakai informasi itu, dan pengaduan adalah mekanisme yang tersedia bila penyalahgunaan benar-benar terjadi. Bila menemukan indikasi NIK dipakai pihak lain, laporkan melalui kanal resmi Dukcapil dan penyelenggara layanan terkait. Jangan mengunggah foto KTP ke situs yang tidak jelas dengan harapan “memeriksa” status data.

Apakah Semua Data Breach Berbahaya?

Tingkat risiko tidak seragam. Ia bergantung pada jenis dan jumlah data, siapa yang memperoleh akses, apakah data terenkripsi, seberapa kuat hash password, apakah session token masih aktif, berapa lama data terekspos, dan seberapa mampu pelaku memanfaatkannya.

Kebocoran alamat email yang sebenarnya sudah publik tidak sebanding dengan kebocoran password aktif atau template biometrik. Menyamaratakan semuanya justru mengaburkan mana yang perlu ditindaklanjuti segera.

Tingkat Risiko Berdasarkan Jenis Data yang Bocor

Jenis Data	Risiko Utama	Tindakan Prioritas
Email	Phishing bertarget, spam	Waspadai pesan yang tampak resmi
Password	Pengambilalihan akun	Ganti password unik dan aktifkan MFA
Nomor telepon	Phishing, SIM swap	Waspadai OTP dan hubungi operator bila ada anomali
Data keuangan	Penipuan transaksi	Pantau mutasi dan aktifkan notifikasi transaksi
NIK dan data identitas	Penyalahgunaan identitas	Pantau layanan atas nama Anda, laporkan bila ada penyalahgunaan
Session token	Pengambilalihan akun tanpa password	Logout seluruh sesi dan cabut izin aplikasi
Data kesehatan	Diskriminasi, pemerasan	Ikuti panduan penyedia layanan kesehatan
Biometrik	Risiko jangka panjang, tidak dapat diganti	Ikuti panduan penyedia layanan dan regulator

Tidak ada satu pun kategori di atas yang layak diberi label “aman”. Yang berbeda adalah urgensi dan jenis tindakannya.

Sumber dan Referensi

Seluruh sumber di bawah ini diakses dan diperiksa terakhir pada 1 September 2026.

1. Republik Indonesia — Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (LN 2022/196, TLN 6820). Ditetapkan 17 Oktober 2022. Mendukung: definisi data pribadi, kategori data spesifik dan umum (Pasal 4), kewajiban pemberitahuan 3×24 jam (Pasal 46), sanksi administratif (Pasal 57), ketentuan pidana (Pasal 67–68), kelembagaan (Pasal 58). Sumber: JDIH Komdigi dan JDIH BPK.
2. Republik Indonesia — Peraturan Pemerintah Nomor 33 Tahun 2026 tentang Peraturan Pelaksanaan UU Nomor 27 Tahun 2022 (LN 2026/88, TLN 7190). Ditetapkan dan diundangkan 16 Juli 2026. Mendukung: status peraturan pelaksana, jumlah pasal, dan tanggal mulai berlaku enam bulan sejak diundangkan.
3. Republik Indonesia — Undang-Undang Nomor 23 Tahun 2006 tentang Administrasi Kependudukan, Pasal 13. Mendukung: sifat NIK yang tunggal dan berlaku seumur hidup.
4. Badan Siber dan Sandi Negara (BSSN) — “Lanskap Keamanan Siber Indonesia 2024”. Mendukung: 241 dugaan insiden kebocoran data, 56.128.160 temuan paparan data di darknet pada 461 pemangku kepentingan, dan 1.367 notifikasi indikasi insiden dengan data breach sebagai jenis terbanyak.
5. BSSN — Keterangan Deputi Bidang Keamanan Siber dan Sandi Perekonomian, dipublikasikan Infobank, 8 Mei 2026. Mendukung: 5,2 miliar anomali trafik internet sepanjang 2025, 93,78% terkait potensi malware.
6. Kementerian Komunikasi dan Informatika & BSSN — Konferensi pers dan Rapat Kerja Komisi I DPR RI, Juni 2024, sebagaimana dilaporkan ANTARA (28 Juni 2024) dan Kompas (10 Juli 2024). Mendukung: kronologi insiden PDNS 2, identifikasi ransomware Brain Cipher, jumlah instansi terdampak, tuntutan tebusan yang ditolak, dan keterbatasan cadangan data.
7. Kementerian Kominfo — Keterangan Juru Bicara terkait dugaan kebocoran data BPJS Kesehatan, 22 Mei 2021, sebagaimana dilaporkan Kontan. Mendukung: status investigasi dan pemanggilan direksi BPJS Kesehatan.
8. Tempo — “Komdigi Telusuri Dugaan Kebocoran 58 Juta Data Pendidikan”, 12 Februari 2026. Mendukung: pernyataan Dirjen Pengawasan Ruang Digital Komdigi dan bantahan pejabat Kemendikdasmen serta Kemendikti Saintek.
9. Tempo — “Benarkah Data 240 Juta Penduduk Indonesia Dijual di Dark Web”, 1 Maret 2026. Mendukung: penilaian Vaksincom bahwa situs rujukan tidak dapat diakses dan kemungkinan daur ulang data lama.
10. CNBC Indonesia — “Komdigi Jawab Isu Data 13 Universitas di Indonesia Bocor”, 23 Januari 2026. Mendukung: tanggapan Wakil Menteri Komdigi atas klaim kebocoran data mahasiswa.
11. Verizon Business — “2026 Data Breach Investigations Report”, dirilis Mei 2026. Mendukung: lebih dari 22.000 breach terkonfirmasi di 145 negara, eksploitasi kerentanan 31% sebagai vektor akses awal teratas, penyalahgunaan kredensial 13% (39% lintas rangkaian breach), ransomware 48%, keterlibatan pihak ketiga 48% (naik 60%), remediasi CISA KEV 26%, waktu remediasi median 43 hari, unsur manusia 62%.
12. IBM & Ponemon Institute — “Cost of a Data Breach Report 2026”, dirilis 29 Juli 2026. Mendukung: rata-rata biaya global USD 4,99 juta (naik 12%), sampel 602 organisasi Maret 2025–Februari 2026, waktu identifikasi dan penanggulangan 247 hari, phishing sebagai vektor awal teratas empat tahun berturut-turut.
13. IBM — “What Is a Data Breach?” dan “What is Data Leakage?” (Think Topics), diperbarui 2026. Mendukung: definisi data breach, penegasan bahwa DDoS bukan data breach, serta pembedaan data breach dan data leak.
14. Information Commissioner’s Office (ICO), Inggris — “Personal data breaches: a guide”. Mendukung: definisi personal data breach mencakup penyebab disengaja dan tidak disengaja, serta tenggat pelaporan 72 jam.
15. NIST — Special Publication 800-63B Revisi 4, “Digital Identity Guidelines: Authentication and Authenticator Management”, final 31 Juli 2025. Mendukung: minimum 15 karakter untuk faktor tunggal dan 8 karakter untuk MFA, dukungan hingga 64 karakter, larangan aturan komposisi, larangan pergantian berkala, penyaringan terhadap daftar password bocor, dan kewajiban menawarkan opsi tahan phishing pada AAL2.
16. NIST — Special Publication 800-61 Revisi 3, “Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile”, diterbitkan 3 April 2025. Mendukung: penggantian penuh SP 800-61 Rev. 2 dan penyelarasan incident response dengan CSF 2.0.
17. CISA — Panduan Phishing-Resistant MFA. Mendukung: pengakuan FIDO/WebAuthn dan PKI sebagai metode tahan phishing, serta penilaian bahwa SMS, OTP, dan push notification tidak termasuk kategori tersebut.
18. Federal Trade Commission (FTC), Amerika Serikat — “Equifax to Pay $575 Million as Part of Settlement with FTC, CFPB, and States Related to 2017 Data Breach”, 22 Juli 2019. Mendukung: sekitar 147 juta orang terdampak, jenis data yang terekspos, kegagalan menambal kerentanan, dan nilai penyelesaian.
19. Yahoo/Altaba (via pengajuan SEC) dan U.S. Securities and Exchange Commission — Pengumuman insiden Desember 2016 dan Oktober 2017; penyelesaian SEC April 2018. Mendukung: jenis data yang terekspos termasuk password ter-hash MD5, revisi cakupan menjadi 3 miliar akun, dan denda USD 35 juta.
20. Progress Software dan Emsisoft — Advisory CVE-2023-34362 (31 Mei 2023) dan penghitungan korban Emsisoft (November 2023). Mendukung: kronologi eksploitasi MOVEit dan tally 2.618 organisasi serta lebih dari 77 juta individu terdampak. Angka ini merupakan penghitungan peneliti, bukan konfirmasi resmi tunggal.
21. Google Threat Intelligence Group dan Mandiant — Pengungkapan kampanye UNC6395 terhadap token OAuth Salesloft Drift, Agustus 2025. Mendukung: rentang waktu serangan, lebih dari 700 organisasi berpotensi terdampak, tujuan pemanenan kredensial, dan pencabutan token oleh Salesloft dan Salesforce.
22. Troy Hunt / Have I Been Pwned — “2 Billion Email Addresses Were Exposed, and We Indexed Them All in Have I Been Pwned”, 5 November 2025. Mendukung: jumlah alamat email dan password yang diindeks, klarifikasi bahwa dataset tersebut bukan kebocoran Gmail, dan catatan bahwa kemunculan password dalam dataset bukan jaminan password itu benar-benar milik pengguna bersangkutan.
23. Flashpoint — “2026 Global Threat Intelligence Report: Midyear Edition”, Agustus 2026, sebagaimana dilaporkan Infosecurity Magazine. Mendukung: 7,4 juta perangkat terinfeksi infostealer pada paruh pertama 2026 (naik 27%) dan 1,7 miliar kredensial terkumpul.
24. FIDO Alliance — Riset “State of Passkeys 2026”. Mendukung: sekitar satu dari tiga konsumen mengalami kompromi akun atau menerima pemberitahuan kebocoran dalam setahun terakhir.
25. Ditjen Dukcapil Kementerian Dalam Negeri — Penjelasan resmi mengenai sifat NIK, sebagaimana dilaporkan detikNews, 25 April 2025. Mendukung: NIK tidak dapat diubah meskipun terjadi perubahan biodata.