Data Kita Bisa Berpindah Tangan Tanpa Kita Sadari.
Kita memberikan nomor telepon ketika mendaftar aplikasi. Menuliskan tanggal lahir untuk mendapatkan promosi. Menyimpan alamat rumah agar pesanan lebih mudah dikirim. Bahkan mencatat riwayat transaksi yang memperlihatkan kebiasaan belanja.

Semua terasa biasa.
Namun, pernahkah kita bertanya: setelah data tersebut masuk ke sebuah perusahaan, siapa yang dapat mengaksesnya? Berapa lama data disimpan? Apakah sistemnya benar-benar terlindungi?

Pertanyaan ini kembali menjadi perhatian setelah Komdigi mengonfirmasi sedang memeriksa dugaan kebocoran data pelanggan aplikasi Fore. Berdasarkan temuan awal perusahaan, insiden tersebut berdampak pada sekitar 5,7 juta akun pelanggan.

Informasi yang disebut terdampak mencakup nama, alamat email, nomor telepon, tanggal lahir, jenis kelamin, alamat yang terdaftar, PIN yang telah melalui proses hashing, serta riwayat pembelian. Fore menyatakan informasi kartu pembayaran dan NIK tidak disimpan pada aplikasi tersebut.

Komdigi menyatakan pemeriksaan masih berlangsung. Artinya, tanggung jawab dan kemungkinan pelanggaran belum dapat disimpulkan sebelum proses pemeriksaan selesai. Tetapi satu hal sudah jelas: insiden ini memperlihatkan bahwa data pelanggan merupakan aset yang harus dilindungi, bukan sekadar informasi yang dikumpulkan untuk kepentingan pemasaran.

Kebocoran Data Tidak Harus Berisi Password untuk Menjadi Berbahaya.
Ada anggapan bahwa kebocoran data tidak terlalu berbahaya selama password atau informasi kartu kredit tidak ikut tersebar.

Anggapan tersebut keliru.
Nama, nomor telepon, tanggal lahir, alamat, dan riwayat transaksi dapat digabungkan untuk membangun profil seseorang. Informasi itu berpotensi dimanfaatkan untuk penipuan yang jauh lebih meyakinkan.

Misalnya, seseorang menerima WhatsApp yang menyebut nama lengkapnya, mengetahui bahwa ia pernah berbelanja di sebuah aplikasi, bahkan mengetahui perkiraan tanggal transaksinya. Pesan tersebut kemudian mengaku berasal dari layanan pelanggan dan meminta korban memberikan kode OTP untuk pengembalian dana.

Korban mungkin tidak menyadari bahwa informasi yang disebutkan penipu berasal dari data yang pernah dibagikan kepada perusahaan. Inilah yang membuat kebocoran data memiliki dampak jangka panjang. Setelah informasi tersebar, perusahaan tidak dapat begitu saja menariknya kembali dari pihak yang sudah mendapatkannya.

Bagi konsumen, risikonya berupa penipuan dan penyalahgunaan identitas. Bagi perusahaan, dampaknya dapat berupa hilangnya kepercayaan, biaya investigasi, gangguan operasional, dan konsekuensi hukum.

PIN Sudah Di-hash, Apakah Berarti Aman?
Dalam kasus Fore, perusahaan menyebut PIN pelanggan yang terdampak telah melalui proses hashing. Hashing adalah metode mengubah suatu informasi menjadi nilai tertentu melalui fungsi matematika satu arah. Sistem yang dirancang dengan benar tidak menyimpan PIN dalam bentuk aslinya.

Namun, hashing bukan jaminan mutlak bahwa informasi tidak dapat disalahgunakan.
Keamanannya dipengaruhi algoritma yang digunakan, penggunaan salt, kekuatan PIN, konfigurasi sistem, dan kemampuan penyerang melakukan percobaan menebak nilai aslinya.

PIN yang pendek dan mudah ditebak tetap memiliki risiko, khususnya jika mekanisme hashing tidak menggunakan perlindungan yang memadai. Karena itu, pelanggan sebaiknya mengganti PIN yang digunakan pada aplikasi terdampak dan tidak memakai PIN yang sama di layanan lain.

Perusahaan pun perlu memastikan bahwa proses autentikasi, penyimpanan kredensial, dan pembatasan percobaan login telah dirancang dengan standar keamanan yang sesuai.

Penyadapan Ilegal: Persoalan Privasi yang Berbeda, tetapi Sama Pentingnya.
Pada 3 November 2026, ANTARA memberitakan penetapan tiga tersangka oleh Bareskrim dalam perkara dugaan penyadapan ilegal. Menurut keterangan polisi, penyadapan diduga menyasar nomor telepon Presiden, pejabat negara, tokoh politik, media, organisasi masyarakat, dan pengusaha sejak 2025.

Kasus ini berbeda dari kebocoran database pelanggan.
Kebocoran data berkaitan dengan akses atau pengungkapan informasi yang tidak semestinya. Sementara penyadapan berkaitan dengan pemantauan atau intersepsi komunikasi. Keduanya memiliki unsur, konteks, dan ketentuan hukum yang berbeda.

Penyadapan juga tidak selalu ilegal. Dalam kondisi tertentu, tindakan intersepsi dapat dilakukan berdasarkan kewenangan dan prosedur hukum yang berlaku. Masalah muncul ketika pengawasan dilakukan tanpa dasar kewenangan atau prosedur yang sah.

Bagi masyarakat dan perusahaan, peristiwa ini mengingatkan bahwa privasi tidak hanya menyangkut apa yang disimpan dalam database. Komunikasi, percakapan, dan aktivitas digital juga perlu memiliki perlindungan yang jelas.