Pasca-Serangan Ransomware: BSI Rombak Direksi IT dan Celah Fatal dari Komputer Karyawan

TEMPO.CO, Jakarta - PT Bank Syariah Indonesia Tbk (BSI) merombak susunan direksi bidang teknologi informasi dan manajemen risiko dalam Rapat Umum Pemegang Saham Tahunan (RUPST) di Jakarta, Senin, 22 Mei 2023. RPUST itu sendiri digelar tepat saat BSI harus memulihkan sistem, data, dan layanannya setelah lumpuh berhari-hari karena serangan ransomware.

Perombakan melibatkan Direktur Information Technology (IT) Achmad Syafii dan Direktur Risk Management Tiwul Widyastuti yang telah diberhentikan secara hormat. RUPST   memutuskan mengangkat pengganti masing-masing adalah Saladin D. Effendi, sebelumnya menjabat Chief Information and Security Officer di PT Bank Mandiri (Persero) Tbk, dan Grandhis Helmi H., sebelumnya adalah Group Head Commercial Risk 1 di PT Bank Mandiri (Persero) Tbk.

Direktur Utama BSI Hery Gunardi menyampaikan penunjukan pengurus tersebut berlaku efektif setelah mendapat persetujuan dari Otoritas Jasa Keuangan (OJK) atas Penilaian Uji Kemampuan dan Kepatutan. “Kami meyakini keputusan pemegang saham ini akan menjadikan pengurus perseroan semakin solid, meraih kinerja yang berkelanjutan dan mampu membawa BSI semakin berperan dalam pertumbuhan perbankan syariah untuk go global,” ujar Hery.

Analisa Kualitas Serangan Lockbit dan Pertahanan BSI

Secara terpisah, pakar keamanan siber dari Vaksincom, Alfons Tanujaya, menyebut dua kemungkinan yang menyebabkan sistem atau layanan BSI error hingga lebih dari sepekan dampak serangan ransomware kelompok Lockbit. Serangan diungkap pada 8 Mei 2023 yang kemudian diikuti permintaan tebusan senilai US$ 20 juta atau setara lebih dari Rp 295 miliar.

Kemungkinan pertama, Alfons mengatakan, BSI superkonservatif dalam mengamankan data sehingga perlu berhari-hari untuk memastikan keamanan data dan jaringan. Kemungkinan kedua adalah, "BSI memang tidak siap dan ada sistem internal yang terkena serangan sehingga layanannya lumpuh berhari-hari." 

Alfons memperlihatkan tangkapan layar hasil peretasan oleh Lockbit. Alfons menganalisis, serangan atau peretasan masuk dari satu komputer. Masalahnya, dia mengamati, ada komputer nonserver yang diketahui ternyata bisa akses database nasabah. 

“Ini SOP-nya tidak benar. Seharusnya database nasabah hanya bisa diakses dari aplikasi dan tidak boleh bisa diakses dari komputer biasa tanpa login ke aplikasi,” tuturnya.

Tanpa ada peretasan kelompok ransomware semacam Lockbit sekalipun, Alfons menjelaskan, metode itu sangat rentan manipulasi data oleh karyawan yang memiliki akses langsung ke basisdata tersebut. Seharusnya, dia menekankan, "Komputer karyawan di dalam intranet tidak boleh bisa akses database."

Dampaknya, serangan ransomware dari Lockbit membuat BSI menghentikan semua layanannya. Menurut akun Twitter Fusion Intellegence Center DarkTracer pada Sabtu, 13 Mei 2023, peretas juga mengumumkan telah mencuri 15 juta catatan pelanggan, informasi karyawan, dan sekitar 1,5 terabyte data internal milik bank hasil merger PT Bank BRIsyariah, PT Bank Syariah Mandiri dan PT Bank BNI Syariah tersebut.

ANTARA

Pilihan Editor: IAEA Akan Bantu Perluasan Layanan Kedokteran Nuklir untuk Pasien Kanker di Indonesia