Pada 31 Agustus, seorang sumber memberi tahu jurnalis keamanan Brian Krebs soal sebuah thread baru di forum kejahatan siber Rusia, Exploit. Penjualnya menawarkan akses pencarian ke dokumen identitas lebih dari 170 juta orang di Amerika Utara — dan sebagai bukti barang asli, ia menyertakan scan lisensi mengemudi Krebs sendiri, warga Virginia, sebagai sampel gratis (Krebs on Security). Sepuluh hari kemudian, penyedia verifikasi identitas yang jadi sumber data itu — IDScan.net — mengonfirmasi kebocorannya.
Nexus: Mesin Pencari untuk Dokumen Curian
Layanan yang dimaksud bernama Nexus, dan cara kerjanya berbeda dari kebocoran data biasa yang cuma dijual sebagai dump file. Nexus menawarkan pencarian langsung berdasarkan nama dan identitas lain — mengubah data curian jadi semacam mesin pencari untuk pencuri identitas (Malwarebytes). Isinya lebih dari 153 juta scan lisensi mengemudi AS dan Kanada, ditambah 10 juta kartu identitas lain, 3 juta dokumen perjalanan, dan sekitar 579.000 kartu medis termasuk kartu dispensari ganja. Penjualnya sendiri mengklaim sudah mengambil data segar dari sumbernya selama lebih dari setahun sebelum akhirnya membuka layanan pencarian ini ke publik — artinya kebocoran kemungkinan jauh lebih lama berlangsung dibanding tanggal konfirmasi resminya.
Apa yang Dikonfirmasi IDScan
IDScan.net, perusahaan asal Louisiana yang memproses verifikasi ID untuk perusahaan sewa mobil, ritel, dan dispensari ganja, menerima informasi adanya akses tak sah ke datanya sekitar 1 September 2026. Perusahaan memasang pengumuman di situsnya pada 4 September, menyatakan pihak ketiga tak sah "may have accessed and/or copied certain customer information" yang tersimpan di akun-akun pelanggan pada platform cloud IDScan (BleepingComputer). Data yang berisiko terekspos mencakup nama lengkap, nomor lisensi mengemudi, dan nomor dari dokumen identitas resmi lain yang diterbitkan pemerintah. Perusahaan mengaku sudah mengamankan sistemnya dan menyewa tim forensik pihak ketiga untuk menentukan cakupan penuh insiden (Help Net Security).
Yang membuat kasus ini berbeda dari kebocoran kartu kredit atau email biasa: dokumen identitas resmi seperti lisensi mengemudi jauh lebih sulit "diganti" dibanding kata sandi atau nomor kartu. Korban tak bisa sekadar minta bank menerbitkan kartu baru — mereka harus melalui proses birokrasi penerbitan ulang dokumen resmi, sambil tetap menanggung risiko data lama dipakai untuk penipuan identitas dalam jangka panjang.
Skala yang Belum Ada Presedennya
Kombinasi jumlah dan jenis dokumen dalam kebocoran ini tergolong luar biasa besar untuk kasus verifikasi identitas. BiometricUpdate mencatat total dokumen yang ditawarkan di Nexus tembus 170 juta bila seluruh kategori (lisensi, kartu ID, dokumen perjalanan, kartu medis) digabung (BiometricUpdate) — mendekati separuh populasi dewasa Amerika Serikat. Karena IDScan melayani banyak klien bisnis sekaligus (penyewaan mobil, ritel, dispensari), satu titik kebocoran di sisi backend-nya otomatis berdampak ke pelanggan dari puluhan bahkan ratusan bisnis berbeda yang tak pernah tahu datanya disimpan di sana.
Nexus sendiri sempat offline beberapa jam setelah laporan Krebs terbit, tapi itu tak berarti datanya lenyap — salinannya kemungkinan besar sudah beredar di tangan pembeli sebelum layanan ditutup, dan tak ada cara untuk menariknya kembali begitu tersebar di forum kejahatan siber.
FBI Turun Tangan, Pertanyaan Masih Menggantung
Kantor lapangan FBI di New Orleans membuka investigasi formal atas dugaan kebocoran database di IDScan.net (Time). IDScan sendiri menyatakan akan menawarkan layanan pemantauan kredit dan proteksi identitas gratis kepada individu yang terbukti datanya ikut terdampak (Newsweek) — tapi sejumlah pertanyaan penting masih belum terjawab secara publik: berapa lama sebenarnya akses tak sah itu berlangsung sebelum klaim penjual soal "setahun lebih" bisa diverifikasi secara independen, dan klien bisnis mana saja yang datanya ikut terdampak.
Bagi konsumen yang khawatir datanya termasuk dalam kebocoran ini, langkah paling praktis adalah memantau mutasi rekening dan laporan kredit secara berkala untuk mendeteksi aktivitas mencurigakan sedini mungkin, serta memanfaatkan layanan pemantauan identitas begitu ada notifikasi resmi dari perusahaan yang datanya bocor — karena dokumen identitas resmi, tidak seperti nomor kartu kredit, tidak bisa langsung diblokir atau diterbitkan ulang dalam hitungan hari. Bagi pembaca yang membangun produk berbasis verifikasi identitas pihak ketiga — dari KYC fintech sampai age-verification e-commerce — kasus ini jadi pengingat konkret bahwa memilih vendor verifikasi bukan cuma soal kecepatan API atau harga, tapi juga soal seberapa serius vendor itu mengamankan data mentah yang mereka simpan di baliknya.
Takeaway
Kebocoran IDScan menunjukkan risiko yang sering terabaikan dalam rantai verifikasi identitas: konsumen tak pernah langsung berhubungan dengan vendor backend seperti IDScan, tapi datanya tetap disimpan di sana lewat bisnis pihak ketiga yang mereka percayai. Skala 153 juta lisensi plus jutaan dokumen lain, ditambah taktik penjual yang memakai data wartawan keamanan sendiri sebagai bukti, membuat kasus ini layak dipantau lebih jauh — terutama hasil investigasi FBI soal berapa lama sebenarnya akses tak sah itu berlangsung sebelum terbongkar.
---
Sumber gambar: Philipp Katzenberger di Unsplash Sumber gambar: Markus Spiske di Unsplash Sumber gambar: imgix di Unsplash
The conversation 0
No comments yet. Start the conversation.