Data nasabah bank yang bocor satu dekade lalu—kasus yang sudah lama dianggap "selesai" karena bank sudah tutup pintu dan minta maaf—ternyata masih beredar dan dipakai penjahat siber hari ini. Menteri Komunikasi dan Digital Meutya Hafid mengungkap hal itu di OJK Banking Forum 2026 di kantor Bank Indonesia, Jakarta Pusat, Selasa (14/7/2026): kebocoran data perbankan dari lima sampai sepuluh tahun silam masih dipakai untuk kejahatan digital, termasuk membuka ribuan rekening bank dan e-wallet yang menampung aliran dana judi online (Kompas.com).
Jejak Data Lama yang Tidak Pernah Benar-Benar Hilang
Menurut Meutya, kebocoran data besar di sektor perbankan memang sempat terjadi beberapa tahun lalu, dan pelaku kejahatan siber tidak buru-buru memakainya. Data KTP, nomor rekening, dan informasi identitas lain itu disimpan, diperjualbelikan di forum bawah tanah, lalu dipakai bertahun-tahun kemudian untuk membuka rekening atau akun e-wallet atas nama orang lain—sering kali tanpa pemilik data asli pernah menyadarinya. Karena itu, menutup celah kebocoran hari ini tidak otomatis menghentikan kejahatan yang memakai data dari kebocoran masa lalu; efeknya baru terasa bertahun-tahun setelah beritanya berhenti jadi sorotan.
Pola "simpan dulu, pakai belakangan" ini yang membuat penanganan kebocoran data selama ini terasa tidak pernah tuntas. Saat sebuah insiden kebocoran terbongkar, respons yang lazim adalah permintaan maaf publik, audit internal, dan kadang sanksi administratif dari regulator—tapi jarang ada mekanisme untuk melacak ke mana data yang sudah telanjur bocor itu mengalir setelahnya. Begitu forum jual-beli data di dunia bawah tanah menyimpannya, data itu praktis punya umur pakai tak terbatas, siap dipakai kapan saja ada pembeli baru yang butuh identitas bersih untuk kejahatannya.
Ribuan Rekening Jadi Jalur Dana Judi Online
Bagian yang lebih konkret dari pernyataan Meutya adalah kaitannya dengan judi online: identitas curian dari kebocoran lama dipakai membuka rekening bank dan dompet digital yang kemudian menjadi jalur keluar-masuk dana judol, sehingga pelaku asli sulit dilacak karena rekening terdaftar atas nama korban pencurian identitas, bukan atas nama bandar atau penampung dana (CNBC Indonesia). Pola ini membuat pemberantasan judi online jadi lebih rumit dari sekadar memblokir rekening yang mencurigakan—karena rekening itu, di atas kertas, adalah milik warga biasa yang datanya sudah lama dicuri tanpa mereka ketahui.
Biometrik SIM Sebagai Tameng, Bukan Obat untuk Kebocoran Lama
Pernyataan ini disampaikan Meutya di tengah dorongan pemerintah mempercepat registrasi biometrik untuk kartu SIM baru, yang sudah wajib berlaku nasional sejak 1 Juli 2026 dan per pertengahan Juli baru dipatuhi 6,8 juta nomor. Logikanya, verifikasi wajah di titik pendaftaran SIM baru bisa mempersulit orang memakai identitas curian untuk membuka nomor telepon yang lalu dipakai memverifikasi rekening bank atau e-wallet palsu. Tapi biometrik SIM ke depan tidak menyentuh masalah inti yang disinggung Meutya: data lama yang sudah telanjur bocor dan beredar tetap bisa dipakai untuk kejahatan yang sama sekali tidak melibatkan pendaftaran SIM baru, misalnya membuka rekening lewat jalur digital banking yang verifikasinya masih mengandalkan KTP dan swafoto yang justru bisa dipalsukan dari data bocoran itu sendiri.
Bolongnya Ada di Payung Hukum, Bukan Cuma Teknis
Yang belum tuntas adalah sisi regulasi. Indonesia sudah punya UU Pelindungan Data Pribadi sejak 2022, tapi penegakannya terhadap kebocoran lama—termasuk soal siapa yang wajib bertanggung jawab atas data yang bocor bertahun-tahun lalu dan masih beredar sekarang—masih longgar. Liputan6 mencatat Komdigi sendiri mengakui strategi menutup celah judi online dan kejahatan digital masih berjalan bertahap, bukan solusi sekali jadi (Liputan6). Selama data lama yang sudah bocor tidak bisa "dicabut" dari peredaran dan lembaga yang membocorkannya dulu tidak menanggung konsekuensi konkret, celah yang sama akan terus dipakai ulang oleh jaringan kejahatan berikutnya, apa pun kebijakan verifikasi baru yang diterapkan ke depan.
Di titik ini letak masalahnya jadi jelas: pemerintah bisa terus menambal pintu masuk baru—biometrik SIM, verifikasi wajah di aplikasi perbankan, autentikasi dua faktor—tapi selama data lama yang sudah beredar tidak punya jalur penghapusan atau setidaknya pelacakan yang dipaksakan lewat regulasi, setiap tambalan baru cuma memindahkan titik lemah, bukan menutupnya. Lembaga yang datanya pernah bocor pun sejauh ini jarang diwajibkan mengumumkan secara rinci data siapa saja yang terdampak, sehingga korban aslinya bahkan tidak tahu perlu waspada terhadap rekening atau pinjaman atas nama mereka yang mungkin dibuka orang lain.
Takeaway
Kasus ini adalah pengingat bahwa kebocoran data bukan insiden sekali kejadian yang selesai begitu beritanya reda—data itu punya umur pakai bertahun-tahun di tangan penjahat siber, jauh melampaui masa "krisis" saat kebocorannya pertama kali terbongkar. Registrasi biometrik SIM bisa mempersempit satu pintu masuk baru, tapi tidak menghapus jejak data lama yang sudah telanjur beredar. Selama itu belum ditangani lewat penegakan hukum yang jelas soal tanggung jawab kebocoran, warga yang datanya pernah bocor bertahun-tahun lalu tetap berisiko namanya dipakai diam-diam untuk kejahatan yang bahkan tidak mereka sadari sedang terjadi.
---
Sumber gambar: Adi Goldstein, Domaintechnik, Florian Olivo di Unsplash
The conversation 0
No comments yet. Start the conversation.