Bjorka: Hantu Data Indonesia

Empat institusi, 1.7 miliar catatan warga, satu nama yang tak pernah resmi terungkap. Analisis dingin atas serangan yang memaksa Indonesia mengesahkan UU PDP.

TIMELINE 2022

Tiap titik = satu kebocoran yang dipublikasikan Bjorka di Breach Forums atau Telegram.

SIAPA BJORKA?

Bjorka muncul publik di Breach Forums sekitar Agustus 2022, memakai username yang merujuk grup musik Islandia, Björk. Persona ini bukan APT dengan infrastruktur global — pola posting, harga jual data, dan gaya taunt di Telegram menunjukkan aktor tunggal atau kelompok kecil dengan akses ke broker data Indonesia, bukan APT-style intrusion ke setiap target.

Polri menahan seorang tersangka di Madiun pada 14 September 2022, namun tidak pernah secara resmi mengkonfirmasi bahwa yang ditangkap adalah Bjorka. Akun Bjorka sendiri tetap aktif beberapa hari setelah penangkapan, menambah kabut atribusi.

Yang pasti dari data publik: Bjorka punya akses berulang ke dataset besar institusi Indonesia dalam jendela waktu singkat. Ini lebih menunjukkan supply-chain dari data broker / orang dalam ketimbang empat intrusion network independen.

EMPAT BOCORAN YANG MENGGUNCANG

POLA TTP YANG BERULANG

• Sample-then-sell. Sample 1-2 juta record dirilis gratis untuk membuktikan klaim, sisanya dijual atau dirilis bertahap untuk media leverage.
• Telegram channel sebagai PR layer. Taunt ke institusi, klarifikasi, dan negosiasi semua di Telegram — bukan di Breach Forums (yang sifatnya transaksional).
• Format data konsisten. NIK + nama + alamat + nomor HP dalam satu baris CSV — pola khas database dump, bukan hasil exfil bertahap dari intrusion.
• Tidak ada ransomware / encryption. Bjorka tidak menyandera — langsung publikasi. Ini bukan finansial monetization pattern; lebih ke reputational damage atau ideological.

MENGAPA INDONESIA BEGITU RENTAN

Empat target Bjorka punya tiga kelemahan struktural yang sama:

1. NIK dijadikan primary key di mana-mana. Satu nomor identik untuk pajak, BPJS, registrasi SIM card, e-commerce. Compromise satu dataset = blast radius ke seluruh ekosistem.
2. Data at rest jarang dienkripsi. Sebagian besar institusi pemerintah masih menyimpan PII dalam plaintext database atau Excel dump untuk vendor / konsultan.
3. Supply chain data broker tidak diaudit. Data PII dijual ke vendor pihak ketiga untuk telemarketing — titik bocornya bisa di vendor, bukan di institusi itu sendiri.

APA YANG BERUBAH SETELAH BJORKA

• UU 27/2022 (Perlindungan Data Pribadi) disahkan 17 Oktober 2022, ~1 bulan setelah leak KPU. Penalti hingga 2% revenue tahunan untuk pelanggaran. Masa transisi 2 tahun sudah berakhir 2024.
• BSSN memperluas mandat dari koordinasi ke incident response aktif, dengan SOP baru untuk kebocoran data PII.
• Audit vendor mulai jadi syarat di tender BUMN strategis — meski implementasinya masih timpang.

Yang tidak berubah: arsitektur NIK-as-key dan ketergantungan pada data broker. Bjorka berikutnya hanya soal waktu.

DISKUSI (0)