Bjorka Bongkar 26 Juta History Browsing IndiHome (2022)

Konteks Operasional

Insiden kebocoran 26 juta history browsing IndiHome tahun 2022 mengkonfirmasi praktik mass surveillance oleh ISP Indonesia yang selama ini bersifat spekulatif. Dataset yang didistribusikan Bjorka mengandung metadata browsing lengkap (timestamp, URL, NIK pengguna) dengan perioda 2018-2019. Pola ini konsisten dengan infrastruktur Deep Packet Inspection yang umum di operator telekomunikasi, namun implementasi logging-nya menunjukkan kelemahan kontrol akses internal.

Vektor Awal & Lateral Movement

Analisis forensik tidak tersedia secara publik, namun pola kebocoran mengindikasikan beberapa skenario:

• Insider threat: Akses legitimate ke sistem DPI/analytics yang kemudian di-exfiltrasi melalui removable media atau cloud storage pribadi
• Third-party vendor compromise: Sistem milik kontraktor pengelola DPI yang terpapar ke internet tanpa segmentasi memadai
• Data broker infiltration: Pembelian dataset dari underground forum dimana data sudah beredar lama sebelum dipublikasikan Bjorka

Karakteristik dataset menunjukkan sumbernya adalah raw HTTP logs dari level ISP, bukan hasil scraping endpoint aplikasi atau middlebox tertentu.

Pivot Yang Sering Diabaikan Defender

Tim keamanan ISP biasanya berfokus pada perimeter eksternal namun mengabaikan:

• Data lifecycle management: Log sensitif disimpan multi-tahun tanpa justification bisnis jelas dan tanpa encryption-at-rest
• Overprivileged analytics team: Tim BI/analytics sering memiliki akses read-only ke seluruh dataset tanpa need-to-know basis
• Chain of custody: Tidak ada audit trail yang memadai untuk akses dataset sensitif oleh internal maupun vendor eksternal

Pelajaran untuk Tim Indonesia

• Implementasikan selective logging untuk metadata pengguna - hindari menyimpan NIK/tanggal lahir dalam log jaringan
• Enforce zero-trust architecture untuk sistem analytics, termasuk session recording untuk akses ke dataset sensitif
• Lakukan periodic data destruction sesuai retention policy yang terdokumentasi
• Audit seluruh third-party yang memiliki akses ke data pelanggan, termasuk subkontraktor tier-2 dan tier-3

Indikator Detection Yang Bisa Dipasang Besok

• Unusual data volume egress: Monitoring transfer data >50GB dari sistem analytics ke endpoint internal/pribadi
• Concurrent session anomalies: Deteksi akses simultan ke dataset pelanggan dari geo-location tidak biasa
• Pattern of life deviation: Alert untuk akses log sensitif di luar jam kerja rutin analytics team
• Compressed log exfiltration: Signature detection untuk tools seperti Rclone/7zip yang dijalankan di server log management