- Discord mengungkapkan bahwa akibat insiden keamanan pada vendor dukungan pelanggan pihak ketiga, foto kartu identitas resmi yang diterbitkan pemerintah milik sekitar 70.000 pengguna mungkin terekspos
- Insiden ini terjadi pada penyedia layanan eksternal, bukan pada sistem Discord sendiri
- Penyerang menyebarkan angka yang dibesar-besarkan melebihi skala dampak sebenarnya sambil mencoba memeras Discord secara finansial
- Semua pengguna yang terdampak telah menerima pemberitahuan langsung secara individual, dan Discord sedang bekerja sama erat dengan aparat penegak hukum dan pihak terkait
- Discord telah mengakhiri kontrak dengan vendor yang terdampak dan segera menerapkan langkah-langkah penguatan keamanan
Ringkasan insiden keamanan
- Discord membagikan pernyataan resmi terkait insiden keamanan yang baru-baru ini terjadi pada vendor layanan pelanggan pihak ketiga
- Kebingungan muncul karena pelaku tindak ilegal menyebarkan informasi yang salah dan klaim berlebihan secara online, termasuk membesar-besarkan jumlah korban
Inti insiden
- Yang menjadi target peretasan bukanlah sistem Discord sendiri, melainkan sistem vendor eksternal yang digunakan untuk dukungan layanan pelanggan
- Akibat paparan data pada vendor eksternal tersebut, foto kartu identitas resmi yang diterbitkan pemerintah milik hingga sekitar 70.000 pengguna berpotensi terekspos
- Informasi identitas tersebut terutama digunakan untuk verifikasi usia dan penanganan banding terkait pembatasan usia
Tanggapan Discord
- Pemberitahuan individual kepada semua pengguna yang terdampak telah selesai dilakukan
- Discord terus bekerja sama dengan aparat penegak hukum, otoritas perlindungan data, dan pakar keamanan eksternal
- Discord segera mengakhiri kontrak dengan vendor eksternal tempat insiden terjadi
- Discord juga memperkuat langkah-langkah keamanan pada sistem terkait
Pernyataan tambahan dari Discord
- Discord menegaskan tidak memiliki niat sama sekali untuk bernegosiasi atau memberi kompensasi atas klaim keliru dan tindakan ilegal dari pihak yang mengancam
- Discord menyatakan menyadari dengan sangat serius tanggung jawab untuk melindungi privasi dan memahami kekhawatiran para pengguna
1 komentar
Opini Hacker News
Saya rasa saya sudah menjadi orang yang sinis dan skeptis, tapi hal seperti ini sekarang sama sekali tidak mengejutkan lagi. Kalau Anda memberikan data pribadi kepada seseorang, saya kini berasumsi bahwa pada akhirnya semua orang akan bisa mengakses data itu. Sekalipun layanan tersebut menuliskan di TOS bahwa mereka “tidak menjual informasi kepada pihak ketiga”, ujung-ujungnya tetap akan ada celah keamanan di suatu tempat dan datanya bocor. Menurut saya ini bukan kesalahan satu perusahaan saja, melainkan masalah sistemik karena pemerintah tidak menyiapkan atau menegakkan langkah keamanan yang kuat. Saya sudah berhenti berharap data pribadi akan benar-benar terlindungi, dan informasi yang benar-benar penting serta ingin tetap rahasia sejak awal tidak saya digitalkan, juga sama sekali tidak saya izinkan untuk disalin
Alasan fakta seperti ini diberitakan bukan untuk mengejutkan orang, melainkan karena ini isu penting. Sekarang makin banyak pemerintah meloloskan undang-undang verifikasi usia, dan justru data seperti inilah yang diserahkan ke lebih banyak perusahaan swasta yang berisiko. Kebocoran kali ini adalah bukti bahwa hukum-hukum semacam ini keliru, dan menyebarkan kabar tentang insiden ini akan membantu mengubah kesadaran publik
Penyebab masalahnya adalah pemerintah. Pemerintahlah yang membuat perusahaan harus meminta identitas pelanggan tanpa syarat, sehingga masalah seperti ini terjadi. Tidak ada langkah keamanan yang benar-benar efektif selain tidak mengumpulkan data ini sama sekali. Pemerintah sejak awal pun tidak mampu mengusulkan solusi keamanan yang layak. Sekarang besar kemungkinan data ini tidak akan pernah benar-benar terhapus, entah Discord membayar ganti rugi atau tidak, itu tidak mengubah apa pun
Alasan hal seperti ini tidak lagi mengejutkan adalah karena tidak ada hukuman besar. Orang-orang sudah kebal terhadap kebocoran skala besar, sehingga hampir tidak ada respons yang layak. Dan penyebab lainnya adalah sulitnya meloloskan legislasi yang secara nyata bertentangan dengan kepentingan perusahaan besar
Yang benar-benar gila adalah, tanggung jawab selalu dibebankan pada individu untuk cemas dan ekstra hati-hati, sementara sistem yang menangani data justru hampir tidak pernah menerima konsekuensi atau hukuman yang sepadan
Teknologi Zero Knowledge (pembuktian tanpa pengetahuan) untuk verifikasi identitas harus secepatnya menjadi hal yang umum dalam kehidupan sehari-hari. Teknologinya sebenarnya sudah ada untuk memverifikasi identitas atau usia tanpa mengungkap data pribadi, tetapi sangat disayangkan karena tampaknya akan butuh waktu lama sampai ini benar-benar diadopsi secara luas
Masalah besar yang paling diabaikan adalah kurangnya transparansi dari vendor pihak ketiga yang menangani identitas sensitif. Setiap kali terjadi kebocoran, perusahaan tidak menjelaskan dengan jelas vendor mana yang sebenarnya memproses data tersebut. Karena ketidaktransparanan ini, pengguna tidak bisa tahu di mana informasi mereka tersisa, dan pada praktiknya tidak punya kesempatan untuk mengawasi vendor-vendor itu ataupun menuntut mereka diawasi. Selama lapisan ini tidak diatur, kebocoran akan terus terjadi dan tanggung jawab akan tetap kabur
Discord menggunakan Zendesk (referensi). Namun dalam pernyataan resmi kali ini mereka tidak menyebutkan pihak ketiga mana yang compromised (dibobol), dan Zendesk mengatakan itu bukan layanan mereka. Kalau begitu, Discord sebenarnya memakai vendor pihak ketiga lain yang mana, dan reputasi siapa sebenarnya yang sedang mereka lindungi?
Saya tidak paham kenapa identitas harus disimpan. Bukankah cukup setelah verifikasi usia selesai? Kenapa tetap disimpan? Perusahaan seperti ini seharusnya diwajibkan untuk mengungkap rincian insiden dengan benar, seperti Google atau Cloudflare saat terjadi insiden
Perusahaan biasanya berjanji bahwa identitas hanya dipakai untuk verifikasi lalu langsung dihapus. Jadi bagaimana bisa begitu banyak identitas bocor? Saya jadi bertanya-tanya apakah mereka benar-benar memverifikasi jutaan kasus tiap bulan
Dalam pesan panduan Discord (untuk Australia), tertulis bahwa “informasi yang Anda berikan hanya digunakan untuk mengonfirmasi kelompok usia dan langsung dihapus setelah verifikasi” (lihat tangkapan layar). Saya sendiri belum mengirimkannya, tapi sedang berpikir bagaimana cara mengakali proses pengenalan wajah. Dalam skala apa pun, saya tidak ingin memberikan identitas pemerintah ke aplikasi chat. Menurut saya, pembagian usia ‘13~18 tahun, 18 tahun ke atas’ saja sudah cukup. Kalau dibuat lebih rinci dari itu, rasanya hanya dipakai untuk pemasaran dan analisis data
Dalam pernyataan resmi sebelumnya, disebutkan bahwa “sejumlah kecil gambar identitas pemerintah milik pengguna yang meminta ‘peninjauan ulang usia’ telah dilihat oleh orang yang tidak berwenang” (sumber). Dalam kasus seperti ini, mungkin identitas memang perlu disimpan untuk jangka waktu tertentu sebagai bagian dari proses penanganan banding. Karena penanganan keberatan bisa berlangsung lama, mungkin datanya disimpan lebih lama lalu ikut bocor
Entah janji penghapusan langsung itu bohong, atau vendor pihak ketiga yang ditunjuk menyimpan datanya sendiri
Secara regulasi, penyedia verifikasi identitas dapat menyimpan informasi identitas hingga 3 tahun. Perusahaan juga memanfaatkannya untuk pelatihan machine learning demi keamanan dan deteksi penipuan
Saya penasaran apakah TOS benar-benar menyatakan akan menghapusnya, dan seberapa cepat penghapusan itu dijelaskan secara spesifik. Istilah seperti ‘segera’ atau ‘dalam waktu dekat’ bisa ditafsirkan sangat berbeda jika tidak ditulis dengan jelas dalam kontrak, dan dalam beberapa kasus pemerintah juga secara hukum mewajibkan penyimpanan data
Saya rasa lebih banyak pemerintah perlu menyediakan sistem seperti eID Jerman, yang memungkinkan seseorang membuktikan hanya usianya saja. Ini benar-benar dibutuhkan, sayang sekali secara praktik sulit dimanfaatkan dan jarang dipakai
Belgia punya layanan bernama “itsme”. Sudah ada sejak lama, awalnya berfokus pada pemerintah, tetapi sekarang banyak bank juga mengadopsinya
eID Jerman bukan sekadar tidak praktis; implementasi dan integrasinya ke layanan juga tidak mudah dan berbiaya. Malah terkesan dibuat agar orang memakai sistem komersial (solusi berbayar) sebagai gantinya (lebih detail)
Mengunggah identitas pemerintah ke Discord itu tindakan bodoh
Di Inggris, untuk mematuhi Online Safety Act, Anda harus membuktikan identitas ke Discord agar bisa mengakses kanal kebebasan berbicara untuk usia 13 tahun ke atas
Kasus diblokir karena dianggap di bawah 13 tahun itu sering terjadi. Misalnya seseorang bertanya jumlah lilin di foto lalu Anda menjawab, kemudian isi chat itu diedit menjadi “umurmu berapa?”, sehingga jawaban tadi mendadak terlihat seperti menyebut usia. Discord itu seperti MSN Messenger atau Yahoo IM zaman dulu, semua relasi digital dan riwayat server bergantung pada satu akun ini. Kalau akun hilang, teman dan komunitas juga ikut terputus, jadi semestinya seminggu setelah verifikasi identitas, data identitas harus dihapus total, atau setidaknya bisa dihapus langsung dari panel akun
Menyalahkan pengguna itu tidak tepat. Perusahaan membuat kebijakan karena undang-undang pemerintah dan memaksa verifikasi bahwa pengguna berusia 18 tahun ke atas. Saya juga sempat mencoba verifikasi dengan AI pengenalan wajah tapi benar-benar tidak berhasil, jadi akhirnya saya mengikuti saran untuk menghubungi customer support, lalu mengunggah identitas karena melihat kebijakan resmi Discord yang menyatakan “identitas dihapus segera setelah verifikasi” (kebijakan) (kebijakan penghapusan). Namun Discord gagal menghapusnya sesuai janji dan malah membiarkannya bocor. Tanggung jawab penuh ada pada vendor pihak ketiga, Discord yang menangani data secara sembrono, dan pemerintah yang memaksakan kebijakan seperti ini. Orang-orang yang melek teknologi seperti kita mungkin bisa dengan mudah mencari self-hosting atau jalur alternatif, tetapi masyarakat umum tidak bisa. Saya berharap insiden seperti ini menjadi pemicu perlawanan terhadap kebijakan verifikasi paksa semacam ini ke depan. Namun pemerintah Inggris kemungkinan akan meneriakkan “melindungi anak-anak” sambil melempar seluruh tanggung jawab ke Discord
Sudah banyak crypto exchange yang menyimpan SIM, paspor, dan identitas saya yang lain. Itu memang realitas yang tak terhindarkan, dan untuk KYC (verifikasi identitas) yang sesungguhnya, prosedur verifikasi identitas lewat video juga wajib
Alasan “itu salah vendor pihak ketiga” sudah menjadi pola pembelaan yang terlalu sering dipakai. Kalau mengumpulkan informasi sensitif seperti identitas pemerintah, maka keamanan terkait harus dijaga pada tingkat yang sangat tinggi, terlepas dari siapa yang memegang datanya
Saya cuma penasaran — apakah secara hukum memang diwajibkan untuk menyimpan data seperti ini bahkan setelah verifikasi usia selesai?
Itulah bagian yang paling aneh dari kejadian ini. Saya tidak paham kenapa mereka mau menanggung tanggung jawab seperti ini. Kalau memang harus disimpan, maka harus diasumsikan bahwa kebocoran akan menjadi bencana besar, sehingga datanya perlu benar-benar dipisahkan dan diletakkan di layanan terpisah dengan akses yang sangat dibatasi
Saya bekerja di industri lain, tetapi saat perlu verifikasi identitas, kami mengekstrak hanya metadata pada saat informasi ditampilkan lalu langsung membuang gambarnya. Menyimpan gambar seperti itu untuk jangka panjang tanpa persetujuan tim legal umumnya nyaris tak terpikirkan, apalagi untuk verifikasi sederhana seperti usia atau nama yang sama sekali tidak memerlukannya
Belum tentu benar-benar disimpan; itu bisa saja hanya spekulasi tanpa dasar. Kebocoran kali ini mungkin terjadi pada data sementara yang diambil secara real-time selama proses penanganan, bukan berarti seluruh penyimpanan statis yang terus-menerus ada telah dibobol
Ini hanya dugaan, tetapi mungkin mereka menyimpan sebagian gambar identitas asli untuk audit akun ganda. Jika model machine learning mencurigai dua akun milik orang yang sama, gambar asli itu bisa dipakai untuk pembandingan dan konfirmasi duplikasi
Di EU (Uni Eropa) justru sebaliknya. Karena GDPR (aturan perlindungan data pribadi Eropa), hanya data seminimal mungkin yang boleh digunakan dan pemanfaatan di luar tujuan dilarang; misalnya data yang dikirim untuk verifikasi usia wajib dihapus setelah verifikasi selesai
Zendesk membanggakan bahwa “Discord menyediakan dukungan yang mulus berkat investasi dalam self-service berbasis AI pada platform Zendesk CX”