Kembali ke Blog
News

IDScan Konfirmasi Kebocoran Data: Pelajaran Vendor Identitas untuk Bisnis

IDScan mengonfirmasi kebocoran yang melibatkan data lisensi pengemudi setelah laporan tentang dugaan penjualan data dalam jumlah besar. Kasus ini menjadi pengingat bahwa vendor verifikasi identitas harus diperlakukan sebagai bagian dari perimeter keamanan bisnis.

•
Frendi Triarista
IDScan Konfirmasi Kebocoran Data: Pelajaran Vendor Identitas untuk Bisnis
newscybersecuritydata breachidentity verificationvendor riskbusiness process optimizationsoftware engineeringdata protection

IDScan Konfirmasi Kebocoran Data: Pelajaran Vendor Identitas untuk Bisnis

IDScan mengonfirmasi bahwa sistemnya mengalami insiden akses tanpa izin yang melibatkan data lisensi pengemudi. TechCrunch melaporkan pada 10 September 2026 bahwa perusahaan mengakui pencurian data dari sistemnya, sementara jumlah individu yang terdampak belum dipastikan.

Apa yang diketahui

TechCrunch menyebut IDScan memiliki lebih dari 150 juta catatan lisensi pengemudi, tetapi angka tersebut tidak sama dengan jumlah korban dalam insiden ini. Perusahaan belum menyatakan berapa banyak individu yang terdampak. Laporan tersebut juga menyebut bahwa data yang diakses berkaitan dengan layanan verifikasi identitas dan pemberitahuan sedang diberikan kepada pihak yang berpotensi terdampak.

BleepingComputer melaporkan pada 4 September 2026 bahwa IDScan mengungkapkan insiden dalam pemberitahuan keamanan. Menurut pemberitahuan perusahaan yang dikutip laporan tersebut, pada atau sekitar 1 September 2026 IDScan menerima informasi bahwa data tertentu mungkin telah diakses tanpa otorisasi. Investigasi masih berjalan, sehingga angka, cakupan, dan akar masalah tidak boleh dianggap final.

Mengapa ini penting bagi bisnis Indonesia

Banyak bisnis tidak menyimpan seluruh data identitas sendiri. Mereka mengandalkan vendor untuk onboarding pelanggan, verifikasi usia, KYC, antifraud, atau proses compliance. Ketika vendor tersebut bermasalah, risiko operasional dan reputasi tetap dapat kembali kepada bisnis yang memilihnya.

Bagi UMKM dan startup, pelajarannya bukan berhenti memakai layanan verifikasi identitas. Langkah yang lebih realistis adalah memperlakukan vendor sebagai komponen proses yang harus diawasi, bukan sekadar API yang dipasang lalu dilupakan.

Saya akan memulai dari inventaris data: jenis dokumen yang dikirim, tujuan pemrosesan, lokasi penyimpanan, masa retensi, pihak yang dapat mengakses, dan prosedur penghapusan. Untuk pemrosesan data pribadi di Indonesia, kontrol tersebut perlu diselaraskan dengan kewajiban perlindungan data pribadi yang berlaku dan kontrak dengan vendor.

Checklist sebelum memilih atau memperpanjang vendor

  1. Batasi data yang dikirim. Kirim atribut yang benar-benar diperlukan untuk keputusan bisnis.
  2. Pisahkan lingkungan dan kredensial. Gunakan project, API key, dan hak akses yang berbeda untuk development, staging, dan production.
  3. Tinjau kontrol vendor. Minta penjelasan tentang enkripsi, logging, retensi, subprocessor, penghapusan data, dan notifikasi insiden.
  4. Siapkan jalur pemulihan. Tentukan bagaimana layanan diganti, dibatasi, atau dihentikan ketika vendor mengalami gangguan atau insiden.
  5. Uji proses respons. Pastikan tim dapat mengidentifikasi data terdampak, menghubungi vendor, mencatat keputusan, dan memberi notifikasi sesuai kewajiban.
  6. Monitor penggunaan. Audit request, error, pola akses, dan perubahan konfigurasi, bukan hanya status HTTP 200.

Implikasi untuk automation dan software engineering

Workflow otomatis yang mengirim data identitas harus memiliki validasi, masking pada log, rate limit, timeout, retry yang aman, dan audit trail. Retry tanpa idempotency dapat menggandakan transaksi atau memperluas paparan data. Secret juga harus disimpan di secret manager atau mekanisme credential terisolasi, bukan di workflow export atau source code.

Kontrol keamanan sebaiknya masuk ke Software Development Life Cycle sejak desain integrasi. Review vendor, threat modeling, pengujian akses, dan rencana rollback perlu menjadi bagian dari proses delivery, bukan pekerjaan darurat setelah berita kebocoran muncul.

Kesimpulan

Insiden IDScan belum memberikan seluruh jawaban tentang jumlah korban dan akar masalahnya. Namun, sinyalnya cukup kuat untuk meninjau ulang integrasi vendor identitas sekarang juga. Bisnis yang lebih siap bukan hanya yang memiliki firewall, tetapi yang tahu data apa yang dikirim, siapa yang dapat mengaksesnya, berapa lama disimpan, dan bagaimana proses dihentikan ketika kepercayaan terhadap vendor berubah.

Referensi