Unggahan twibbon, lokasi real-time, dan tantangan media sosial dapat membantu orang lain memetakan identitas, kebiasaan, hingga lingkaran sosial seseorang. Di tengah meningkatnya serangan siber di Indonesia, masyarakat diminta lebih berhati-hati membagikan informasi pribadi.
JAKARTA — Sebuah unggahan di media sosial mungkin terlihat sederhana: foto kartu pelajar, twibbon masa orientasi sekolah, foto ulang tahun, atau video yang menampilkan lokasi seseorang secara langsung. Namun, informasi yang tampak tidak berbahaya itu dapat membentuk gambaran yang lebih lengkap tentang pemilik akun ketika dikumpulkan dan dianalisis secara sistematis.
Praktik pengumpulan dan analisis informasi dari sumber terbuka dikenal sebagai open source intelligence atau OSINT. Teknik ini tidak selalu melibatkan peretasan. Data dapat berasal dari unggahan publik, akun media sosial, peta digital, situs web, dokumen yang terbuka, hingga metadata. OSINT sendiri dapat digunakan untuk tujuan yang sah, seperti jurnalisme, investigasi, dan verifikasi informasi. Namun, teknik yang sama dapat disalahgunakan untuk penipuan, pemerasan, penguntitan, dan doxing.
Peringatan mengenai risiko tersebut kembali muncul di Indonesia setelah pakar keamanan siber mengingatkan bahaya mengunggah twibbon masa pengenalan lingkungan sekolah atau MPLS yang memuat nama lengkap, foto wajah, asal sekolah, dan domisili. Informasi tersebut, jika dapat diakses publik, berpotensi dimanfaatkan oleh pihak yang tidak bertanggung jawab.
Serangan Siber Terus Meningkat
Ancaman terhadap data pribadi tidak hanya berasal dari unggahan individu. Infrastruktur digital pemerintah, perusahaan, lembaga pendidikan, dan layanan publik juga menghadapi risiko serangan.
Berdasarkan data Badan Siber dan Sandi Negara yang disampaikan Kepala Staf Kepresidenan Dudung Abdurachman, Indonesia mencatat 5,5 miliar serangan siber sepanjang 2025. Angka tersebut disebut meningkat 714 persen dibandingkan rata-rata tahunan periode 2020–2024. Pada 1 Januari hingga 15 April 2026, tercatat 1,52 miliar serangan siber.
Serangan tersebut mencakup pencurian data, penipuan daring, peretasan sistem, penyebaran informasi palsu, hingga serangan terhadap layanan publik. Data itu menunjukkan bahwa keamanan siber bukan lagi isu yang hanya berkaitan dengan perusahaan teknologi atau lembaga pemerintah. Pengguna media sosial pun menjadi bagian penting dalam rantai perlindungan data.
Sebab, data yang berhasil dikumpulkan dari sumber terbuka dapat digunakan untuk menyusun profil seseorang. Nama, nomor telepon, lokasi tempat tinggal, sekolah, tempat kerja, nama anggota keluarga, dan kebiasaan harian dapat saling melengkapi ketika tersebar di berbagai platform.
Contoh Terbaru di Ruang Publik
Pada awal 2026, dugaan kebocoran data pelamar kerja di lingkungan Kementerian Komunikasi dan Digital menjadi sorotan. Kasus tersebut dinilai paradoks karena terjadi di lingkungan lembaga yang berperan sebagai regulator ruang digital nasional. Informasi mengenai dugaan insiden itu disampaikan dalam pemberitaan parlemen dan disebut menunjukkan pentingnya penerapan prinsip kehati-hatian serta akuntabilitas dalam pengelolaan data.
Di tingkat nasional, persoalan kebocoran data juga dikaitkan dengan berbagai insiden yang melibatkan sektor pemerintahan, perbankan, pendidikan, dan layanan publik. Anggota Komisi I DPR RI Mahfudz Abdurrahman menyebut kebocoran data tidak lagi dapat dipandang sebagai persoalan teknis semata, melainkan sebagai persoalan sistemik yang berkaitan dengan hak privasi dan kepercayaan publik.
Sementara itu, pada 2026 muncul pula pemberitaan mengenai dugaan kebocoran jutaan data Nomor Pokok Wajib Pajak yang disebut beredar di forum gelap. Informasi semacam ini tetap perlu dibaca secara hati-hati dan diverifikasi melalui keterangan resmi, tetapi menunjukkan bahwa data identitas warga memiliki nilai ekonomi dan dapat menjadi sasaran perdagangan ilegal.
Kasus-kasus tersebut memperlihatkan dua lapisan ancaman. Pertama, data dapat terekspos akibat kelemahan sistem organisasi. Kedua, informasi yang sudah dibagikan secara sukarela di media sosial dapat membantu pelaku menghubungkan potongan-potongan data yang sebelumnya tersebar.
Doxing dan Intimidasi Digital
Salah satu bentuk penyalahgunaan data pribadi adalah doxing, yaitu penyebaran informasi identitas seseorang tanpa persetujuan, biasanya untuk mengintimidasi, mempermalukan, atau membahayakan korban.
Dalam praktiknya, doxing tidak selalu berhenti pada publikasi nama dan alamat. Pelaku dapat menghubungi keluarga, teman, atau rekan kerja korban. Mereka dapat menggunakan informasi tersebut untuk menyamar sebagai petugas bank, aparat, kurir, atau pegawai lembaga resmi.
Modus ini memanfaatkan rasa takut korban. Pelaku mungkin mengancam dengan tuduhan hukum, menyatakan akun akan diblokir, atau mengabarkan adanya masalah administrasi. Karena pelaku mengetahui sebagian informasi pribadi korban, komunikasi tersebut terlihat meyakinkan.
Di sinilah OSINT dapat menjadi bagian dari rekayasa sosial. Pelaku tidak harus mengetahui seluruh data korban. Beberapa informasi yang tepat—misalnya nama lengkap, tempat kerja, nomor telepon, atau nama anggota keluarga—sudah cukup untuk membangun kepercayaan palsu.
Tantangan Media Sosial Bukan Selalu Permainan
Tren “Add Yours” dan berbagai tantangan media sosial sering mendorong pengguna menjawab pertanyaan seperti nama panggilan, kota asal, sekolah, nama hewan peliharaan, atau tanggal lahir.
Informasi tersebut terlihat ringan karena dibagikan dalam suasana bermain. Namun, sebagian di antaranya memiliki kemiripan dengan pertanyaan keamanan yang digunakan untuk memulihkan akun. Walaupun sistem keamanan modern tidak seharusnya hanya bergantung pada pertanyaan semacam itu, informasi tersebut tetap dapat membantu pelaku menyusun pendekatan yang lebih meyakinkan.
Risikonya menjadi lebih besar ketika unggahan juga menampilkan:
- Nama lengkap dan tanggal lahir.
- Foto wajah dengan seragam atau kartu identitas.
- Nama sekolah, kantor, atau institusi.
- Alamat rumah atau lokasi keluarga.
- Nomor telepon dan alamat surat elektronik.
- Informasi perjalanan atau lokasi secara real-time.
- Foto dokumen, tiket, kartu peserta, atau surat resmi.
Satu unggahan mungkin tidak cukup untuk membahayakan seseorang. Namun, beberapa unggahan dari waktu yang berbeda dapat membentuk peta digital yang sangat rinci.
Social Engineering Mengandalkan Kelengahan
Rekayasa sosial atau social engineering adalah metode manipulasi yang membuat korban secara sukarela memberikan informasi atau melakukan tindakan yang merugikan dirinya sendiri. Pelaku biasanya memanfaatkan otoritas, kepanikan, rasa ingin tahu, atau tekanan waktu.
Contohnya, pelaku mengaku sebagai petugas bank dan menyebut nama lengkap korban. Pelaku kemudian meminta kode verifikasi dengan alasan ada transaksi mencurigakan. Karena sebagian informasi korban sudah benar, korban lebih mudah percaya.
Modus lain berupa tautan hadiah, undangan digital, pemberitahuan paket, atau pesan dari akun yang menyerupai milik teman. Tujuannya dapat berupa pencurian kredensial, pengambilalihan akun, atau pemasangan perangkat lunak berbahaya.
BSSN dan pemerintah telah mengingatkan bahwa masyarakat perlu menjaga kerahasiaan data pribadi dan meningkatkan literasi digital. Tingginya jumlah serangan menunjukkan bahwa keamanan digital tidak bisa hanya mengandalkan sistem teknologi; perilaku pengguna juga menentukan.
Regulasi Sudah Ada, Tantangan Tetap Besar
Indonesia memiliki Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Regulasi tersebut mengatur prinsip pemrosesan data, hak subjek data, kewajiban pengendali dan prosesor data, serta sanksi administratif dan pidana.
Namun, keberadaan regulasi belum otomatis menghilangkan risiko. Tantangan terletak pada penerapan standar keamanan, audit berkala, pengawasan, pelaporan insiden, dan penegakan hukum. DPR menilai kebocoran data perlu ditangani secara sistemik melalui perbaikan tata kelola, bukan sekadar respons setelah insiden terjadi.
Bagi masyarakat, regulasi juga penting untuk dipahami sebagai dasar hak. Pengguna berhak mengetahui bagaimana data diproses, untuk tujuan apa data digunakan, dan kepada siapa data dapat dibagikan, sesuai ketentuan yang berlaku.
Langkah yang Dapat Dilakukan
Perlindungan data pribadi dapat dimulai dari kebiasaan sederhana:
- Periksa kembali unggahan sebelum dipublikasikan. Pastikan tidak ada NIK, nomor kartu, alamat, nomor telepon, atau dokumen lain yang terlihat.
- Batasi informasi di profil publik. Tidak semua orang perlu mengetahui tempat kerja, alamat rumah, tanggal lahir, dan rutinitas harian.
- Hindari membagikan lokasi secara real-time. Unggah informasi perjalanan setelah meninggalkan lokasi, bukan ketika masih berada di sana.
- Gunakan autentikasi dua faktor. Pilih aplikasi autentikator jika tersedia dan jangan pernah membagikan kode verifikasi.
- Waspadai pesan yang mendesak. Petugas resmi umumnya memiliki saluran verifikasi dan tidak meminta PIN, kata sandi, atau kode OTP.
- Periksa perangkat yang tertaut. Tinjau sesi aktif di WhatsApp, surat elektronik, media sosial, dan layanan digital lainnya.
- Pisahkan identitas publik dan privat. Gunakan pengaturan privasi yang berbeda untuk akun pribadi, pekerjaan, dan komunitas.
- Laporkan penyalahgunaan. Simpan tangkapan layar, tautan, nomor pengirim, dan kronologi sebelum melaporkan kepada platform atau pihak berwenang.
Narasihub Insight
OSINT bukan kejahatan dengan sendirinya. Informasi publik dapat digunakan untuk kepentingan yang sah, termasuk memverifikasi fakta, menelusuri informasi, dan mendukung investigasi jurnalistik. Yang menjadi masalah adalah ketika data dikumpulkan untuk mengeksploitasi, mengintimidasi, menipu, atau merugikan seseorang. Karena itu, masyarakat tidak perlu berhenti menggunakan media sosial. Yang perlu diubah adalah cara memperlakukannya. Media sosial bukan ruang pribadi sepenuhnya. Setiap unggahan dapat disalin, disebarkan, diarsipkan, dan dihubungkan dengan informasi lain.
Hal yang tampak kecil bagi pemilik akun bisa memiliki nilai besar bagi pelaku kejahatan. Foto seragam dapat menunjukkan sekolah. Latar belakang rumah dapat mengungkap lokasi. Nama panggilan dapat membantu menyamar. Jadwal perjalanan dapat menunjukkan kapan rumah kosong. Pada akhirnya, keamanan digital tidak hanya ditentukan oleh teknologi canggih, tetapi juga oleh keputusan sederhana sebelum menekan tombol “unggah”.
Tidak semua hal yang bisa dibagikan perlu dibagikan. Dan tidak semua yang terlihat sepele akan tetap sepele ketika jatuh ke tangan yang salah.