One of the most consequential bank hacks of the last few years was just revealed to the public. In a post uploaded to its website two weeks ago, the Arkansas-based Evolve Bank and Trust informed its customers that a “cybersecurity incident” involving Russian ransomware group LockBit resulted in the theft of an unspecified amount of customer information.

The hacker group, which has been the target of an international law enforcement operation for years, had originally claimed the hack was of the Federal Reserve, raising some eyebrows on Wall Street.

Instead, as the group’s dark net website reveals, the stolen cache of records allegedly relates to Evolve Bank and Trust customers and those at partner FinTech companies, reportedly including names of customers, Social Security numbers, dates of birth, and scans of driver’s licenses and IDs.

While we do not know the full extent of the hack and the leaks, the bank’s unique positionas a bridge between traditional finance and the startup FinTech, neo-banks point to a much more dire situation than many would like to admit.

Many key financial services firms, including big names like Wise, Mercury, Stripe, Affirm, and many more, have already communicated to their customers that some of their datamay have been included in the hack. I have personally received some of these emails from other accounts.

This relates to the looming bankruptcy of related banking provider Synapse, which acted as a middleman between FinTech firms and traditional banks like Evolve. Sens. Sherrod Brown (D-Ohio), Ron Wyden (D-Ore.), Tammy Baldwin (D-Wis.), and John Fetterman (D-Penn.) sent a letter on July 1 to the company demanding it make its customers whole. Evolve Bank, a major partner of Synapse, was also addressed in the letter. The alleged hack will now only escalate the situation.

Two factors make this alleged Evolve hack so devastating.

First, the scale and scope of the companies involved. The list of FinTech partners using Evolve’s banking license to issue financial accounts includes some of the largest institutions in the country, serving hundreds of millions of Americans. We will only know the true number of people affected once companies disclose whose data was compromised.

Second, federal laws required each company to collect significant personal and private data from its clients to provide to Evolve. Whether under the Bank Secrecy Act, the PATRIOT Act, the FDIC Customer Identification Program, Dodd-Frank Act, or the newly passed Corporate Transparency Act, the federal government mandates that customers hand over vast amounts of information and data that banks and financial institutions must retain to track down crime.

To comply with the myriad Know Your Customer and anti-money-laundering laws the government has imposed on financial institutions, each of these companies must collect and store the names, addresses, Social Security numbers, and ID scans of their customers to report to the Treasury Department. A nefarious Russian hacking group may now possess this information.

The scale of potential identity theft will only grow once criminals match this information with recent online breaches.

Some users have already reported phishing scams made possible by information from the hack, and yet more information may soon become available.

FinTech Substack writer Jason Mikula is one of the only journalists to cover this breach from the start. Evolve Bank sent him a cease-and-desist letter last week and threatened legal action if he reveals any information from the hacks.

Beyond the worries about a broader industry collapse surrounding FinTech, this episode should prove as a cautionary tale for those who push excessive Know Your Customer and anti-money-laundering laws for services that consumers use every day.

As I’ve previously reported on Return, one pending bill in the U.S. Senate would like to crack down even more on Bitcoin and cryptocurrency exchanges, requiring yet more personal data and even limiting the amount customers can withdraw without being labeled “suspicious.”

While attempts at a national privacy law are commendable, Congress and the Federal Trade Commission have focused too much on specific business models of various online companies rather than on creating legally enforceable penalties for hacks that endanger our private information and put us at risk of identity theft.

Instead of introducing more restrictions or requirements for companies to collect information to combat crime, we should ask whether the existing laws are putting us in greater danger. Common-sense rules that promote encryption, penalize bad actors, and minimize data collection would go a long way in protecting consumers from future harm.

Originally published here

Beberapa waktu lalu, jutaan warga Indonesia dikejutkan dengan berita diretasnya Pusat Data Nasional (PDN). Adanya kejadian tersebut menyebabkan menjadi terhalangnya berbagai layanan publik dasar dikarenakan pusat data yang tidak bisa diakses, mulai dari pembuatan paspor, proses imigrasi otomatis, hingga layanan beasiswa pendidikan. Peretas PDN tersebut juga meminta uang tebusan sebesar USD8 juta kepada pemerintah bila ingin data tersebut dikembalikan (tempo.co, 27/6/2024).

Tidak mengherankan, banyak masyarakat yang meluapkan kekesalannya kepada pemerintah yang dianggap tidak bertanggung jawab dalam menjaga data masyarakat Indonesia, baik melalui media sosial maupun media massa. Kekesalan tersebut khususnya diarahkan kepada Kementerian Komunikasi dan Informatika (Kominfo) yang dianggap abai dalam menjalankan salah satu tugasnya yang paling penting.

Adanya kejadian tersebut tidak bisa dilepaskan dari proses digitalisasi yang semakin masif di Indonesia, seiring dengan perkembangan teknologi informasi yang semakin pesat. Pembangunan PDN sendiri dimulai pada tahun 2022 lalu, terletak di Cikarang, yang digunakan untuk menyimpan berbagai data penting pemerintah dan juga masyarakat Indonesia (cnbcindonesia.com, 6/2/2024).

Tidak bisa dipungkiri, digitalisasi saat ini merupakan proses yang hampir mustahil dapat dibendung. Seiring perkembangan teknologi yang semakin pesat, proses pengubahan informasi menjadi dalam format digital saat ini sudah melingkupi berbagai hal yang tidak bisa kita lepaskan dari keseharian kita, mulai dari konten digital seperti musik dan film, informasi transaksi jual beli, dan juga informasi pribadi yang kita miliki.

Terkait dengan hal tersebut, informasi pribadi memang merupakan hal yang sangat penting untuk dijaga dengan sebaik-baiknya. Infomasi pribadi kita dalam hal ini mencakup berbagai informasi yang sangat berpotensi bisa disalahgunakan oleh pihak-pihak yang tidak bertanggung jawab, seperti alamat, nomor induk kependudukan, nomor telepon, dan lain sebagainya.

Untuk itu, perlindungan data pribadi merupakan hal yang sangat penting dan krusial, dan kelalaian pemerintah yang menyebabkan peretasan tersebut bisa terjadi merupakan hal yang sangat serius dan wajib mendapatkan perhatian dari jutaan masyarakat Indonesia. Peretasan data tersebut merupakan hal yang sangat berbahaya, di mana data masyarakat tersebut berpotensi besar akan disalahgunakan oleh pihak-pihak yang tidak bertanggung jawab.

Secara garis besar, Indonesia sendiri pada dasarnya sudah memiliki kerangka hukum yang ditujukan untuk melindungi data pribadi. Pada tahun 2022 lalu, disahkan Undang-Undang No. 27 Tahun 2022 tentang Perlidnugan Data Pribadi (UU PDP) yang ditujukan untuk menjaga keamanan data, dan juga proses mitigasinya.

Untuk melakukan hal tersebut, UU PDP mencantumkan kewajiban bagi perusahaan untuk menjaga keamanan dan kerahasiaan data pribadi. Dalam undang-undang tersebut juga diatur mengenai proses yang harus dilakukan apabila ada perusahaan yang gagal melakukan hal tersebut, misalnya terjadi peretasan, maka harus memberikan pemberitahuan kepada pengguna atau konsumen selambat-lambatnya 3 x 24 jam (hukumonline.com, 16/5/2024).

Perusahaan yang melanggar ketentuan tersebut maka akan berhadapan dengan sanksi yang tercantum di dalam aturan. Sanksinya sendiri dalam bentuk yang bermacam-macam, mulai dari sanksi administratif, sanksi perdata seperti membayar uang ganti rugi kepada konsumen, hingga sanksi pidana.

Adanya aturan undang-undang tersebut tentu merupakan hal yang sangat patut untuk diapresiasi dan didukung. Perlindungan data pribadi merupakan hal yang sangat penting bagi konsumen dan sangat rentan disalahgunakan. Tanpa adanya aturan yang secara eksplisit melindungi data pribadi, maka pihak-pihak tertentu seperti pelaku usaha yang tidak bertanggung jawab berpotensi bisa dengan bebas menyebarkan data pribadi pelanggannya yang tentunya akan membawa banyak kerugian bagi pelanggan tersebut.

Tetapi yang memprihatinkan, kejadian beberapa minggu lalu justru membuktikan bahwa ternyata pihak yang paling lalai dalam menjalankan hal tersebut adalah pemerintah itu sendiri. Yang lebih memprihatinkan, beberapa oknum di pemerintahan yang memiliki tanggung jawab untuk melindungi masyarakat justru bersikap seakan-akan hal tersebut bukan hal yang krusial, seperti menunjukkan sikap “pasrah” bila pemerintah kehilangan data berharga masyarakat (wartakota.twibunnews.com, 2/7/2024).

Sikap abai dan lalai yang ditunjukkan pemerintah dalam menjalankan tugasnya untuk melindungi data pribadi masyarakat ini tentunya bukan hanya akan membahayakan warga negara, tetapi juga akan meningkatkan citra buruk negeri di mata investor dan pelaku usaha dari luar negeri. Perlindungan data pribadi saat ini menjadi salah satu tolok ukur bagi para investor untuk menanamkan modalnya (beritasatu.com, 24/1/2023).

Tidak mengherankan bahwa, data center yang dimiliki dan dikelola oleh pemerintah memang memiliki kecenderungan lebih tidak aman. Berbeda dengan pihak swasta, pemerintah merupakan institusi yang tidak harus berhadapan dengan kompetitor, dan maka dari itu memiliki insentif yang lebih rendah untuk memberikan pelayanan terbaik, tidak seperti pihak swasta.

Apabila ada perusahaan swasta yang mengalami data breach atau terkena ransomware misalnya, dan tidak bisa diakses selama berhari-hari, sudah pasti pegawai yang bertanggung jawab akan segera diberi sanksi hingga dipecat. Selain itu, perusahaan tersebut juga akan dihukum oleh pasar dengan dijauhi oleh konsumen. Terkait dengan hal tersebut, keamanan cyber pemerintah sendiri juga dikonfirmasi oleh komunitas ethical hacker di Indonesia, yang menyatakan bahwa situs yang dimiliki oleh lembaga pemerintah sering dijadikan sasaran untuk para hacker baru yang masih belajar (pikiran-rakyat.com, 2/7/2024).

Terkait dengan pelibatan pihak swasta, sebenarnya hal tersebut dimungkinkan dalam bentuk kerja sama dengan pihak vendor. Sehubungan dengan hal tersebut, pemerintah sendiri sebenarnya sudah menggunakan vendor dalam rangka pengelolaan Pusat Data Nasional. Tetapi, vendor yang terlibat tersebut juga diberikan kepada anak perusahaan Badan Usaha Milik Negara (BUMN), salah satunya adalah melalui PT Telkom Indonesia melalui anak perusahannya yakni Telkomsigma (investor.id, 8/7/2024),

Selain itu, bukan tidak mungkin juga, kejadian yang sangat amat fatal ini juga dijadikan sebagai contoh yang tidak baik bagi sebagian oknum swasta tertentu di Indonesia yang tidak bertanggung jawab. Bila pemerintah saja, yang memiliki dana yang sangat besar, wewenang yang luas, dan juga sumber daya yang berlimpah, bisa bersikap demikian terhadap data yang dimiliki oleh warganya, lantas bagaimana dengan para pelaku usaha yang memiliki modal dan sumber daya yang sangat terbatas?

Sebagai penutup, perlindungan data pribadi merupakan hal yang sangat penting dan krusial seiring dengan semakin masif dan pesatnya proses digitalisasi, seiring dengan perkembangan teknologi yang sangat cepat. Untuk itu, jangan sampai kita bersikap tak acuh terhadap hal tersebut. Terlebih lagi, yang bersikap abai justru lembaga pemerintah yang memiliki kewajiban untuk melindungi data pribadi warga negara.

Originally published here