Microsoft Tak Sengaja Bocorkan 2,4 TB Data Pelanggan

JAKARTA - Microsoft dilaporkan tidak sengaja membocorkan 2,4 TB data pelanggan yang disimpan sejak tahun 2017, akibatnya kini perusahaan mendapakan kritikan.

Dilansir dari Ars Technica, Senin (24/10/2022), menurut perusahaan keamanan SOCRadar, data yang bocor tersebut meliputi data faktur dan kontrak yang sudah ditandatangani, info kontak, serta email dari 65.000 pelanggan atau calon pelanggan selama lima tahun.

Selain itu, SOCRadar juga mengungkapkan, data tersebut berasal dari tahun 2017 hingga Agustus 2022.

Adapun data yang bocor termasuk bukti pelaksanaan dan pernyataan dokumen kerja, informasi pengguna, pesanan atau penawaran produk, detail proyek, informasi yang diidentifikasi secara pribadi, dan dokumen yang dapat mengungkapkan kekayaan intelektual.

Menurut SOCRadar, sumber kebocoran data ini berasal dari Azure Blob Storage yang keliru dikonfigurasi.

Microsoft sendiri mengakui adanya kebocoran data yang dialami perusahaan. Namun, Microsoft menilai SOCRadar terlalu melebih-lebihkan ruang lingkup insiden ini.

Pasalnya, Microsoft mengklaim terdapat beberapa data yang terbuka, termasuk informasi duplikat yang merujuk pada email, proyek, dan pengguna yang sama.

Microsoft juga menegaskan, penyebab insiden ini karena kesalahan konfigurasi yang tidak disengaja.

"Masalah ini disebabkan oleh kesalahan konfigurasi yang tidak disengaja, dampaknya tidak sampai ke seluruh ekosistem Microsoft, dan bukan akibat dari kerentanan keamanan," kata Microsoft.

Microsoft juga enggan memberikan data spesifik kepada salah satu pelanggan yang menanyakan data miliknya, karena organisasi mereka terdampak.

“Kami tidak dapat memberikan data spesifik yang terpengaruh dari masalah ini,” ucap teknisi Microsoft Support saat dihubungi salah satu pelanggan.

Selain itu, para kritikus juga menyalahkan Microsoft atas caranya memberi tahu secara langsung kepada mereka yang terpengaruh.

Perusahaan menghubungi entitas yang terpengaruh melalui Pusat Pesan, sistem pesan internal yang digunakan Microsoft untuk berkomunikasi dengan administrator.

Tidak semua administrator memiliki kemampuan untuk mengakses alat ini, sehingga kemungkinan beberapa notifikasi tidak terlihat.

Salah satu pesan yang diunggah akun Twitter Kevin Beaumont menunjukan, Microsoft mengatakan jika perusahaan tidak diwajibkan oleh hukum untuk mengungkapkan penyimpangan tersebut kepada pihak berwenang.

“MS tidak dapat memberi tahu pelanggan data apa yang diambil dan tampaknya tidak memberi tahu regulator sebagai persyaratan hukum, ciri-ciri kegagalan dalam merespons kasus ini,” ujar Kevin Beaumont.

Selain kritik terhadap cara Microsoft mengungkapkan kebocoran, insiden itu juga menimbulkan pertanyaan tentang kebijakan penyimpanan data Microsoft.

Seringkali, data berusia bertahun-tahun lebih bermanfaat bagi pelaku kejahatan daripada bagi perusahaan yang memegangnya. Dalam kasus seperti ini, cara terbaik adalah menghancurkan data secara berkala.

(Ahmad Muhajir)