Sebuah temuan baru-baru ini mengungkapkan bahwa sejumlah institusi keuangan di Eropa telah membocorkan data sensitif pengguna mereka melalui penggunaan cookie tracker pihak ketiga yang tidak diawasi dengan baik. Praktik pelacakan ini memungkinkan perusahaan teknologi iklan dan data broker mengumpulkan informasi pribadi pengguna tanpa persetujuan eksplisit yang memadai. Insiden ini menimbulkan pertanyaan serius mengenai kepatuhan terhadap regulasi privasi yang berlaku di wilayah Uni Eropa.
APA YANG TERJADI?
Beberapa situs web milik bank, perusahaan asuransi, dan lembaga keuangan besar di Eropa ditemukan memasang cookie tracker pihak ketiga yang mengirimkan data aktivitas pengguna ke server eksternal. Data yang terlepas mencakup riwayat penelusuran, preferensi produk keuangan, hingga metadata yang bisa digunakan untuk memprofil pengguna secara mendalam. Temuan ini dilaporkan oleh komunitas keamanan siber setelah melakukan audit terhadap implementasi cookie pada ratusan domain sektor keuangan. Praktik ini bertentangan dengan prinsip transparansi dan perlindungan data pribadi yang diwajibkan oleh GDPR.
DETAIL TEKNIS
Cookie tracker yang dimaksud umumnya berupa skrip pelacakan dari platform analitik dan jaringan iklan yang disematkan di dalam halaman landing institusi keuangan. Ketika pengguna mengunjungi situs tersebut, skrip pihak ketiga ini membuat permintaan lintas domain yang membawa header Referer dan cookie sesi. Dalam beberapa kasus, parameter URL yang mengandung informasi sensitif seperti nomor akun atau kategori produk keuangan ikut terbawa ke endpoint pelacakan. Mekanisme ini memungkinkan aggregator data membangun profil perilaku keuangan pengguna tanpa adanya mekanisme anonimisasi yang efektif.
DAMPAK TERHADAP INDONESIA
Meskipun insiden ini terjadi di Eropa, pelajaran yang bisa diambil sangat relevan bagi Indonesia yang baru saja mengimplementasikan UU Pelindungan Data Pribadi (PDP). Sektor perbankan dan fintech Indonesia yang semakin agresif melakukan digitalisasi sering kali mengandalkan pihak ketiga untuk layanan analitik, iklan, dan pemasaran. Jika tidak diawasi, mekanisme pelacakan serupa bisa memicu kebocoran data nasabah di platform internet banking atau aplikasi e-wallet. BSSN dan Kementerian Kominfo perlu memperketat audit terhadap implementasi cookie dan skrip pihak ketiga pada situs institusi keuangan nasional, mengingat tingginya adopsi layanan digital di kalangan masyarakat Indonesia.
REKOMENDASI MITIGASI
Institusi keuangan harus segera melakukan audit menyeluruh terhadap seluruh aset web dan aplikasi mobile mereka untuk mengidentifikasi skrip pihak ketiga yang tidak diotorisasi. Penggunaan Content Security Policy (CSP) dan SameSite cookie attribute harus diimplementasikan secara ketat untuk membatasi pengiriman data lintas domain. Selain itu, organisasi perlu memastikan bahwa mekanisme persetujuan pengguna (consent management platform) benar-benar memblokir skrip pelacakan hingga pengguna memberikan izin eksplisit. Tim keamanan juga disarankan untuk secara rutin melakukan scanning terhadap perubahan pada header HTTP dan script src pada halaman produksi.
Analisa Retasan
Temuan ini menyoroti bahwa ancaman privasi tidak selalu berasal dari serangan aktif seperti ransomware atau exploit, melainkan dari ketidaksengajaan dalam konfigurasi dan integrasi komponen pihak ketiga. Mekanisme cookie tracking yang memiliki akses ke data sensitif pada domain finansial menunjukkan bahwa permukaan serangan telah meluas ke arsitektur dependensi eksternal. Ketika sebuah bank memasukkan skrip analitik atau widget iklan ke dalam portal nasabahnya, mereka secara implisit mempercayakan integritas data pengguna kepada vendor eksternal yang mungkin tidak memiliki kontrol keamanan setara. Hal ini menciptakan celah bagi data broker untuk mengumpulkan metadata perilaku keuangan yang seharusnya dilindungi dengan tingkat keparahan tinggi.
Dari perspektif teknis, masalah ini berakar pada kurangnya segmentasi antara data pribadi dan mekanisme pelacakan performa pemasaran. Banyak organisasi yang mengasumsikan bahwa cookie pihak ketiga hanya digunakan untuk analitik tanpa menyadari bahwa parameter URL dan header Referer bisa membocorkan konteks sensitif. Fenomena ini mirip dengan kasus yang terjadi pada sektor kesehatan beberapa tahun lalu, di mana hospital website mengirimkan informasi appointment ke Facebook Pixel melalui parameter URL. Di sektor keuangan, risikonya bahkan lebih tinggi karena metadata seperti produk asuransi yang dilihat atau formulir pinjaman yang diisi bisa digunakan untuk prediksi kredit dan diskriminasi algoritmik.
Bagi Indonesia, regulasi PDP yang mulai berlaku harus diikuti dengan penegakan teknis yang konkret, bukan hanya aspek administratif. Otoritas seperti BSSN dan Bank Indonesia perlu menerbitkan panduan teknis spesifik mengenai penggunaan cookie dan pelacakan pihak ketiga pada situs keuangan. Konsumen Indonesia yang semakin banyak mengakses layanan perbankan melalui perangkat mobile berpotensi menjadi target profilasi data oleh aktor yang memanfaatkan celah serupa. Langkah preventif seperti wajib audit cookie pihak ketiga dan sertifikasi keamanan privasi untuk fintech harus menjadi bagian dari regulasi operasional agar insiden serupa tidak terulang di ekosistem digital nasional.
Sumber: Cyber Threat Intelligence
