Perusahaan pengiriman paket OnTrac menginformasikan bahwa penyerang meretas jaringan korporat mereka dan dapat mengakses detail pribadi milik pelanggan. Insiden terdeteksi pada 23 Maret 2026, dan investigasi internal mengungkapkan bahwa penyerang mengakses file tertentu antara 20 dan 22 Maret. Perusahaan menawarkan pemantauan kredit gratis selama 12 bulan kepada pelanggan yang terdampak.
APA YANG TERJADI?
OnTrac adalah perusahaan pengiriman paket swasta Amerika yang mengkhususkan diri pada pengiriman e-commerce last-mile, dibentuk pada 2021 dari merger OnTrac Logistics dan LaserShip. Perusahaan ini beroperasi di 102 lokasi di 35 negara bagian, mencakup sekitar 70 persen populasi Amerika Serikat, dan bekerja dengan lebih dari 7.000 kontraktor pengiriman independen. Insiden keamanan terdeteksi pada 23 Maret 2026, dan investigasi internal mengungkapkan bahwa penyerang mengakses file tertentu antara 20 dan 22 Maret. Selain nama, tidak jenis informasi apa yang diekspos, karena perusahaan meredaksi elemen data dalam contoh notifikasi yang dibagikan kepada otoritas.
Sebagai respons terhadap insiden keamanan, OnTrac mengontrak spesialis pihak ketiga untuk membantu menentukan cakupan pelanggaran dan mengambil langkah-langkah untuk memastikan data yang dijelaskan di atas diamankan kembali dan tidak didistribusikan. Pernyataan ini mengindikasikan kemungkinan kesepakatan antara perusahaan dan penyerang, biasanya pembayaran tebusan, untuk memastikan informasi pelanggan tidak bocor. OnTrac menyatakan dalam notifikasi bahwa mereka tidak mengetahui adanya penipuan atau publikasi informasi yang dicuri sebagai akibat dari insiden ini, dan tidak memiliki alasan untuk percaya bahwa penyalahgunaan informasi tersebut akan terjadi. OnTrac menawarkan akses gratis ke layanan pemantauan kredit dan perlindungan identitas selama 12 bulan melalui CyberScout, dengan batas waktu pendaftaran 90 hari.
DETAIL TEKNIS
Detail teknis tentang vektor serangan dan metode kompromize belum diungkapkan secara publik oleh OnTrac. Jenis data yang terpapar juga tidak dijelaskan secara spesifik karena redaksi dalam dokumen notifikasi otoritas. BleepingComputer telah menghubungi OnTrac untuk mempelajari lebih lanjut tentang serangan, jumlah klien yang terdampak, dan apakah tebusan dibayarkan, namun belum menerima respons pada saat publikasi. Pada saat penulisan, belum ada grup ransomware atau data extortion yang mengklaim bertanggung jawab atas serangan tersebut.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki sektor logistik dan e-commerce yang sangat besar, dengan perusahaan pengiriman lokal menangani jutaan paket setiap hari. Kebocoran data pada perusahaan logistik berpotensi mempengaruhi jutaan konsumen Indonesia yang menggunakan layanan e-commerce, termasuk informasi pribadi, alamat pengiriman, nomor telepon, dan riwayat pembelian. Dengan implementasi UU Perlindungan Data Pribadi, perusahaan logistik Indonesia kini memiliki kewajiban hukum untuk melindungi data pelanggan dan memberi notifikasi dalam waktu 72 jam jika terjadi pelanggaran. Namun, banyak perusahaan logistik lokal masih kurang memiliki incident response plan dan kemampuan forensik untuk menangani kebocoran data dengan cepat dan transparan. Kebiasaan menyembunyikan insiden karena takut reputasi justru meningkatkan risiko bagi konsumen.
REKOMENDASI MITIGASI
Perusahaan logistik harus menerapkan segmentasi jaringan yang ketat antara sistem pengiriman operasional dan database pelanggan. Enkripsi data at rest dan in transit untuk informasi pribadi menjadi kebutuhan wajib, bukan pilihan. Implementasi multi-factor authentication pada semua akun dengan akses ke data pelanggan dan monitoring akses berbasis behavioral analytics. Persiapan incident response plan yang telah diuji melalui tabletop exercise secara berkala. Bagi konsumen Indonesia, periksa laporan kredit secara berkala, pertimbangkan fraud alert atau credit freeze jika ada indikasi kompromize data, dan hindari menggunakan password yang sama di berbagai platform e-commerce. Bagi regulator, penegakan kewajiban pelaporan pelanggaran data sesuai UU PDP harus dilakukan secara konsisten untuk menciptakan insentif bagi perusahaan untuk meningkatkan postur keamanan.
Analisa Retasan
Insiden OnTrac menggarisbawahi pola yang semakin umum dalam pelanggaran data korporat: ketidakjelasan disengaja sebagai strategi crisis management. Secara teknis, redaksi elemen data dalam notifikasi kepada otoritas mengindikasikan bahwa perusahaan lebih memilih untuk mengontrol narrative daripada memberikan transparansi kepada korban dan regulator. Pernyataan bahwa perusahaan mengambil langkah untuk memastikan data “diamankan kembali dan tidak didistribusikan” adalah eufemisme yang sangat mirip dengan bahasa yang digunakan oleh korban ransomware yang telah membayar tebusan. Meskipun tidak dapat dipastikan tanpa konfirmasi resmi, pola linguistik ini konsisten dengan modus operandi data extortion group yang mengancam publikasi kecuali pembayaran dilakukan.
Ketiadaan attribution ke grup ransomware atau data extortion yang spesifik bisa jadi mengindikasikan bahwa serangan ini dilakukan oleh aktor yang lebih silencio, atau bahwa negosiasi masih berlangsung. Dalam ekosistem kejahatan siber modern, grup extortion sering kali membiarkan korban merasa “aman” setelah pembayaran, tanpa benar-benar menghapus data yang dicuri. Data tersebut dapat dijual kembali atau digunakan untuk serangan sekunder di masa depan. Ini berarti bahwa pemantauan kredit 12 bulan yang ditawarkan OnTrac mungkin tidak cukup jika data yang dicuri mencakup informasi yang tidak dapat diubah seperti nomor jaminan sosial atau tanggal lahir.
Bagi Indonesia, insiden OnTrac adalah peringatan bahwa rantai pasokan digital melibatkan banyak pihak dengan kemampuan keamanan yang bervariasi. Sebuah paket yang dikirim melibatkan e-commerce platform, payment processor, logistik provider, dan last-mile delivery service. Kompromize pada satu titik dalam rantai ini dapat mempengaruhi seluruh ekosistem. Namun, awareness akan supply chain risk di kalangan perusahaan logistik Indonesia masih sangat rendah. Banyak perusahaan tidak melakukan security assessment terhadap vendor dan kontraktor yang mereka gunakan. UU PDP memberikan landasan untuk menuntut pertanggungjawaban, namun implementasi teknisnya masih memerlukan kematangan. Indonesia perlu mempercepat pembentukan SOCSIRT sektor logistik dan e-commerce untuk meningkatkan kemampuan deteksi dan respons kolektif terhadap ancaman siber.
Sumber: BleepingComputer
