ペドゥリリンダンギのデータ漏洩は有効ですか?これが専門家の答えです

ペドゥリリンドゥンギアプリケーションユーザーのイラスト(写真:ドック。間)

ジョグジャカルタ–ビョルカのハッカーは、32億のPeduliLindungiアプリケーションユーザーデータを漏らして問題を抱えています。PeduliLindungiのデータ漏洩は、2022年11月15日火曜日の朝、breached.to ウェブサイトフォーラムのメンバーによってBjorkaというID名でアップロードされました。

以前、ビョルカは、名前、電子メール、NIK、納税者番号(NPWP)、電話番号、住所、性別、収入などを含む4,400万のMyPertaminaユーザーデータも漏洩しました。

以前、ビョルカは、11月10日にテレグラムチャンネルでMyPertaminaデータを漏らしたときに、ペドゥリリンドゥンギをハッキングするという合図を出していました。

専門家 によると、ペドゥリリンダンギのデータ漏洩

インドネシアサイバー研究所CISSReCの責任者であるプラタマ・ペルサダ博士は、ビョルカによって漏洩したペドゥリリンドゥンギのデータは本当に有効であり、人口データに記録されていると述べました。

ビョルカは32億のペドゥリリンダンギデータを10万米ドル(約15億ルピア)で販売しました。売買取引はビットコイン通貨で行われます。

「データは、データサンプルを提供することにより、ユーザーデータ、ワクチン接種データ、追跡履歴、およびアプリケーションユーザーのチェックイン履歴に分割されます」と、2022年11月17日木曜日にANTARAのVOIが引用したPratama氏は述べています。

プラタマは、ビョルカが火曜日の朝に breached.to 放送を通じてデータを共有したと説明した。データをアップロードする前に、ビョルカはMyPertaminaアプリケーションの後にPeduliLindungiアプリケーションを一般に公開することを約束していました。

彼は、ビョルカが販売するPeduliLindungiのデータには、名前、電子メール、国民識別番号(NIK)、身分証明書番号(KTP)、電話番号、生年月日、デバイスID、COVID-19ステータス、チェックイン履歴、コンタクトトレーシング履歴、予防接種、およびその他の多くのデータが含まれていると付け加えました。

プラタマ氏によると、ビョルカが主張するデータは3,250,144,777データで、非圧縮時の合計サイズは157ギガバイトでした。

また、サンプルデータは、ユーザーデータ9,400万人、ソートアカウント9,400万件、ワクチン接種データ2億900万件、チェックイン履歴データ13億件、コンタクトトレーシング履歴15億件の5つのファイルに分割されていることにも言及されました。

ビョルカは32億のペドゥリリンダンギユーザーデータを漏らしました(Dinda Buana/ VOIスクリーンショット写真)

ビョルカが共有したデータをKTP番号チェックアプリを使用してチェックしたところ、プラタマはデータが実際に人口データに記録されている有効なものであることを明らかにしました。

「サンプルデータをさらに調べると、公共の場所でのPeduliLindungiチェックイン機能と一致する多くの位置座標があります」と、このサイバーセキュリティ専門家は述べています。

今まで、Pratamaは続けたが、データの出所はまだ不明である。ただし、このデータが本物であるかどうかにかかわらず、PeduliLindungiアプリケーションの作成に関与する機関、つまりKominfo、SOE省、保健省、およびTelkomのみです。

Pratamaは、非常に機密性の高いデータが、たとえばデータを暗号化することによって最適に保護されていないことを遺憾に思っています。

Pratamaによると、このデータがどこから漏洩したのかを確認するために、デジタルフォレンジック監査と調査を実施することが重要です。

データ管理者がすべきこと

個人データ保護に関する2022年の法律第27号によると、Bjorkaによって漏洩したデータがPeduliLindungiアプリケーションに属している場合、データ管理者は3x24時間以内に書面による通知を提供する必要があります。

「そして、これが真のPeduliLindungiデータである場合、それはPDP法第1項および第2項の第46条に適用され、個人データの保護に失敗した場合、個人データ管理者は3 x 24時間以内に書面による通知を提供する必要があります」とPratama氏は述べています。

「通知は、個人データ主体と個人データ保護実施機関(LPPDP)に与えられました。最低限の通知には、開示された個人データ、個人データがいつ、どのように公開されたか、および個人データ管理者による開示の処理と回復の取り組みが含まれている必要があります。」

これは、ペドゥリリンダンギのデータ漏洩に関する情報です。