ASOS, peritel fesyen online asal Inggris, mengonfirmasi bahwa peretasan yang terjadi awal pekan ini menjangkau data pribadi pelanggannya — dan cakupannya ternyata lebih luas dari pengakuan pertama perusahaan.
Dalam email ke pelanggan, ASOS menyebut pihak tak berwenang mengakses nama, alamat, nomor telepon, alamat email, nomor pelanggan, hingga tanggal lahir. Perusahaan menegaskan data kartu pembayaran dan kata sandi akun tidak ikut bocor. ASOS belum menjawab pertanyaan soal skala sebenarnya dari insiden ini.
Pengakuan itu keluar setelah BBC News memberi tahu ASOS bahwa mereka dihubungi pelaku yang mengklaim peretasan ini melampaui “data kontak dasar” yang sebelumnya disebut perusahaan. Pelaku kemudian membagikan sampel data curian ke BBC. Dari situ terlihat isi profil yang dicuri mencakup riwayat pencarian pelanggan di situs ASOS — kata kunci semacam “reclaimed vintage” dan “Asos petite” ada di dalamnya.
Bagaimana mereka masuk
ASOS menyebut pintu masuknya adalah akun pegawai. “Kami menemukan bahwa pihak tak berwenang memperoleh akses ke akun pegawai ASOS dengan menyamar sebagai kontak tepercaya untuk mendapatkan kredensial login,” ujar perusahaan. Kredensial itu lalu dipakai mengakses informasi di sejumlah platform pihak ketiga yang digunakan ASOS. Platform yang terdampak langsung dikunci, dan menurut ASOS tidak ada data lebih jauh yang bisa diambil.
Modus ini dikenal sebagai social engineering — menipu manusia, bukan membobol sistem. Pola serupa jadi jalur masuk yang makin sering dipakai di Inggris dalam beberapa tahun terakhir. British Library, layanan tes darah NHS, London Underground, Marks & Spencer, Co-op, dan Jaguar Land Rover termasuk yang mengalami gangguan berbulan-bulan akibat serangan semacam ini.
Notifikasi pop-up dan peringatan ke pelanggan
Peretasan ini pertama kali jadi sorotan pada Selasa, ketika pelaku memakai sistem aplikasi ASOS sendiri untuk mengirim notifikasi pop-up ke jutaan pengguna. Hari itu juga ASOS memberi tahu pemegang saham lewat Bursa London bahwa pop-up tersebut dikirim oleh “pihak ketiga tak berwenang” dan “informasi pribadi dasar termasuk nama dan detail kontak mungkin telah diakses”.
Saham ASOS sempat naik sekitar 3% pada Kamis, memangkas kerugian sepanjang pekan menjadi sekitar 8%. Perusahaan menyatakan situs dan aplikasinya aman digunakan sepanjang insiden dan tetap aman, serta berkoordinasi dengan aparat penegak hukum dan otoritas regulasi.
Kenapa ini berbahaya buat pelanggan
Kombinasi nama, alamat, nomor telepon, email, dan tanggal lahir adalah bahan mentah yang cukup buat menyusun serangan lanjutan. Penipu bisa merangkai email atau telepon yang tampak kredibel karena datanya nyata. Karena itu ASOS meminta pelanggan waspada terhadap pesan atau panggilan tak terduga yang mengaku dari ASOS.
“Kami tidak akan pernah meminta Anda membagikan kata sandi, kode keamanan, atau detail pembayaran melalui pesan maupun panggilan yang tidak diminta,” tulis perusahaan dalam emailnya ke pelanggan. Seorang pelanggan yang diwawancarai BBC menyebut situasinya “sangat tidak nyaman”, dan menyoroti risiko bahwa data curian bisa jadi alat serangan berikutnya.
Pelajaran yang berlaku umum, termasuk di Indonesia
Kasus ASOS menunjukkan dua hal yang sering diremehkan. Pertama, social engineering tetap jadi jalur masuk paling efektif: yang diserang bukan server, melainkan orang. Kedua, notifikasi di dalam aplikasi resmi bisa disalahgunakan — notifikasi pop-up dari aplikasi yang kita percaya pun perlu dibaca dengan kewaspadaan yang sama seperti SMS atau email mencurigakan.
Bagi pengguna di Indonesia, polanya tidak berbeda. Layanan yang menyimpan riwayat pencarian, alamat pengiriman, dan nomor telepon punya nilai tinggi bagi penipu. Langkah yang masuk akal: gunakan kata sandi unik per layanan, aktifkan verifikasi dua langkah, dan perlakukan setiap permintaan data mendesak sebagai mencurigakan sampai terbukti sebaliknya. Perusahaan yang menyimpan data pelanggan juga punya pekerjaan rumah yang sama — memverifikasi siapa yang benar-benar berhak memegang kredensial internal mereka.
Pola serangan ke Inggris memang sedang naik. Perusahaan dan institusi di sana makin sering kena serangan siber dan ransomware dalam beberapa tahun terakhir, dan yang paling merepotkan bukan cuma insidennya, melainkan gangguan yang ditimbulkan bisa berbulan-bulan meski serangan awalnya berlangsung singkat.
