Kebocoran Data Kesehatan Sri Lanka: Pelajaran dari SingHealth, Medibank, dan Synnovis
Pendahuluan
Pada 12 Agustus 2025, komunitas keamanan siber digemparkan oleh klaim di forum dark web: 398.769 data rekam medis Kementerian Kesehatan Sri Lanka diduga bocor dan dijual seharga USD 300. Pelaku juga menuntut tebusan USD 3.000 untuk tidak mempublikasikan data tersebut.
Data disebut berformat JSON, dan komunikasi hanya dilakukan melalui kanal anonim seperti Tox, Signal, dan Telegram. Meski belum ada konfirmasi resmi dari pemerintah Sri Lanka, isu ini memicu kekhawatiran besar mengingat data kesehatan adalah kategori informasi pribadi paling sensitif.
Mengapa Kebocoran Data Kesehatan Sangat Berbahaya
Data kesehatan tidak hanya mencakup identitas, tetapi juga riwayat medis, hasil pemeriksaan, dan informasi asuransi. Kebocoran seperti ini bisa berujung pada:
- Pencurian identitas dan klaim asuransi palsu.
- Pemerasan berbasis informasi medis sensitif.
- Penipuan phishing yang memanfaatkan data asli untuk meyakinkan korban.
- Erosi kepercayaan publik pada layanan digital pemerintah.
Belajar dari Kasus Global
1. SingHealth, Singapura (2018)
- Skala: 1,5 juta pasien, termasuk 621 ribu catatan obat.
- Dampak: Tidak mengganggu layanan, namun terbukti dilakukan oleh aktor APT (Advanced Persistent Threat).
- Pelajaran: Perlu segmentasi jaringan, pemantauan pergerakan lateral, dan tata kelola keamanan lintas kementerian yang jelas.
2. Medibank, Australia (2022)
- Skala: 9,7 juta pelanggan, termasuk data medis.
- Dampak: Data dipublikasikan setelah perusahaan menolak membayar tebusan.
- Pelajaran: Keputusan “tidak membayar” butuh strategi komunikasi publik, dukungan hukum, dan program perlindungan korban jangka panjang.
3. Synnovis/NHS London, Inggris (2024)
- Skala: Ratusan GB data dari penyedia layanan laboratorium.
- Dampak: Gangguan besar pada layanan kesehatan, pembatalan operasi, dan kerugian finansial mencapai £32,7 juta.
- Pelajaran: Vendor pihak ketiga bisa menjadi titik lemah. Perlu perjanjian keamanan, audit rutin, dan rencana pemulihan manual.
Evaluasi Risiko untuk Sri Lanka
Jika klaim kebocoran ini terbukti:
- Risiko privasi: Data kesehatan dapat disalahgunakan untuk pemerasan atau penipuan.
- Risiko kepercayaan publik: Mengurangi partisipasi warga pada program e-government.
- Risiko sistemik: Jika kebocoran berasal dari sistem inti, potensi efek domino ke rumah sakit, laboratorium, dan asuransi sangat besar.
Langkah Strategis yang Disarankan
0–30 Hari: Respons Cepat
- Lakukan investigasi forensik untuk memverifikasi data.
- Rotasi kredensial dan aktifkan MFA di semua akun penting.
- Notifikasi publik & regulator dalam 72 jam sesuai PDPA.
- Sediakan kanal resmi untuk pengecekan apakah warga terdampak.
31–60 Hari: Pemulihan
- Patch semua sistem rentan.
- Segmentasi jaringan, khususnya server rekam medis.
- Audit keamanan vendor pihak ketiga.
61–90 Hari: Penguatan
- Simulasi insiden lintas kementerian.
- Implementasi Zero Trust Architecture yang realistis.
- Laporan berkala ke publik untuk memulihkan kepercayaan.
Kesimpulan
Insiden Sri Lanka — terlepas dari apakah klaim ini benar atau tidak — adalah peringatan keras bahwa digitalisasi tanpa keamanan adalah resep bencana.
Negara-negara yang berhasil bangkit dari insiden besar, seperti Singapura dan Australia, menunjukkan bahwa kunci pemulihan ada pada transparansi, tata kelola yang kuat, dan investasi berkelanjutan di keamanan siber.
Di era di mana layanan kesehatan semakin terkoneksi, perlindungan data bukan lagi pilihan, melainkan kebutuhan strategis untuk menjaga stabilitas nasional.
Pesan Utama: Cybersecurity bukan biaya tambahan — ini adalah investasi untuk masa depan digital yang aman.
