Serangan PDNS 2 Jadi Alarm Besar, 853 Ribu Pendaftar KIP Kuliah Harus Klaim Ulang

KebonCinta.com – Bayangkan sudah mengisi data, mengunggah dokumen, dan menyelesaikan pendaftaran bantuan pendidikan. Beberapa minggu kemudian, sistem yang menyimpan proses tersebut terkena serangan ransomware dan pengguna harus melakukan sebagian prosesnya kembali.

Situasi seperti itulah yang dialami pendaftar Kartu Indonesia Pintar Kuliah atau KIP Kuliah ketika Pusat Data Nasional Sementara 2 (PDNS 2) mengalami serangan siber pada Juni 2024.

Serangan tersebut bukan gangguan kecil pada satu website.

Kementerian Komunikasi dan Informatika saat itu menyatakan PDNS 2 di Surabaya terkena ransomware Brain Cipher. Sebanyak 282 tenant terdampak, sementara pemerintah juga menyebut gangguan mengenai layanan di ratusan instansi.

Di sektor pendidikan, dampaknya terasa langsung pada layanan KIP Kuliah.

Bukan 800 Orang, tetapi Lebih dari 853 Ribu Pendaftar

Angka dalam kasus ini perlu diluruskan.

Puslapdik mencatat terdapat 853.393 orang yang sudah melakukan pendaftaran KIP Kuliah 2024 sebelum sistem mengalami gangguan. Ketika sistem dipulihkan, pendaftar diminta melakukan reclaim akun dan mengunggah kembali dokumen pendukung.

Karena itu, peristiwa tersebut jauh lebih besar daripada sekadar “data 800 calon mahasiswa”.

E-Media DPR pada 30 Juni 2024 memang memberitakan sekitar 800 ribu data calon mahasiswa pendaftar KIP Kuliah terdampak dan menyoroti terganggunya 47 layanan atau aplikasi pendidikan dan kebudayaan akibat masalah di PDNS.

Namun pemerintah kemudian memberikan angka yang lebih spesifik, yakni 853.393 pendaftar KIP Kuliah yang telah berada dalam sistem sebelum gangguan terjadi.

Apakah Seluruh Data Benar-benar Hilang Selamanya?

Bagian ini juga perlu dijelaskan dengan hati-hati.

Pada saat kejadian, muncul banyak pemberitaan yang menggunakan istilah “data hilang” atau “data raib”. Sistem dan data KIP Kuliah di PDNS 2 memang tidak dapat dipulihkan langsung dari infrastruktur tersebut, sehingga pendaftar harus melakukan proses klaim ulang.

Tetapi bukan berarti Kemendikbudristek sama sekali tidak memiliki salinan data.

Pada 1 Juli 2024, Kemendikbudristek menyatakan data cadangan penerima dan pendaftar KIP Kuliah tetap aman di pusat data Kemendikbudristek. Cadangan tersebut kemudian digunakan dalam proses pemulihan layanan.

Ini menjadi perbedaan penting.

Masalahnya bukan sekadar apakah sebuah file pernah memiliki salinan, tetapi apakah sistem mempunyai mekanisme backup dan pemulihan yang cukup kuat agar layanan dapat kembali berjalan dengan cepat ketika infrastruktur utama gagal.

Pendaftar Tetap Harus Mengunggah Ulang Data

Meski tersedia data cadangan, proses pemulihan tidak bisa dilakukan hanya dengan menekan satu tombol.

Kemendikbudristek meminta 853.393 pendaftar yang sudah masuk sebelum gangguan untuk melakukan reclaim akun menggunakan NIK dan NISN serta mengunggah kembali dokumen dan data pendukung.

Pada saat yang sama, perguruan tinggi diminta menyesuaikan jadwal penerimaan mahasiswa baru dan tenggat pembayaran agar calon mahasiswa pendaftar KIP Kuliah tidak kehilangan hak akibat gangguan sistem.

Untuk mahasiswa yang sudah menjadi penerima KIP Kuliah, persoalannya juga menyentuh proses pencairan.

Saat insiden terjadi, pencairan KIP Kuliah semester genap 2023/2024 telah mencapai 98,8 persen. Masih terdapat 16.316 mahasiswa penerima ongoing yang pengajuannya belum masuk atau sedang diproses. Kemendikbudristek ketika itu memastikan proses tersebut tetap diselesaikan.

Sistem Akhirnya Kembali Beroperasi

Gangguan tidak berlangsung selamanya.

Puslapdik mengumumkan sistem KIP Kuliah kembali pulih dan dapat diakses pada 29 Juli 2024. Pendaftar kemudian dapat melakukan klaim ulang akun, melengkapi formulir, dan mengunggah kembali dokumen yang diperlukan.

Dua tahun setelah insiden tersebut, layanan KIP Kuliah juga tetap berjalan.

Portal resmi KIP Kuliah 2026 saat ini membuka pendaftaran akun siswa mulai 3 Februari hingga 31 Oktober 2026, disertai jadwal untuk SNBP, SNBT, Seleksi Mandiri PTN, dan Seleksi Mandiri PTS.

Artinya, layanan berhasil dipulihkan dan program tetap berlanjut.

Namun kejadian 2024 meninggalkan pertanyaan yang jauh lebih besar tentang bagaimana data layanan publik seharusnya dilindungi.

Backup Tidak Boleh Sekadar Ada

Serangan ransomware memberi pelajaran bahwa backup bukan sekadar menyalin folder ke tempat lain.

Cadangan data harus bisa digunakan ketika kondisi terburuk benar-benar terjadi.

NIST dalam panduan perlindungan terhadap ransomware menyarankan organisasi merencanakan, menjalankan, dan menguji strategi backup serta restorasi secara berkala. Cadangan penting juga perlu diisolasi agar ransomware tidak dengan mudah menyebar ke salinan tersebut.

Pengujian menjadi bagian yang sering terlupakan.

Sebuah organisasi mungkin merasa aman karena memiliki backup.

Namun kalau file ternyata rusak, versinya terlalu lama, ikut terenkripsi, atau proses restorasinya memerlukan berhari-hari, backup tersebut belum tentu cukup ketika keadaan darurat terjadi.

NIST bahkan menekankan bahwa frekuensi backup perlu disesuaikan dengan aktivitas organisasi. Sistem yang menjalankan banyak transaksi setiap jam akan menghadapi potensi kehilangan data besar jika hanya mencadangkan data sekali sehari.

Keamanan Bukan Hanya Mencegah Hacker Masuk

Tidak ada sistem besar yang dapat berasumsi serangan tidak akan pernah terjadi.

Karena itu, keamanan siber tidak berhenti pada firewall, antivirus, atau password.

Organisasi juga harus mempunyai kemampuan untuk mendeteksi, merespons, dan memulihkan layanan setelah sebuah insiden terjadi.

NIST menggambarkan pemulihan siber sebagai kombinasi manusia, proses, dan teknologi. Dalam banyak kasus, restorasi dari backup hanya menjadi salah satu bagian dari proses yang lebih besar.

Kasus PDNS 2 menunjukkan mengapa konsep tersebut sangat penting bagi layanan pemerintah.

Ketika sistem e-commerce bermasalah, dampaknya mungkin berupa transaksi yang tertunda.

Ketika layanan publik pendidikan bermasalah, yang ikut terdampak bisa berupa kesempatan seseorang memperoleh bantuan untuk kuliah.

Data Mahasiswa Bukan Sekadar Angka di Server

Sistem pendidikan menyimpan berbagai jenis informasi.

Dalam proses KIP Kuliah, misalnya, calon peserta menggunakan data seperti NIK dan NISN untuk proses akun dan verifikasi. Pada sistem KIP Kuliah 2026, pendaftaran akun masih menggunakan identitas seperti NIK, NISN, dan NPSN.

Informasi seperti ini perlu diperlakukan sebagai aset penting.

Indonesia sudah mempunyai Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Pasal 39 mewajibkan pengendali data pribadi mencegah akses tidak sah dan menggunakan sistem elektronik yang andal, aman, serta bertanggung jawab.

Undang-undang tersebut juga mengatur kewajiban pemberitahuan apabila terjadi kegagalan pelindungan data pribadi dalam kondisi yang memenuhi ketentuan hukum.

Dengan semakin banyak layanan pendidikan beralih ke sistem digital, keamanan data tidak lagi menjadi urusan teknisi IT semata.

Ia menjadi bagian dari pelayanan publik.

Digitalisasi Tanpa Pemulihan yang Kuat Bisa Menjadi Risiko

Pemerintah dapat membuat aplikasi lebih cepat, mengintegrasikan layanan, dan menyimpan semakin banyak data secara digital.

Semua itu memberikan efisiensi.

Namun sentralisasi juga membuat kegagalan pada sebuah infrastruktur berpotensi mempunyai dampak yang luas apabila ketahanan sistem tidak disiapkan dengan baik.

Insiden PDNS 2 memperlihatkan hal tersebut secara nyata. Serangan Brain Cipher berdampak terhadap ratusan tenant dan instansi, bukan hanya satu layanan.

Karena itu, pertanyaan dalam membangun pusat data seharusnya tidak berhenti pada:

“Berapa besar kapasitas servernya?”

Pertanyaan berikutnya harus:

“Apa yang terjadi jika server ini lumpuh besok?”

Apakah backup tersedia?

Apakah backup tersebut terisolasi?

Berapa lama layanan dapat dipulihkan?

Siapa yang bertanggung jawab?

Bagaimana masyarakat diberi informasi?

Dan apakah prosedur pemulihan pernah benar-benar diuji?

Pelajaran Terbesar dari 853 Ribu Pendaftar

Bagi calon mahasiswa pada 2024, serangan PDNS 2 bukan teori tentang keamanan siber.

Mereka merasakannya secara langsung ketika harus kembali masuk ke sistem dan melengkapi dokumen yang sebelumnya telah dikirim.

Untungnya, sistem KIP Kuliah berhasil dipulihkan dan program terus berjalan hingga 2026.

Namun peristiwa tersebut meninggalkan satu pelajaran penting.

Transformasi digital tidak cukup hanya membuat layanan menjadi online.

Sistem juga harus mampu bertahan ketika diserang, mempunyai cadangan yang dapat dipercaya, serta bisa dipulihkan tanpa membuat masyarakat kehilangan akses terhadap hak dan pelayanan penting.

Dalam dunia yang semakin bergantung pada data, backup bukan lagi fitur tambahan.

Ia adalah bagian dari layanan itu sendiri.