Satu kesalahan kecil dalam proses pemecatan karyawan dapat berubah menjadi insiden keamanan siber besar.
Hal tersebut dialami Opexus, perusahaan teknologi yang menyediakan perangkat lunak untuk pemerintah Amerika Serikat.
Setelah dua karyawannya diberhentikan, salah satu akun ternyata masih memiliki akses ke sistem internal. Kesalahan tersebut kemudian dimanfaatkan untuk melakukan sabotase digital.
Dalam waktu sekitar satu jam, puluhan database penting pemerintah Amerika Serikat dihapus. Total terdapat 96 database yang berhasil dilenyapkan.
Kasus ini menjadi pengingat bahwa keamanan siber tidak hanya bergantung pada firewall, antivirus, atau sistem enkripsi. Proses sederhana seperti mencabut akses karyawan yang sudah tidak bekerja juga dapat menjadi titik kritis keamanan perusahaan.
Berawal dari Pemecatan Dua Karyawan
Kasus ini melibatkan saudara kembar Muneeb Akhter dan Sohaib Akhter. Keduanya bekerja di Opexus sebelum akhirnya diberhentikan pada 18 Februari 2025.
Pemecatan dilakukan melalui rapat virtual menggunakan Microsoft Teams. Setelah rapat berakhir sekitar pukul 16.50, sistem keamanan perusahaan mulai mencabut akses milik salah satu dari mereka.
Sohaib mendapati akun Windows dan akses VPN miliknya sudah diblokir sekitar lima menit kemudian.
Namun, terdapat satu masalah besar. Akun Muneeb masih aktif.
Kesalahan tersebut memberikan celah bagi mantan karyawan untuk masuk kembali ke sistem perusahaan.
Celah Hanya Berlangsung Beberapa Menit
Pada sekitar pukul 16.56, Muneeb menggunakan akses yang masih tersedia untuk masuk ke database pemerintah yang dikelola Opexus.
Ia kemudian melakukan sejumlah tindakan untuk menghalangi pengguna lain mengakses sistem.
Tidak lama kemudian, ia mulai menghapus database. Salah satu targetnya adalah database milik Departemen Keamanan Dalam Negeri Amerika Serikat atau Department of Homeland Security.
Dalam waktu singkat, serangan tersebut berkembang menjadi sabotase terhadap sejumlah database penting.
96 Database Hilang
Dampaknya sangat besar.
Dalam waktu sekitar satu jam, sebanyak 96 database yang berisi informasi sensitif berhasil dihapus.
Selain menghapus database, pelaku juga mengambil:
- 1.805 dokumen milik Equal Employment Opportunity Commission.
- Data informasi pajak milik sekitar 450 orang.
- Berbagai informasi yang tersimpan dalam sistem perusahaan.
Kasus tersebut menunjukkan bagaimana satu akun dengan hak akses yang belum dicabut dapat menjadi pintu masuk menuju aset digital dalam jumlah sangat besar.
Bahkan Menggunakan AI untuk Menghapus Jejak
Bagian lain yang membuat kasus ini semakin menarik adalah penggunaan AI dalam aksi tersebut.
Sekitar pukul 16.59, Muneeb menggunakan alat kecerdasan buatan untuk mencari cara menghilangkan jejak aktivitasnya dari server SQL.
Ini menunjukkan bahwa AI tidak hanya digunakan untuk produktivitas atau pekerjaan sehari-hari.
Teknologi yang sama juga dapat dimanfaatkan oleh seseorang yang sedang melakukan aktivitas berbahaya.
Dalam konteks keamanan siber, kemampuan AI untuk memberikan informasi teknis membuat perusahaan perlu semakin memperhatikan bagaimana teknologi tersebut dapat disalahgunakan.
Kesalahan IT Menjadi Titik Masuk
Namun, masalah utama dalam kasus ini bukanlah AI. Akar persoalannya adalah akses yang tidak segera dicabut.
Ketika seorang karyawan meninggalkan perusahaan, seluruh akses terhadap sistem seharusnya dinonaktifkan secara terkoordinasi.
Mulai dari:
- Akun email.
- VPN.
- Akun Windows.
- Cloud.
- Database.
- Server.
- Repository kode.
- API.
- Sistem administrasi.
- Credential lainnya.
Jika satu saja tertinggal, mantan karyawan masih mungkin memiliki jalan masuk ke sistem.
Dalam kasus Opexus, kelalaian tersebut memberikan kesempatan bagi mantan karyawan untuk melakukan sabotase.
Mengapa Offboarding Sangat Penting?
Dalam keamanan siber, proses pemutusan akses karyawan dikenal sebagai bagian dari employee offboarding.
Proses ini sering dianggap sebagai pekerjaan administratif.
Padahal, offboarding merupakan salah satu bagian penting dari keamanan informasi.
Ketika seseorang masih bekerja, akses diberikan berdasarkan kebutuhan pekerjaannya.
Begitu hubungan kerja berakhir, akses tersebut harus dihentikan.
Idealnya, prosesnya tidak bergantung pada satu orang yang harus mengingat untuk mematikan akun.
Sistem harus mampu melakukan pencabutan akses secara otomatis atau melalui prosedur yang terintegrasi.
Masalah Tidak Berhenti pada Satu Akun
Kasus seperti ini juga memperlihatkan risiko dari akun dengan hak akses tinggi.
Jika sebuah akun dapat mengakses banyak database, kerusakan yang ditimbulkan ketika akun tersebut disalahgunakan bisa sangat besar.
Karena itu, perusahaan seharusnya menerapkan prinsip least privilege.
Artinya, setiap pengguna hanya mendapatkan akses yang benar-benar diperlukan untuk pekerjaannya.
Jika seorang karyawan hanya membutuhkan satu database, ia seharusnya tidak memiliki akses ke puluhan sistem lainnya.
Semakin luas hak akses, semakin besar pula potensi kerusakannya.
Rekaman Pemecatan Justru Menjadi Bukti
Ironisnya, aksi tersebut akhirnya terbongkar karena sesuatu yang dilakukan oleh pelaku sendiri.
Muneeb dan Sohaib merekam rapat pemecatan mereka menggunakan Microsoft Teams.
Namun, mereka lupa menghentikan rekaman setelah rapat berakhir.
Percakapan setelah pemecatan akhirnya ikut terekam.
Dalam rekaman tersebut, pemerintah menemukan percakapan mengenai tindakan mereka terhadap sistem serta pembicaraan mengenai rencana memeras klien perusahaan.
Rekaman tersebut kemudian menjadi salah satu bukti penting dalam penyelidikan.
FBI Kemudian Turun Tangan
Sekitar tiga minggu setelah insiden, agen federal melakukan penggerebekan di kediaman pelaku.
Kasus tersebut kemudian masuk ke proses hukum. Muneeb Akhter menandatangani kesepakatan pembelaan pada April 2026.
Sementara itu, Sohaib memilih untuk tidak mengaku bersalah.
Namun, ia kemudian dinyatakan bersalah oleh juri atas perkara yang berkaitan dengan konspirasi penipuan komputer dan kepemilikan senjata api ilegal.
Opexus Akui Ada Kelalaian
Kasus ini akhirnya membuat Opexus harus menghadapi pertanyaan mengenai bagaimana perusahaan mengelola keamanan internalnya.
Perusahaan mengakui adanya masalah dalam proses pemeriksaan latar belakang karyawan.
Opexus juga mengakui adanya kesalahan dalam penanganan proses pemutusan hubungan kerja.
Dengan kata lain, insiden tersebut bukan hanya masalah tindakan mantan karyawan. Ada kegagalan prosedur yang memungkinkan tindakan tersebut terjadi.
Keamanan Siber Bukan Hanya Masalah Teknologi
Kasus Opexus memberikan pelajaran penting. Banyak perusahaan menghabiskan anggaran besar untuk membeli sistem keamanan. Mereka memasang firewall.
Menggunakan endpoint protection. Memantau jaringan. Menerapkan enkripsi.
Namun, semua teknologi tersebut dapat kehilangan efektivitas jika proses dasar tidak dijalankan dengan benar.
Satu akun yang terlupakan dapat menjadi titik masuk. Dan jika akun tersebut memiliki hak akses besar, dampaknya bisa sangat luas.
AI Membuat Ancaman Semakin Kompleks
Penggunaan AI dalam kasus ini juga menunjukkan perubahan lanskap keamanan siber. AI dapat membantu perusahaan menemukan kerentanan.
AI dapat membantu analis keamanan memahami log. AI juga dapat membantu developer memperbaiki kode.
Tetapi AI juga dapat digunakan oleh pihak yang berniat melakukan serangan. Karena itu, perusahaan harus menghadapi dua sisi perkembangan teknologi.
AI sebagai alat pertahanan sekaligus AI sebagai alat yang dapat mempercepat serangan.
Apa yang Harus Dilakukan Perusahaan?
Kasus ini memberikan beberapa pelajaran yang dapat diterapkan perusahaan mana pun.
1. Otomatiskan Pencabutan Akses
Begitu status karyawan berubah menjadi tidak aktif, sistem harus mampu mencabut akses secara otomatis.
2. Gunakan Single Sign-On
Penggunaan sistem identitas terpusat dapat mempermudah pengelolaan akses.
3. Terapkan Multi-Factor Authentication
MFA dapat memberikan lapisan keamanan tambahan jika credential masih aktif atau dicuri.
4. Terapkan Least Privilege
Karyawan tidak seharusnya memiliki akses lebih besar daripada yang diperlukan.
5. Audit Akun Secara Berkala
Perusahaan perlu memeriksa akun yang masih aktif dan siapa saja yang memiliki akses terhadap sistem penting.
6. Pantau Aktivitas Mantan Karyawan
Setelah proses pemecatan, sistem keamanan harus memastikan tidak ada aktivitas mencurigakan dari credential yang seharusnya sudah dinonaktifkan.
7. Pisahkan Hak Akses Kritis
Tidak semua pengguna boleh memiliki kemampuan untuk menghapus database produksi.
Ancaman Internal Bisa Lebih Berbahaya
Salah satu alasan ancaman dari orang dalam sangat serius adalah karena mereka biasanya sudah memahami sistem.
Mantan karyawan mungkin mengetahui:
- Struktur jaringan.
- Nama server.
- Sistem database.
- Lokasi data penting.
- Prosedur internal.
- Tools yang digunakan perusahaan.
- Celah operasional.
Pengetahuan tersebut dapat membuat serangan menjadi jauh lebih mudah dibandingkan serangan dari orang luar yang harus mencari informasi terlebih dahulu.
Pelajaran Terbesarnya
Kasus Opexus bukan sekadar cerita tentang seorang mantan karyawan yang menghapus database.
Ini adalah contoh bagaimana human error, hak akses, prosedur offboarding, dan teknologi AI dapat bertemu dalam satu insiden keamanan.
Perusahaan mungkin memiliki sistem keamanan yang sangat canggih.
Tetapi jika satu akun tidak dicabut tepat waktu, seluruh sistem dapat berada dalam risiko.
Karena itu, keamanan siber harus dipandang sebagai proses menyeluruh.
Bukan hanya masalah teknologi.
Fakta Penting
- Insiden bermula setelah dua karyawan Opexus diberhentikan pada 18 Februari 2025.
- Salah satu akun mantan karyawan ternyata masih aktif setelah pemecatan.
- Akses tersebut kemudian digunakan untuk masuk ke sistem dan melakukan sabotase.
- Sebanyak 96 database berhasil dihapus dalam waktu sekitar satu jam.
- Data yang diambil mencakup 1.805 dokumen EEOC dan informasi pajak sekitar 450 orang.
- Pelaku menggunakan AI untuk mencari cara menghapus jejak aktivitas dari server SQL.
- Rekaman rapat pemecatan yang tidak sengaja tetap aktif menjadi salah satu bukti penting.
- FBI melakukan penggerebekan terhadap pelaku sekitar tiga minggu setelah kejadian.
- Opexus mengakui adanya kelalaian dalam proses pemeriksaan latar belakang dan penanganan pemecatan.
Satu Akun yang Terlupakan Bisa Menjadi Bencana
Peristiwa ini menunjukkan bahwa keamanan digital perusahaan tidak selalu runtuh karena serangan yang sangat canggih.
Terkadang, masalahnya jauh lebih sederhana.
Satu akun tidak dicabut.
Satu credential masih aktif.
Satu prosedur tidak dijalankan.
Dan dari celah kecil tersebut, seseorang dapat memperoleh akses ke sistem yang menyimpan data dalam jumlah besar.
Di era ketika AI semakin mampu membantu aktivitas teknis, perusahaan harus semakin serius mengendalikan siapa yang memiliki akses terhadap sistem mereka.
Karena ketika seorang karyawan meninggalkan perusahaan, yang harus ikut pergi bukan hanya kartu identitas dan laptop.
Akses digitalnya juga harus benar-benar berakhir.
