Fore bilang NIK dan foto KTP pelanggannya nggak ikut bocor, karena aplikasinya memang tidak pernah meminta atau menyimpan itu. Menurut pernyataan perusahaan, itu benar, dan keputusan untuk tidak mengumpulkan dokumen tersebut memang bagus. Tapi itu bukan bagian yang paling penting buat orang-orang yang datanya ada di daftar.
Pada 28 Oktober 2026 Fore mengakui ada akses tanpa izin ke data pelanggan di balik aplikasinya. Angkanya sekitar 5,7 juta akun, hasil penyelidikan awal perusahaan. Seminggu kemudian, 4 November, Komdigi menyatakan masih menganalisis dan memeriksa laporan yang diajukan Fore di hari pengumuman itu.
Yang sebenarnya dikatakan Fore
Menurut Katadata dan Fortune IDN, data yang diakses berbeda untuk tiap pelanggan. Isinya bisa mencakup nama, alamat email, nomor HP, tanggal lahir, jenis kelamin, alamat yang terdaftar di aplikasi, PIN dalam bentuk hash, dan riwayat pembelian lewat aplikasi. Fore menyebut akses itu dihentikan dan sistem terkait diamankan dalam 24 jam, dan data kartu disimpan di platform terpisah yang tidak terdampak.
Ada dua catatan. Pertama, ini versi Fore sendiri, dan pemeriksaan forensik independen oleh konsultan keamanan siber eksternal masih berjalan. Kedua, per 28 Oktober manajemen belum menemukan tanda bahwa data yang diakses itu disalahgunakan. Jadi jangan menulis bahwa penipuan sudah terjadi akibat kebocoran ini. Yang dibahas di sini adalah apa yang dimungkinkan oleh datanya.
Kenapa "KTP aman" belum cukup menenangkan
Foto KTP dibutuhkan untuk mengambil alih identitas: ajukan pinjaman, daftarkan kartu SIM, lolos verifikasi. Nilainya tinggi, dan ketiadaannya memang kabar baik. Tapi kebanyakan penipuan yang menyasar orang biasa tidak butuh akses sedalam itu. Mereka cuma butuh satu hal: korban percaya sama penelepon.
Rasa percaya datang dari konteks. Pesan yang masuk dengan nama dan nomor kamu yang benar, plus menyebut sesuatu yang memang kamu beli minggu lalu, tidak terasa seperti orang asing. Kolom data yang bocor hampir pas dengan kebutuhan itu. Ini analisis kami sendiri, bukan temuan kasus: telepon dari "kafe langgananmu" soal kendala pembayaran pesanan terakhir gampang dibuatkan skripnya kalau penulis skripnya pegang riwayat belanjamu.
Satu-satunya yang masih belum dipegang penelepon seperti itu adalah kode sekali pakai yang membuktikan itu memang kamu. Karena itu Fore meminta pelanggan jangan memberikan PIN atau OTP ke siapa pun, dan aturan tunggal itu lebih penting daripada yang lain di daftar.
Yang diminta Fore dari pelanggan
Saran Fore untuk pelanggan, seperti dikutip Katadata, singkat:
- Ganti PIN akun Fore, atau buat PIN kalau belum punya.
- Ganti PIN di akun lain yang memakai kombinasi sama.
- Jangan memberikan PIN atau kode OTP kepada siapa pun.
- Waspada telepon, SMS, email, atau WhatsApp yang mengatasnamakan Fore.
Aplikasinya sekarang juga meminta verifikasi dua langkah untuk login dari perangkat baru. Saran soal PIN itu lebih penting daripada kelihatannya. PIN-nya memang disimpan dalam bentuk hash, lebih baik daripada teks biasa, tapi siapa pun yang memakai PIN yang sama di tempat lain sudah menyerahkan rahasia yang sama ke dua tempat.
Di mana Komdigi dan aturannya masuk
Komdigi menyebut Fore melaporkan dugaan kegagalan pelindungan data pribadi pada 28 Oktober, dan sekarang Komdigi menganalisis serta memeriksanya lebih lanjut. Kalau terbukti ada kelalaian atau pelanggaran, sanksi administratif bisa menyusul berdasarkan UU Pelindungan Data Pribadi (UU 27/2022) dan PP 71/2019 tentang penyelenggaraan sistem dan transaksi elektronik. Sampai sekarang belum ada sanksi yang diumumkan.
Pasal 46 undang-undang yang sama adalah bagian yang perlu dibaca semua pemilik usaha. Kalau terjadi kegagalan pelindungan data pribadi, pengendali data wajib menyampaikan pemberitahuan tertulis paling lambat 3 x 24 jam kepada pemilik data dan kepada lembaga. Isinya minimal memuat data apa yang terungkap, kapan dan bagaimana, serta upaya penanganan dan pemulihannya. Kewajiban itu tidak terbatas pada perusahaan tercatat dengan jutaan pengguna. Kafe atau toko yang menyimpan daftar member juga pengendali data atas daftar itu.
Kalau kamu pegang data member
Pelajaran berguna dari kasus Fore bukan soal Fore. Setiap kolom yang kamu kumpulkan adalah kolom yang bisa nyasar ke skrip orang lain. Pasal 16 ayat 2 UU yang sama menyebut pengumpulan harus terbatas dan spesifik, sah secara hukum, dan transparan. Dalam praktik, itu jadi kebiasaan yang bisa kamu mulai minggu ini.
Mulai dari formulir member. Kalau nomor HP buat kirim struk, simpan. Kalau tanggal lahir lengkap cuma buat promo ulang tahun, tanggal dan bulan sudah cukup. Lalu daftar semua tempat datanya berada. Untuk usaha kecil, daftar itu biasanya lebih panjang dari dugaan: aplikasi kasir, spreadsheet yang diekspor tahun lalu, grup WhatsApp, akun mantan karyawan yang tidak pernah ditutup.
Setelah tahu letaknya, hapus yang tidak terpakai dan pastikan hanya orang yang perlu yang punya akses, satu akun per orang. Terakhir, tulis apa yang akan kamu lakukan di hari data itu bocor, termasuk siapa yang mengirim pemberitahuan tertulis dalam tiga hari. Data yang sudah tidak ada tidak bisa bocor, dan rencana yang sudah ada sebelum kejadian adalah pengaman paling murah yang dimiliki usaha kecil.
Kalau kamu belum yakin data member kamu disimpan di mana atau siapa yang bisa membukanya, itu layak dicek. XETUP mengerjakannya lewat audit awal untuk server, akses akun, backup, dan keamanan. Hubungi kami di bisnis@xetup.id atau WhatsApp +62 823 1499 5005.