Kasus ini bermula ketika Meta—saat itu masih bernama Facebook—mengumumkan bahwa mereka secara tidak sengaja menyimpan kata sandi pengguna dalam format teks.
Raksasa teknologi Meta, perusahaan induk dari Facebook dan Instagram, telah dijatuhi denda sebesar €91 juta (sekitar Rp 1,5 triliun) oleh Komisi Perlindungan Data Irlandia (DPC) setelah penyimpanan ratusan juta kata sandi pengguna secara tidak terenkripsi terungkap. Pelanggaran keamanan ini pertama kali ditemukan dan diumumkan oleh Meta pada tahun 2019, namun baru mendapatkan sanksi setelah investigasi lima tahun oleh otoritas privasi utama Uni Eropa tersebut.
Dilansir dari Cybersecurity News (30/9), kasus ini bermula ketika Meta, saat itu masih bernama Facebook mengumumkan bahwa mereka secara tidak sengaja menyimpan kata sandi pengguna dalam format teks terbuka tanpa perlindungan enkripsi yang memadai di sistem internal mereka. Meskipun Meta mengklaim bahwa kata sandi tersebut hanya terpapar di lingkungan internal dan tidak ada bukti penyalahgunaan, DPC menemukan praktik ini melanggar Peraturan Perlindungan Data Umum Uni Eropa (GDPR).
Investigasi DPC mengungkap beberapa pelanggaran GDPR yang dilakukan Meta, termasuk:
-
Gagal melaporkan pelanggaran data pribadi kepada DPC,
-
Tidak menerapkan langkah-langkah teknis yang memadai untuk melindungi kata sandi pengguna.
-
Sebagai konsekuensi dari pelanggaran ini, DPC menjatuhkan denda besar dan teguran kepada Meta.
Biasanya, layanan daring melindungi kata sandi pengguna menggunakan teknik enkripsi standar industri seperti hashing dan salting. Meta sendiri biasanya mengikuti praktik-praktik ini, sehingga menjadi tanda tanya besar mengapa sejumlah besar kata sandi pengguna Facebook dan Instagram dibiarkan tanpa perlindungan yang memadai.
Wakil Komisaris DPC, Graham Doyle, menyoroti betapa sensitifnya masalah ini, dengan menyatakan bahwa “kata sandi yang menjadi subjek dalam kasus ini sangat sensitif, karena dapat membuka akses ke akun media sosial pengguna.”
Penyimpanan kata sandi dalam format teks terbuka menghadirkan risiko besar, memungkinkan akses tidak sah ke akun pengguna jika data tersebut diretas.
Meta mengakui kesalahan ini, menyatakan bahwa sebagian kata sandi pengguna Facebook telah “tercatat sementara dalam format yang dapat dibaca.” Perusahaan tersebut mengklaim telah mengambil tindakan segera untuk memperbaiki masalah ini dan melaporkannya secara proaktif kepada Komisi Perlindungan Data Irlandia.
Denda ini menjadi yang terbaru dalam serangkaian penalti yang dijatuhkan kepada Meta oleh regulator Uni Eropa. Sebelumnya, Meta telah menerima sejumlah sanksi, di antaranya:
-
Denda €405 juta terkait penanganan data remaja di Instagram,
-
Penalti €5,5 juta untuk pelanggaran oleh WhatsApp,
-
Denda €1,2 miliar untuk transfer data lintas Atlantik.
Pelanggaran berulang ini menyoroti tantangan yang terus dihadapi Meta dalam mematuhi peraturan perlindungan data Uni Eropa serta menjaga privasi dan keamanan pengguna.
