Paparan yang Memecahkan Rekor: 24 Miliar Kredensial Ditemukan Tanpa Perlindungan

Pada Juni 2026, para peneliti keamanan tanpa sengaja menemukan sesuatu yang membuat hampir semua kebocoran data lain tahun itu terlihat kecil: sebuah database yang dapat diakses publik berisi lebih dari 24 miliar catatan kredensial curian. Tidak ada kata sandi, tidak ada dinding login, dan tidak ada enkripsi yang menjadi penghalang antara internet dan data tersebut. Siapa pun yang menemukan server yang terbuka itu dapat mengaksesnya dengan bebas.

Perlu diperjelas, 24 miliar catatan tidak berarti 24 miliar orang yang unik. Database seperti ini biasanya merupakan kompilasi, kumpulan kredensial yang dikeruk dan digabungkan dari kebocoran sebelumnya selama bertahun-tahun, log malware, dan tumpukan kata sandi yang bocor, semuanya digabungkan menjadi satu file raksasa. Entri duplikat adalah hal yang umum, dan alamat email yang sama mungkin muncul puluhan kali dengan kata sandi berbeda yang dicuri pada waktu yang berbeda. Meskipun demikian, skala paparan yang sangat besar ini menggambarkan masalah yang telah menjadi rutinitas pada tahun 2026: tumpukan besar data curian sebelumnya terus bermunculan kembali, tanpa pengamanan, di lokasi-lokasi baru.

Jenis paparan ini sangat berbahaya karena menurunkan hambatan masuk bagi para penjahat siber. Alih-alih membayar untuk mengakses kumpulan data kebocoran yang telah dikurasi di forum dark web, para penyerang dapat langsung mengambil kredensial dari database terbuka dan mulai mengujinya terhadap situs perbankan, penyedia email, dan login perusahaan melalui serangan "credential stuffing" yang otomatis.

Kodak Bergabung dalam Daftar Korban Kebocoran 2026

Bulan yang sama membawa insiden kedua yang lebih tertarget. Kodak mengonfirmasi kebocoran setelah sebuah kelompok peretas mengklaim telah mencuri sekitar 2,2 juta catatan pelanggan dan korporat. Kelompok tersebut mencatatkan Kodak di situs kebocoran dark web, sebuah taktik yang telah menjadi praktik standar bagi geng peretas yang berfokus pada pemerasan untuk menekan perusahaan agar membayar sebelum data curian dipublikasikan atau dijual.

Pendekatan ini mencerminkan apa yang telah terjadi di organisasi lain sepanjang tahun. Kelompok seperti CMD telah membawa taktik pemerasan lebih jauh dengan melelang data curian secara langsung alih-alih sekadar mengancam akan membocorkannya, sementara DARK PROJECT telah menggunakan situs kebocorannya untuk menyebutkan banyak korban sekaligus sebagai cara untuk memaksimalkan tekanan. Apakah para penyerang Kodak menindaklanjuti ancaman mereka untuk memublikasikan kumpulan data lengkap atau tidak, polanya sama: curi dulu, lalu gunakan paparan publik sebagai alat tawar-menawar.

Bagian dari Pola yang Lebih Besar pada 2026

Baik paparan 24 miliar kredensial maupun kebocoran Kodak tidak terjadi secara terpisah. Tahun 2026 telah menyaksikan rentetan insiden skala besar yang terus-menerus di berbagai sektor dan wilayah geografis. Sistem pemerintahan juga tidak luput; kebocoran data pemerintah Inggris dan Swiss mengganggu operasional pada awal Agustus, menunjukkan bahwa organisasi sektor publik menghadapi risiko paparan yang sama dengan perusahaan swasta. Di sisi konsumen, sebuah gugatan yang diajukan atas kebocoran bulan Juni mengklaim bahwa sebanyak 2,4 miliar pengguna TikTok terkena paparan data mereka, sebuah klaim yang, jika akurat, akan menempati peringkat sebagai salah satu kebocoran terbesar yang pernah dilaporkan.

Yang menghubungkan insiden-insiden ini bukanlah satu penyebab tunggal, melainkan serangkaian kelemahan mendasar yang sama: database tanpa pengamanan yang dibiarkan terbuka untuk internet, kredensial yang digunakan ulang di berbagai layanan, dan para penyerang yang semakin memperlakukan data curian sebagai komoditas untuk dilelang, dibocorkan, atau ditebus, bukan sekadar disimpan.

Apa Artinya Ini Bagi Anda

Kebanyakan orang tidak akan pernah tahu secara pasti apakah kredensial spesifik mereka ada di dalam database 24 miliar catatan tersebut, dan Kodak belum memublikasikan daftar lengkap siapa yang terkena dampak kebocorannya. Ketidakpastian itulah yang menjadi salah satu alasan mengapa kebocoran data 2026 penting bagi pengguna biasa, bukan hanya departemen TI. Jika kombinasi email dan kata sandi Anda pernah muncul di kebocoran sebelumnya, dan sudah banyak terjadi, ada kemungkinan nyata bahwa kombinasi tersebut menjadi bagian dari kumpulan data agregat yang lebih besar yang beredar saat ini.

Respons praktis tidak memerlukan kepanikan. Yang diperlukan adalah kebersihan dasar yang menutup jalur serangan yang paling umum: kata sandi unik untuk setiap akun, autentikasi multi-faktor di mana pun ditawarkan, dan pemeriksaan berkala apakah alamat email Anda telah muncul di kebocoran yang diketahui.

Tindakan yang Dapat Diambil

  • Gunakan pengelola kata sandi untuk membuat dan menyimpan kata sandi unik untuk setiap akun, sehingga kredensial yang bocor dari satu kebocoran tidak dapat membuka akun lain.
  • Aktifkan autentikasi multi-faktor pada email, perbankan, dan akun apa pun yang menyimpan informasi pribadi atau finansial yang sensitif.
  • Periksa layanan pemantauan kebocoran secara berkala untuk melihat apakah alamat email Anda telah muncul di kebocoran yang diketahui, termasuk database agregat besar seperti yang ditemukan pada bulan Juni.
  • Anggap email reset kata sandi yang tidak terduga atau peringatan login sebagai sinyal untuk segera mengganti kata sandi Anda, bahkan jika Anda tidak dapat memastikan kebocoran mana yang memicunya.
  • Tetap ikuti perkembangan kebocoran data 2026 yang sedang berlangsung yang memengaruhi perusahaan tempat Anda bertransaksi, karena pemberitahuan kebocoran sering kali tiba berminggu-minggu atau berbulan-bulan setelah insiden sebenarnya terjadi.

Kebocoran data pada skala ini tidak mungkin melambat pada tahun 2026. Tetap selangkah di depannya bukanlah tentang menghindari setiap risiko, melainkan tentang memastikan bahwa ketika kebocoran terjadi, hal itu tidak berubah menjadi akun yang dikompromikan atau identitas yang dicuri.