Kecerobohan Perusahaan Povider terhadap keamanan privacy.

Baru-baru ini kita menerima kenyataan sebuah perusahaan provider Internet menutup operasionalnya. Perusahaan ini berjanji melakukan refund terhadap pelanggannya melalui cara yang sangat ceroboh. Perusahaan ini mengirimi pelanggannya melalui email yang berisi sebagi berikut:

From: XXXXX <no-reply@xxxxxxx.id>
Date: Fri, Jan 4, 2019, 18:09
Subject: XXXXXX - Link Pengajuan Refund secara Online
To: <alamat email pelanggan>


Dear NAMA PELANGGAN - NOMOR PELANGGAN, 

Silahkan klik link berikut ini untuk melanjutkan proses refund Anda. 

http://x.x.x.x/proc-inner/blablablablabla 

Terima kasih atas dukungan Anda terhadap layanan XXXXX 4G LTE selama ini. 


Salam XXXXX

Kecerobohan ini menjadi bukti nyata bahwa banyak korporasi tidak perduli dengan aspek keamanan data privasi pelanggan.

Berikut analisanya:

1. Link tersebut dikirim per email, yang mana email adalah media komunikasi yang transparan dan rentan diintercept di tengah jalan.
2. Jika link tersebut diklik TIDAK ADA mekanisme autentikasi, maka siapa pun yang intercept email tersebut bisa mengakses informasi di dalam link tersebut tanpa kecuali
3. Informasi yang tertera dalam link tersebut mencakup nomor MSISDN, ICCID, nama pelanggan, nomor identitas pelanggan (KTP), jadi jika ada orang bisa intercept email tersebut dia bisa masuk maka dia mendapat informasi berharga ini.
4. Link tersebut juga minta pelanggan mengisi informasi sensitif (nama dan nomor rekening bank) dalam format http bukan https
5. Link tersebut menggunakan IP Address, dan ini rentan untuk penipuan. Penipu bisa menciptakan email serupa dengan IP address milik penipu dan isinya persis sama. Apa pun yang diinput oleh korban akan diharvest oleh penipu

Saya menghimbau agar sebaiknya pelanggan tidak menggunakan link tersebut untuk refund. Lebih aman datang ke kantor perwakilan setempat.