Otoritas Pasar India Denda CDSL Rp1,8 Miliar Akibat Malware Lumpuhkan Layanan Investor

Otoritas pasar modal India, Securities and Exchange Board of India (SEBI), menjatuhkan denda sebesar 10 juta rupee atau sekitar Rp1,8 miliar kepada Central Depository Services (India) Ltd (CDSL) atas kegagalan sistem keamanan siber yang menyebabkan serangan malware pada November 2022. Denda ini menjadi salah satu sanksi terberat yang pernah dikenakan SEBI terhadap lembaga penyimpanan efek, menyoroti kerentanan infrastruktur kritis di tengah meningkatnya ancaman digital.

CDSL, yang mengelola sekitar 83 juta akun investor atau 70 persen total akun di India, dinilai lalai mengklasifikasikan server yang terhubung ke internet sebagai aset kritis. Padahal, regulasi mewajibkan sistem semacam itu mendapat perlindungan maksimal. Server inilah yang menjadi titik masuk utama serangan malware, memungkinkan peretas mengakses sistem internal dan mengganggu operasional penyelesaian transaksi.

Menurut SEBI, kegagalan CDSL tidak hanya pada pengamanan aset, tetapi juga pada deteksi intrusi secara real-time dan analisis peringatan keamanan. Lembaga penyimpanan itu juga tidak mematuhi aturan tentang pemulihan penyelesaian perdagangan melalui situs cadangan. Akibatnya, serangan pada 18 November 2022 menunda penyelesaian transaksi, aksi korporasi, margin kliring, dan transfer antar-penyimpanan.

SEBI menegaskan bahwa serangan malware tersebut merupakan konsekuensi yang dapat diprediksi dari akumulasi kelalaian keamanan siber, termasuk pemantauan yang tidak memadai, kontrol kata sandi yang lemah, dan kegagalan menerapkan perlindungan siber yang diwajibkan. Regulator menilai CDSL tidak memiliki budaya keamanan yang kuat, sehingga celah demi celah terus terbuka hingga akhirnya dimanfaatkan peretas.

Kasus ini relevan bagi Indonesia, di mana PT Kustodian Sentral Efek Indonesia (KSEI) dan bursa efek tengah memperkuat sistem penyimpanan dan penyelesaian transaksi. Otoritas Jasa Keuangan (OJK) telah menerbitkan aturan tentang manajemen risiko teknologi informasi, namun implementasi di lapangan masih perlu dievaluasi. Serangan terhadap CDSL menunjukkan bahwa lembaga penyimpanan efek menjadi target empuk karena menyimpan data dan aset bernilai tinggi.

Menurut analis keamanan siber, kasus ini juga menyoroti pentingnya klasifikasi aset kritis dan pemantauan real-time. Banyak perusahaan di Asia Tenggara, termasuk Indonesia, masih menganggap server publik sebagai aset biasa tanpa perlindungan ekstra. "Ini harus menjadi wake-up call bagi regulator dan pelaku pasar untuk tidak hanya mematuhi aturan secara formal, tetapi juga membangun ketahanan siber yang sesungguhnya," ujar seorang pakar yang enggan disebut namanya.

Ke depan, SEBI diperkirakan akan memperketat pengawasan terhadap lembaga penyimpanan dan perusahaan efek lainnya. Sanksi terhadap CDSL bisa menjadi preseden bagi regulator lain, termasuk OJK, untuk lebih agresif dalam menindak pelanggaran keamanan siber. Pertanyaannya, apakah industri pasar modal Indonesia sudah cukup siap menghadapi ancaman serupa?