Insiden PwC Jadi Pengingat: Data Perusahaan Rentan Lewat Vendor Pihak Ketiga

Insiden PwC Jadi Pengingat: Data Perusahaan Rentan Lewat Vendor Pihak Ketiga – Pada 23 Oktober 2026, PwC mengonfirmasi bahwa pihaknya mengetahui adanya insiden keamanan siber yang melibatkan vendor pihak ketiga yang digunakan untuk menghosting catatan pembelajaran karyawan. Sehari sebelumnya, kelompok pemerasan siber bernama Everest mengklaim telah mencuri 590 GB data perusahaan tersebut.

Menurut laporan Reuters, Everest mengaku memperoleh data yang mencakup ekspor informasi sumber daya manusia (SDM) dan pelatihan regional, dokumentasi integrasi, komponen perangkat lunak, serta materi e-learning PwC. Kelompok itu juga mengklaim data tersebut berisi informasi individu, termasuk nama, alamat email, nomor telepon, alamat tempat tinggal, serta riwayat organisasi dan pekerjaan.

Namun, ada hal penting yang perlu diperhatikan: klaim pencurian 590 GB tersebut belum dikonfirmasi oleh PwC. Juru bicara perusahaan menyatakan bahwa situs yang terdampak tidak menyimpan data klien, data pribadi sensitif, ataupun informasi keuangan.

PwC juga menyebut insiden tersebut tidak memengaruhi jaringan maupun operasional perusahaan, serta menyatakan telah mengamankan lingkungan terkait dan melakukan peninjauan.

PwC tidak memberikan konfirmasi mengenai jumlah data yang diklaim dicuri maupun kebenaran klaim kelompok tersebut. Karena itu, angka 590 GB dan rincian data yang disebutkan Everest harus dipahami sebagai klaim penyerang, bukan jumlah kebocoran yang telah terverifikasi.

Meski demikian, kasus ini memberikan pelajaran penting bagi organisasi mana pun yang menggunakan layanan eksternal untuk mengelola data internal.

Mengapa Vendor Pihak Ketiga Bisa Menjadi Titik Lemah?

Banyak perusahaan kini mengandalkan vendor eksternal untuk menjalankan berbagai fungsi bisnis, mulai dari pengelolaan SDM, pelatihan karyawan, penyimpanan dokumen, hingga komunikasi dan kolaborasi. Model ini membuat pekerjaan lebih efisien, tetapi juga memperluas lingkungan yang perlu diamankan.

Dalam operasional sehari-hari, perusahaan dapat mengunggah dokumen ke platform cloud, membagikan berkas melalui tautan, atau menghubungkan aplikasi internal dengan layanan milik vendor. Hubungan tersebut memungkinkan pertukaran data berlangsung otomatis tanpa harus selalu dilakukan secara manual.

Namun, semakin banyak sistem yang saling terhubung, semakin banyak pula titik yang harus diawasi. Apabila salah satu penyedia layanan mengalami kompromi, data yang disimpan atau diproses di lingkungannya dapat menghadapi risiko, bergantung pada sistem yang terdampak dan akses yang dimiliki penyerang.

Situasi ini berkaitan dengan serangan rantai pasok (supply-chain attack), yaitu serangan yang memanfaatkan kelemahan pada penyedia, perangkat lunak, atau layanan pihak ketiga untuk menjangkau target lain. Tidak semua insiden vendor otomatis menjadi serangan rantai pasok dalam arti teknis yang sempit, tetapi insiden tersebut tetap menunjukkan risiko keamanan yang muncul dari ketergantungan pada pihak eksternal.

Risiko serupa relevan bagi perusahaan di Indonesia. Dokumen kontrak, data pelanggan, laporan keuangan, informasi karyawan, dan materi internal sering berpindah melalui email atau platform berbagi berkas. Ketika pengiriman dokumen menjadi rutinitas, organisasi dapat luput dalam:

Memeriksa siapa yang memperoleh akses.
Berapa lama akses berlaku.
Dan apakah penerima benar-benar pihak yang dituju.

Dokumen yang Tampak Biasa Bisa Memiliki Nilai Tinggi

Data tidak harus berupa rahasia dagang atau informasi kartu pembayaran untuk menarik perhatian penyerang. Kumpulan nama, jabatan, alamat email perusahaan, nomor telepon, dan riwayat pekerjaan dapat dimanfaatkan untuk menyusun serangan lanjutan.

Sebagai contoh, penyerang yang mengetahui struktur organisasi dapat menyusun email yang menyerupai komunikasi dari bagian SDM, keuangan, atau pimpinan perusahaan. Pesan tersebut dapat digunakan untuk memancing korban membuka tautan, mengunduh lampiran, memberikan kredensial, atau mentransfer dana ke rekening yang salah.

Dokumentasi integrasi dan informasi mengenai aplikasi yang digunakan perusahaan juga berpotensi membantu penyerang memahami hubungan antarsistem. Namun, nilai dan dampak setiap dokumen bergantung pada isi sebenarnya; keberadaan dokumentasi tidak otomatis berarti kredensial atau akses sistem ikut bocor.

Karena itu, perusahaan perlu memperlakukan pertukaran dokumen sebagai bagian dari pengelolaan risiko keamanan, bukan sekadar aktivitas administratif.

Langkah Perlindungan untuk Perusahaan

Ada beberapa langkah praktis yang dapat diterapkan untuk mengurangi risiko kebocoran data melalui layanan pihak ketiga.

Evaluasi keamanan vendor. Sebelum menggunakan layanan, periksa bagaimana vendor melindungi data, mengelola akses, melaporkan insiden, dan menangani penghapusan data setelah kontrak berakhir.
Batasi hak akses. Berikan akses hanya kepada akun dan aplikasi yang benar-benar memerlukannya. Tinjau izin secara berkala dan cabut akses yang sudah tidak dibutuhkan.
Amankan pertukaran dokumen. Gunakan platform resmi perusahaan, batasi penerima, tetapkan masa berlaku tautan berbagi, dan hindari pengaturan yang memungkinkan siapa pun yang memiliki tautan mengakses dokumen sensitif.
Klasifikasikan data. Bedakan dokumen publik, internal, rahasia, dan sangat sensitif. Terapkan aturan penyimpanan serta pembagian yang sesuai dengan klasifikasinya.
Pantau aktivitas mencurigakan. Perhatikan unduhan dalam jumlah tidak biasa, perubahan hak akses, autentikasi yang tidak wajar, dan aktivitas aplikasi pihak ketiga.
Siapkan prosedur respons insiden. Tentukan cara menangguhkan integrasi, mencabut kredensial, menghubungi vendor, memeriksa kemungkinan paparan data, dan memberi tahu pihak terdampak sesuai ketentuan yang berlaku.

Edukasi karyawan juga penting. Pegawai perlu memahami bahwa permintaan berbagi dokumen, perubahan rekening pembayaran, atau permintaan data mendesak harus diverifikasi melalui saluran komunikasi lain jika terdapat kejanggalan.

Memperkuat Perlindungan dengan Keamanan Berlapis

Selain tata kelola vendor dan pembatasan akses, perusahaan membutuhkan perlindungan teknis untuk mengurangi risiko dari malware, phishing, dan berkas berbahaya yang masuk melalui email maupun aplikasi cloud.

ESET Cloud Office Security, misalnya, menyediakan lapisan perlindungan untuk layanan Microsoft 365 dan Google Workspace, termasuk Exchange Online, OneDrive, SharePoint Online, Teams, Gmail, dan Google Drive. Kemampuannya mencakup penyaringan spam serta perlindungan terhadap phishing dan malware, termasuk analisis sampel mencurigakan melalui lingkungan cloud terisolasi.

Sementara itu, platform ESET PROTECT menyediakan kemampuan perlindungan endpoint dan server, serta modul tambahan untuk deteksi dan respons ancaman, manajemen kerentanan, dan perlindungan aplikasi cloud sesuai paket yang digunakan. Untuk organisasi yang membutuhkan pemantauan dan penanganan ancaman secara berkelanjutan, layanan Managed Detection and Response (MDR) juga dapat menjadi bagian dari strategi keamanan.

Solusi tersebut dapat membantu memperkuat lapisan pertahanan pada sistem dan aplikasi yang tercakup. Namun, perlindungan endpoint atau aplikasi cloud tidak otomatis mencegah vendor mengalami kompromi, menjamin semua dokumen yang dibagikan tetap rahasia, atau menggantikan audit vendor dan pengaturan hak akses. Perusahaan tetap perlu mengelola risiko pihak ketiga secara langsung.

Langkah Penting

Insiden yang melibatkan PwC menunjukkan pentingnya memperhatikan keamanan data yang berada di luar jaringan internal perusahaan. Sekalipun sebuah platform hanya digunakan untuk pelatihan atau administrasi karyawan, informasi di dalamnya tetap berpotensi bernilai bagi penyerang.

Bagi perusahaan di Indonesia, langkah awal yang penting adalah memetakan layanan pihak ketiga yang digunakan, membatasi akses terhadap dokumen, mengawasi aktivitas cloud, dan memastikan setiap vendor memiliki prosedur keamanan serta respons insiden yang jelas.

Dengan menggabungkan tata kelola yang baik dan teknologi perlindungan berlapis, organisasi dapat mengurangi risiko tanpa harus menghentikan efisiensi kerja digital.

Baca artikel lainnya: