Technologue.id, Jakarta – Kelompok pemerasan siber RansomHouse memasukkan Pertamina ke dalam daftar korban mereka pada September 2026. Kelompok tersebut mengklaim telah menyerang jaringan Pertamina pada 21 Agustus 2026 dan mencuri sejumlah data internal perusahaan.
Klaim tersebut tercatat dalam sejumlah pemantau aktivitas ransomware yang diungkap oleh Alfons Tanujaya, Pakar keamanan siber dari Vaksincom. SOCRadar, misalnya, mencatat Pertamina sebagai korban yang diklaim RansomHouse dengan tanggal serangan 21 Agustus 2026 dan tanggal penemuan 17 September 2026. Namun, klaim di situs kelompok ransomware belum dengan sendirinya membuktikan bahwa seluruh detail serangan telah terverifikasi secara independen.
Yang menarik, materi yang disebut sebagai evidence pack justru mengindikasikan bahwa data yang diklaim bocor tidak harus berasal dari sistem korporat Pertamina secara keseluruhan.
Jejak pada dokumen yang beredar mengarah pada lingkungan unit operasional, khususnya yang berkaitan dengan kegiatan kilang maupun operasi hulu.
Analisis terhadap struktur dokumen tersebut mengarah pada kemungkinan keterlibatan anak usaha atau unit operasional Pertamina, seperti PT Kilang Pertamina Internasional (KPI) atau unit hulu gas PHE Jambi Merang. Namun, identifikasi unit yang terdampak ini masih perlu dikonfirmasi melalui investigasi forensik resmi.
Pola tersebut penting diperhatikan karena perusahaan besar biasanya memiliki banyak lapisan sistem dan jaringan. Akses ke salah satu anak usaha atau unit operasional tidak otomatis berarti seluruh sistem perusahaan induk berhasil ditembus.
Menurut Alfons, salah satu temuan yang paling menonjol dari data yang disebut bocor adalah keragaman dokumennya.
Berdasarkan analisis terhadap ribuan dokumen dengan total ukuran lebih dari 6 GB, data tersebut disebut mencakup setidaknya sembilan divisi dan berasal dari sekitar 50 akun pengguna yang berbeda.
Dokumen yang disebut terdapat dalam paket tersebut mencakup area seperti Finance, Personalia atau HR, Maintenance Planning & Support, Pipelines, hingga arsip dokumen konfidensial, termasuk NDA dan dokumen dana pensiun.
Jika struktur tersebut terkonfirmasi, pola kebocoran ini akan berbeda dari skenario satu komputer karyawan yang diretas.
"Pola ini jauh lebih konsisten dengan file server bersama yang bocor, bukan satu unit kerja yang diserang sendirian," ujarnya.
Sebab, satu perangkat milik seorang karyawan umumnya tidak memiliki akses terhadap dokumen dari banyak divisi yang berbeda selama bertahun-tahun. Karena itu, salah satu kemungkinan yang perlu diperiksa penyidik adalah adanya akses terhadap file server atau network share terpusat yang digunakan oleh banyak divisi.
Dalam lingkungan perusahaan, sistem semacam shared drive atau file server memungkinkan sejumlah pengguna mengakses dokumen sesuai hak akses yang diberikan.
Beberapa akun generik yang disebut muncul dalam data, seperti akun bernama "Risk", serta referensi terhadap server internal dan administrative share, juga dapat menjadi petunjuk mengenai struktur penyimpanan data. Namun, keberadaan petunjuk tersebut belum cukup untuk memastikan bagaimana pelaku mendapatkan akses awal.
Salah satu hal yang masih belum dapat dipastikan adalah vektor awal serangan.
Sejumlah basis data OSINT sebelumnya mencatat adanya informasi terkait domain Pertamina dalam kumpulan data kebocoran kredensial dan aktivitas infostealer. Namun, informasi dari agregator pihak ketiga seperti HudsonRock atau ParanoidLab pada dasarnya merupakan pemantauan dari sumber terbuka.
Data tersebut tidak dapat digunakan sendirian untuk menyimpulkan bahwa sebuah kerentanan tertentu menjadi penyebab insiden RansomHouse.
Salah satu kerentanan yang kerap dikaitkan dengan lingkungan Fortinet adalah CVE-2022-40684. Kerentanan tersebut memang nyata dan memiliki tingkat keparahan kritis. Fortinet menerbitkan advisori pada 10 Oktober 2022 dan menyarankan pengguna produk yang terdampak melakukan pembaruan ke versi yang telah diperbaiki.
Namun, menghubungkan CVE tersebut secara langsung dengan dugaan insiden Pertamina pada Agustus 2026 membutuhkan bukti forensik, seperti log akses, jejak eksploitasi, indicators of compromise (IoC), dan korelasi waktu kejadian.
Dengan demikian, vektor masuk dalam insiden yang diklaim RansomHouse ini belum dapat dipastikan berdasarkan informasi publik yang tersedia.