Kes kebocoran data kian meningkat di S’pura; syarikat perlu bertindak lebih daripada minta maaf

“Kami ingin memaklumkan bahawa sebahagian maklumat peribadi anda telah terjejas akibat kebocoran data…”

Demikian antara ayat pembuka notis yang diterima mangsa kebocoran data baru-baru ini.

Sepanjang bulan lalu, notis sedemikian membanjiri peti e-mel berikutan siri kebocoran data yang belum pernah berlaku sebelum ini di Singapura.

Antara organisasi terjejas ialah Doctor Anywhere, Fullerton Health, M1, SPH Media, penyedia teknologi penerbangan Amadeus yang menjejas rekod penumpang Singapore Airlines (SIA), Agensi Penjagaan Bersepadu (AIC) dan kemungkinan platform digital Dementia Singapore.

Walaupun maklumat perbankan dan kad pembayaran hampir semuanya tidak terjejas, kebocoran nombor kad pengenalan (NRIC), nama penuh, tarikh lahir dan nombor telefon membolehkan penjenayah melakukan penipuan penyamaran serta tipu daya psikologi melalui kejuruteraan sosial.

Gelombang ini berlaku serentak dengan serangan siber di Eropah yang melumpuhkan prasarana rantaian sejuk pasar raya dan bank darah, mencerminkan ancaman digital yang semakin berani serta membawa kesan nyata terhadap kehidupan seharian.

Dengan kebocoran data berterusan sejak akhir Oktober, ramai tertanya-tanya mengapa peristiwa sebegini berlaku berturut-turut dan apakah langkah perlindungan syarikat selain menghantar notis pematuhan?

Mengapa serangan mengatasi pertahanan

Kejadian di Singapura berpunca daripada kelemahan tetapan sistem, rantaian bekalan penyedia perkhidmatan dan serangan terancang.

Apakah perubahan terkini yang mencetuskan gelombang serangan baharu ini?

Faktor utama peningkatan serangan ialah kecerdasan buatan (AI), yang mempercepat pengesanan kelemahan keselamatan.

Menurut Google Threat Intelligence Group, kelemahan yang didedahkan meningkat daripada 5,045 pada Januari 2026 kepada 10,740 pada Ogos.

Penyalahgunaan kelemahan keselamatan secara aktif turut meningkat ketara, daripada purata 10.5 kelemahan sebulan pada 2025 kepada 18 sebulan antara Januari dengan Ogos 2026.

Laporan M-Trends 2026 oleh Mandiant, berdasarkan lebih 500,000 jam penyiasatan sedunia pada 2025, mendapati kelemahan kini disalahgunakan secara purata tujuh hari sebelum didedahkan kepada umum atau diperbaiki.

Ini bermakna penyerang siber kerap menyalahgunakan kelemahan perisian seminggu sebelum kelemahan itu didedahkan kepada umum atau pembaikan dikeluarkan oleh penyedia perisian.

SPH Media mengakui kejadian kebocorannya melibatkan AI yang membolehkan penyerang menguji kelemahan sistem dengan pantas.

Laporan Agensi Keselamatan Siber Singapura (CSA) pada Jun pula menunjukkan sistem dijangkiti perisian hasad meningkat daripada 117,300 pada 2024 kepada lebih 284,300 pada 2025.

Perkembangan ini mematahkan tanggapan bahawa organisasi mempunyai masa mencukupi untuk menangguhkan naik taraf dan tampalan keselamatan demi menjimatkan kos.

Menurut Pengasas dan Ketua Pegawai Eksekutif ViewQwest, Encik Vignesa Moorthy, amalan lama bergantung pada pendekatan “keselamatan melalui kerahsiaan”.

Beliau menegaskan penangguhan naik taraf menyebabkan organisasi menggunakan perisian tanpa sokongan, sedangkan kelemahan kini dapat dikesan secara langsung dengan lebih pantas dan murah.

Pembela keselamatan siber juga perlu membuat keputusan segera walaupun maklumat forensik tidak lengkap. Tindak balas secara langsung semakin diperlukan untuk menandingi kepantasan serangan.

Lawan AI dengan AI

Pemimpin Singapura dan firma keselamatan siber menggesa organisasi menggunakan AI bagi menentang serangan berasaskan teknologi sama.

Beberapa minggu sebelum gelombang kebocoran data pada akhir Oktober 2026, Menteri Penyelaras bagi Keselamatan Negara, Encik K. Shanmugam, menjadikan AI teras Strategi Keselamatan Siber Singapura 2026.

Ketika berucap pada Minggu Siber Antarabangsa Singapura pada Oktober lalu, beliau menegaskan negara mesti bertindak lebih awal, pada skala nasional dan sepantas ancaman.

Di persidangan yang sama, Menteri Penerangan dan Pembangunan Digital, Cik Josephine Teo, turut menggesa penggunaan AI, namun menekankan kepentingan pengawasan manusia.

CSA pula memperuntukkan $5.6 juta kepada 13 projek CyberCall 2025 untuk membangunkan alat pengesanan ancaman berasaskan AI.

CyberCall 2026 mencari penyelesaian langsung untuk menangani pencerobohan, mengesan isyarat penjejakan pesawat palsu dan membantu perniagaan kecil mengurus keselamatan siber.

Perniagaan perlu serius terhadap amaran ini

AI boleh digunakan untuk menguji pertahanan siber, mengenal pasti kelemahan sebelum ditemui penggodam serta mengesahkan pembaikan berkesan.

Syarikat tidak boleh lagi menunggu sehingga serangan berlaku untuk memperkukuh pertahanan siber mereka.

Tanggungjawab perniagaan terhadap pengguna

Pertahanan teknikal sahaja tidak mencukupi. Perniagaan dan badan kawal selia mesti melindungi pengguna.

Mangsa kebocoran data sering terpaksa melindungi identiti dan kewangan mereka sendiri.

Syarikat perlu menawarkan langkah pemulihan yang berkesan, bukan sekadar menghantar notis biasa, kerana mereka lebih berkemampuan menanggung kerugian akibat kebocoran data.

Antaranya menyediakan perkhidmatan pemantauan berbayar untuk mengesan nombor NRIC, alamat e-mel atau nombor telefon pelanggan yang tersebar secara haram.

Ini penting kerana maklumat identiti tidak boleh dibatalkan seperti kad kredit, meningkatkan risiko pinjaman palsu, penyamaran dan pengambilalihan akaun.

Syarikat juga patut mewajibkan pertukaran kata laluan atau penggunaan Singpass selepas kebocoran.

Badan kawal selia boleh mewajibkan bantuan pemulihan, termasuk pemantauan identiti dan talian percuma yang dikendalikan pakar penipuan untuk membekukan akaun terjejas serta membantu penguatkuasaan undang-undang.

Hakikatnya, kebocoran data lebih berpunca daripada kelemahan amalan keselamatan siber berbanding ancaman AI yang tidak terkawal.

Syarikat mesti segera memperkukuh pertahanan dan tidak membiarkan mangsa menanggung akibat kecuaian mereka. – The Straits Times.