NordVPN Bantah Klaim Kebocoran Data, Tegaskan Pelaku Hanya Dapatkan “Dummy Data”
NordVPN membantah klaim adanya kebocoran data internal setelah seorang pelaku ancaman mengaku berhasil membobol server pengembangan perusahaan dan mencuri sejumlah basis data sensitif. Menurut NordVPN, data yang diperoleh pelaku bukanlah data produksi, melainkan data uji coba atau dummy data yang berasal dari lingkungan pengujian pihak ketiga.
Klaim peretasan tersebut pertama kali muncul di sebuah forum peretasan, di mana pelaku dengan alias “1011” menyatakan telah mencuri lebih dari sepuluh basis data dari server pengembangan NordVPN. Dalam unggahannya, pelaku mengklaim memperoleh berbagai informasi sensitif seperti kunci API Salesforce dan token Jira, yang disebut didapatkan melalui serangan brute force terhadap server yang diklaim salah konfigurasi.
Menanggapi tuduhan tersebut, NordVPN menjelaskan bahwa data yang beredar berasal dari akun uji coba pada platform pengujian otomatis milik vendor pihak ketiga. Lingkungan ini digunakan beberapa bulan lalu saat perusahaan melakukan evaluasi awal terhadap calon penyedia layanan pengujian, dan tidak memiliki keterkaitan dengan infrastruktur internal NordVPN.
Perusahaan VPN asal Lituania itu menegaskan bahwa lingkungan pengujian tersebut bersifat terisolasi dan tidak pernah terhubung dengan sistem produksi. Selain itu, tidak ada data pelanggan, informasi bisnis nyata, kode sumber produksi, maupun kredensial aktif yang disimpan di dalamnya. Seluruh data yang digunakan hanya bersifat fiktif dan ditujukan semata-mata untuk pengujian fungsional.
NordVPN juga menyatakan bahwa artefak yang ditampilkan dalam klaim kebocoran, seperti struktur basis data dan skema API tertentu, hanya mungkin berasal dari lingkungan pengujian tersebut. Meski demikian, perusahaan tetap menghubungi vendor terkait untuk memperoleh klarifikasi tambahan mengenai insiden ini.
Menurut NordVPN, proses uji coba tersebut tidak berlanjut ke tahap kerja sama resmi, dan perusahaan akhirnya memilih vendor lain. Dengan demikian, lingkungan pengujian yang dipermasalahkan tidak pernah digunakan dalam operasional aktif dan tidak menyimpan data sensitif apa pun.
Meski insiden ini disebut sebagai alarm palsu, NordVPN mengakui bahwa mereka pernah mengalami pelanggaran keamanan di masa lalu. Pada 2019, server NordVPN sempat dibobol bersama dengan layanan VPN lain, yang mengakibatkan pencurian kunci privat untuk mengamankan server web dan konfigurasi VPN. Sejak kejadian tersebut, NordVPN mengklaim telah melakukan berbagai peningkatan keamanan.
Langkah-langkah tersebut mencakup peluncuran program bug bounty, pelaksanaan audit keamanan menyeluruh oleh pihak ketiga, serta migrasi infrastruktur ke server khusus milik sendiri. Perusahaan juga menyatakan telah memodernisasi ribuan servernya dengan beralih ke sistem berbasis RAM untuk meminimalkan risiko penyimpanan data jangka panjang.
