Peretasan Salesforce Infinite Campus: 137.000 Akun Staf Sekolah Bocor akibat Ulah ShinyHunters
Dunia teknologi pendidikan (EdTech) di Amerika Serikat kembali diguncang isu keamanan siber. Kelompok pemeras data terkenal, ShinyHunters, dilaporkan telah mencuri data pribadi dari 137.100 akun staf sekolah setelah berhasil membobol sistem manajemen pelanggan (CRM) Salesforce milik Infinite Campus.
Infinite Campus sendiri merupakan raksasa penyedia Sistem Informasi Siswa (SIS) yang jaringannya digunakan oleh lebih dari 3.200 distrik sekolah di 46 negara bagian AS, dengan total pengelolaan data mencapai 11 juta siswa K-12 (TK hingga SMA).
Kronologi dan Detail Data yang Bocor ke Dark Web
Meskipun insiden pembobolan ini terjadi pada Maret 2026 lalu, pihak Infinite Campus awalnya tidak menyebutkan nama kelompok peretas secara spesifik saat mengirimkan surat notifikasi kepada para pelanggannya. Mereka hanya menggambarkan aktor intelektualnya sebagai “bagian dari kelompok yang gemar menargetkan akun Salesforce dari ratusan perusahaan raksasa.”
Namun, misteri tersebut terungkap setelah kelompok ShinyHunters secara terang-terangan mengeklaim tanggung jawab atas peretasan tersebut di situs kebocoran data mereka (data leak site). Mereka juga mengunggah berkas arsip berukuran 1,2 GB yang berisi dokumen curian berisi data internal korporasi dan informasi pribadi (PII).
Layanan pemantau kebocoran data terkemuka, Have I Been Pwned (HIBP), hari ini resmi memvalidasi data tersebut dan merinci jenis informasi staf sekolah yang bocor ke publik:
- Nama lengkap unik dan nama pengguna (username)
- Alamat surel (e-mail) dan nomor telepon
- Nama instansi pemberi kerja (sekolah/distrik) dan jabatan kerja
- Alamat fisik (domisili/kantor)
- Riwayat tiket aduan dukungan teknis (support tickets)
Pihak Infinite Campus mencoba menenangkan situasi dengan menyatakan bahwa pangkalan data (database) utama siswa mereka aman. “Target mereka murni instansi Salesforce Infinite Campus kami yang berisi nama dan kontak staf sekolah. Mayoritas data tersebut sebenarnya merupakan informasi direktori publik yang biasa ditemukan di situs web resmi sekolah,” tulis rilis resmi perusahaan.
Rekam Jejak Ganas ShinyHunters di Ranah Cloud
Aksi pembobolan Salesforce milik Infinite Campus ini menambah daftar panjang sepak terjang agresif ShinyHunters sepanjang satu tahun terakhir. Kelompok ini tercatat telah mencuri lebih dari 1,5 miliar data setelah membobol ratusan korporasi melalui kampanye peretasan Salesloft Drift dan Salesforce Aura.
| Parameter Insiden | Detail Kasus Infinite Campus (Juni 2026) |
| Aktor Utama | Geng Pemeras Siber ShinyHunters. |
| Vektor Serangan | Eksploitasi/pencurian akses pada akun cloud Salesforce korporat. |
| Total Akun Terdampak | 137.100 akun staf, guru, dan administrator sekolah. |
| Aksi Lanjutan Peretas | Menyerang ekosistem Oracle PeopleSoft menggunakan celah keamanan Zero-Day untuk meretas 100 organisasi (termasuk University of Nottingham). |
Perbandingan dengan Kasus PowerSchool
Pengamat keamanan siber menilai pola serangan Infinite Campus ini sangat identik dengan kasus peretasan raksasa PowerSchool yang terjadi pada Desember 2024 silam. Bedanya, skala dampak PowerSchool jauh lebih masif karena mengekspos data 62 million siswa di AS.
Sebagai catatan penegakan hukum, hacker remaja berusia 19 tahun asal Massachusetts yang mendalangi peretasan PowerSchool tersebut telah resmi divonis hukuman 4 tahun penjara oleh pengadilan federal setelah mengaku bersalah pada Mei 2025 lalu.
Kasus Infinite Campus ini menjadi peringatan keras bagi industri EdTech bahwa meskipun data siswa berhasil diamankan dari serangan, data sekunder seperti kredensial staf dan riwayat tiket dukungan teknis tetap memiliki nilai jual tinggi bagi peretas untuk melancarkan serangan lanjutan berskala besar seperti phishing atau penipuan finansial (social engineering).
Sumber: Have I Been Pwned Data Verification Service
