Surfshark Ungkap Server Internal dan Proxy Diretas akibat Kesalahan Konfigurasi

Penyedia layanan VPN Surfshark mengungkapkan bahwa sistem internal mereka telah diakses oleh peretas setelah sebuah server pengujian salah dikonfigurasi dan tanpa sengaja dapat diakses melalui internet.

Surfshark menegaskan bahwa insiden tersebut tidak berdampak pada pelanggan maupun infrastruktur VPN production. Namun, lingkungan yang berhasil diakses berisi sejumlah konfigurasi layanan dan credential yang berkaitan dengan proses build.

Menurut Surfshark, insiden bermula dari kesalahan manusia yang menyebabkan sebuah server internal yang digunakan tim engineering untuk pengujian menjadi dapat dijangkau dari internet.

“Due to a human error, an internal test server used by our engineering teams was misconfigured in a way that made it reachable from the internet.”

Server Pengujian Terbuka ke Internet

Server yang terdampak merupakan bagian dari lingkungan pengujian internal Surfshark.

Selain konfigurasi sistem, lingkungan tersebut juga menyimpan sebagian system binaries serta riwayat kode yang digunakan dalam proses pengembangan.

Surfshark tidak mengungkap secara spesifik binary, konfigurasi, service, credential, atau file apa saja yang dapat diakses oleh pihak tidak berwenang.

Namun, perusahaan memastikan bahwa data pelanggan dan infrastruktur VPN production tidak ikut terdampak.

Server Proxy Juga Diakses

Selain server pengujian, pihak tidak berwenang juga berhasil mengakses server lain yang digunakan Surfshark untuk mengoptimalkan akses terhadap konten.

Server tersebut berfungsi sebagai proxy dan menurut Surfshark tidak memiliki akses ke informasi sensitif pelanggan.

Perusahaan menegaskan bahwa server tersebut tidak menyimpan atau memberikan akses terhadap:

• Identitas pengguna
• Alamat IP pengguna
• Encryption keys
• Traffic VPN
• Aktivitas browsing

Surfshark juga mengatakan bahwa informasi pribadi tidak pernah disimpan dan dapat diakses dari server yang diretas tersebut.

Traffic VPN dan aktivitas browsing juga tidak dicatat atau disimpan oleh layanan, sementara aplikasi dan browser extension yang terpasang pada perangkat pengguna tidak mengalami perubahan akibat insiden ini.

Insiden Terdeteksi pada Akhir Agustus

Surfshark mendeteksi aktivitas mencurigakan pada 31 Agustus 2026.

Perusahaan kemudian melakukan containment dan menyelesaikan proses penanganan awal pada 2 September. Tiga hari kemudian, proses remediasi telah diselesaikan.

Surfshark mengatakan sejauh investigasi berlangsung, tidak ditemukan bukti bahwa credential yang terekspos telah disalahgunakan.

Tidak ditemukan pula indikasi bahwa kompromi menyebar ke sistem lain dalam infrastrukturnya.

Surfshark Merotasi Credential dan Token

Sebagai bagian dari respons insiden, Surfshark melakukan rotasi terhadap seluruh credential internal yang berpotensi terdampak.

Perusahaan juga:

• Mencabut token yang terekspos
• Menambahkan threat detection
• Meningkatkan aktivitas monitoring
• Memperkuat sistem internal
• Menerapkan security controls tingkat production pada lingkungan pengujian
• Memperbaiki pengelolaan credential dalam build process
• Menugaskan audit independen terhadap infrastruktur yang lebih luas

Salah satu fokus perbaikan adalah memastikan lingkungan testing mendapatkan kontrol keamanan yang lebih ketat sehingga kesalahan konfigurasi serupa tidak kembali membuat sistem internal dapat diakses dari internet.

Surfshark juga berencana memberikan pembaruan tambahan apabila investigasi yang masih berlangsung menemukan informasi penting lainnya.

Pelanggan Tidak Perlu Melakukan Tindakan Khusus

Berdasarkan informasi yang dipublikasikan Surfshark, pengguna tidak perlu melakukan tindakan khusus untuk melindungi akun mereka terkait insiden ini.

Perusahaan menyatakan bahwa data pelanggan, traffic VPN, encryption keys, serta infrastruktur VPN production tidak terdampak.

Meski demikian, Surfshark tetap menyarankan pengguna untuk waspada terhadap aktivitas mencurigakan atau komunikasi yang tidak diminta.

Insiden ini kembali menunjukkan bahwa kesalahan konfigurasi pada lingkungan internal dapat menjadi titik masuk bagi penyerang, bahkan ketika sistem tersebut tidak secara langsung terhubung dengan infrastruktur production. Bagi perusahaan yang mengelola layanan keamanan seperti VPN, pemisahan antara test environment dan production infrastructure menjadi sangat penting untuk membatasi dampak apabila salah satu lingkungan berhasil dikompromikan.

Sumber: Surfshark