Selasa 28 Oktober 2026, PT Fore Kopi Indonesia Tbk (Fore) mengumumkan ada akses tanpa izin di salah satu platform pengelolaan data pelanggannya. Temuan itu datang dari investigasi internal: ada aktivitas tidak wajar di platform tersebut. Estimasi awal Fore, hingga sekitar 5,7 juta akun berpotensi terdampak. Itu angka estimasi awal perusahaan. Bukan jumlah akun yang terbukti disalahgunakan.
Dalam 24 jam setelah aktivitas itu teridentifikasi, Fore menyatakan akses sudah dihentikan dan sistem terkait diamankan. Insidennya dilaporkan ke Kementerian Komunikasi dan Digital (Komdigi). Seorang konsultan keamanan siber independen juga ditunjuk untuk investigasi forensik. Sampai liputan 1 sampai 3 November 2026, investigasi itu masih berjalan. Hasil akhirnya belum ada. Sejauh ini, Fore menyatakan belum menemukan indikasi penyalahgunaan atas data pelanggan yang diakses.
Data yang berpotensi terpapar tidak sama untuk semua pelanggan. Ada nama, alamat email, dan nomor telepon. Ada juga tanggal lahir, jenis kelamin, alamat di aplikasi, PIN dalam bentuk hash, serta riwayat pembelian. Yang Fore nyatakan tidak terdampak: NIK, foto KTP, dan detail kartu pembayaran. Alasannya, data itu tidak disimpan di platform yang mengalami insiden. Pembayaran dikelola platform terpisah. Pelanggan terdampak dihubungi langsung, dan mereka diminta mengganti PIN Fore, plus PIN serupa di layanan lain.
Sikap perusahaan itu disampaikan CEO Fore, Vico Lomar, dalam pernyataan yang dikutip 1 November 2026: "Fokus kami saat ini adalah mendukung pelanggan yang terdampak, menyelesaikan investigasi secara menyeluruh, dan memastikan bahwa pembelajaran dari kejadian ini diterjemahkan menjadi penguatan nyata terhadap sistem dan tata kelola keamanan kami."
Apa artinya buat bisnis Anda
Konsultasi & Perancangan Sistem
Kami menggali cara bisnismu berjalan, lalu menerjemahkannya menjadi rancangan sistem yang siap dibangun.
Pelanggan tidak menilai bisnis dari janji keamanannya. Yang mereka nilai: apa yang terjadi sesudah insiden diketahui. Fore menghentikan akses dalam 24 jam, melapor ke Komdigi, menunjuk investigator independen, lalu menghubungi pelanggan terdampak satu per satu. Urutan seperti itu yang dibaca publik sebagai tanggung jawab.
Mungkin bisnis Anda tidak sebesar Fore. Mungkin juga tidak menyimpan jutaan akun. Tapi data pelanggan tetap ada: nama, nomor telepon, alamat, riwayat pembelian. Tersimpan di sistem kasir, di toko daring, di lembar kerja. Insiden kecil pada data seperti itu menuntut jawaban yang sama. Apa yang terjadi. Data apa yang tersentuh. Apa yang Anda lakukan sesudahnya. Dan jawaban itu tidak bisa disusun dengan tenang kalau rencananya baru ditulis saat insiden sudah terjadi.
Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mewajibkan pengendali data memberitahu subjek data dan lembaga terkait bila terjadi kegagalan pelindungan data pribadi. Kewajiban ini berlaku untuk usaha apa pun ukurannya. Di sinilah rencana respons insiden berguna: supaya Anda tidak menebak-nebak langkah di tengah kepanikan.
Rencana respons insiden yang mungkin perlu Anda siapkan
Rencana yang baik memuat enam langkah berurutan. Masing-masing punya penanggung jawab, dan masing-masing meninggalkan catatan yang bisa ditunjukkan sesudahnya.
Langkah pertama: deteksi. Tentukan siapa yang memantau tanda aktivitas tidak wajar, dan ke mana tanda itu dilaporkan. Tandanya bisa macam-macam. Lonjakan login gagal. Unduhan data dalam jumlah besar di luar jam kerja. Keluhan pelanggan soal akun yang berubah. Kalau jalur pelaporannya tidak jelas, tanda-tanda seperti itu gampang dianggap gangguan biasa.
Sesudah ketahuan, tutup jalurnya. Cabut kredensial yang dicurigai, tutup titik akses yang terbuka, isolasi sistem yang tersentuh. Fore memberi patokan waktu: akses dihentikan dalam 24 jam setelah aktivitas teridentifikasi. Patokan seperti itu layak ditulis di rencana Anda. Supaya di tengah insiden, tim tidak berdebat soal kecepatan.
Sebelum sistem dibersihkan, amankan dulu buktinya. Log akses, salinan konfigurasi, kronologi penemuan. Itu bahan investigator forensik menelusuri apa yang terjadi. Kalau sistem dibersihkan dulu, penelusurannya jadi sulit.
Lalu beri tahu yang terdampak dan regulator. Kepada pelanggan, sebutkan data apa yang berpotensi terpapar dan apa yang diminta dari mereka, misalnya mengganti PIN. Kepada regulator, ikuti kewajiban UU PDP. Fore menghubungi pelanggan terdampak secara langsung dan melapor ke Komdigi. Nada pemberitahuannya sebaiknya faktual saja: apa yang diketahui, apa yang belum, dan apa yang sedang dilakukan.
Perbaiki celahnya. Tutup celah yang ditemukan, perbarui platform ke versi terbaru, tambah lapisan pengamanan. Fore menyatakan sudah melakukan pengujian keamanan, memperbaiki kerentanan yang ditemukan, dan memperbarui platform terkait. Satu catatan: perbaikan yang tidak diuji ulang menyisakan celah yang sama untuk dipakai lagi.
Terakhir, tulis semuanya. Kronologi lengkap, keputusan yang diambil, perubahan yang diterapkan sesudah insiden. Dokumen itu jadi bahan evaluasi, dan bukti bahwa bisnis Anda menanggapi insiden dengan serius.
Enam langkah itu, kalau dirancang menjadi satu sistem kerja lengkap dengan penanggung jawab tiap langkah dan templat pemberitahuan, adalah pekerjaan layanan Konsultasi & Perancangan Sistem: https://tamatech.id/services/konsultasi-perancangan-sistem. Rancangan yang baik menyebut siapa yang dihubungi pertama, di mana bukti disimpan, dan kalimat apa yang dipakai saat memberi tahu pelanggan.
Satu langkah awal untuk pekan ini
Pekan ini, ambil satu sistem yang menyimpan data pelanggan di bisnis Anda. Lalu jawab tiga pertanyaan di atas kertas. Siapa yang pertama dihubungi bila ada aktivitas tidak wajar? Di mana catatan akses sistem itu tersimpan? Kalimat apa yang Anda kirim kepada pelanggan bila data mereka berpotensi terpapar? Jawaban atas tiga pertanyaan itu adalah inti rencana respons insiden. Kalau Anda belum yakin cara mengubah jawaban itu menjadi dokumen yang siap pakai, ceritakan lewat Tanya Tama.
