Lembaga yang tugasnya memburu peretas justru kebobolan. FBI dilaporkan menyatakan "insiden keamanan siber" setelah peretas mencuri data pribadi para agennya — termasuk nomor jaminan sosial — lewat portal lowongan kerja biro tersebut.
Kabar ini pertama kali dilaporkan jurnalis Ken Dilanian dari MS Now pada akhir pekan 26 September 2026, kemudian dikuatkan TechCrunch dua hari berselang. Menurut laporan itu, FBI mengirim notifikasi internal kepada para agen dan staf pendukung yang menyatakan biro telah mendeklarasikan "insiden keamanan siber" terkait peretasan portal FBIJobs.gov. Data yang terekspos meliputi nama, alamat, jabatan, dan nomor jaminan sosial karyawan.
Sejumlah media kemudian mengonfirmasi sebagian data curian itu mencakup informasi medis — termasuk catatan sampel darah dan urine serta laporan psikiatri. Bagi lembaga intelijen penegak hukum, ini bukan sekadar kebocoran data biasa: informasi semacam itu adalah bahan pemerasan yang sempurna.
FBI sendiri belum mengonfirmasi secara publik beyond pernyataan pekan sebelumnya bahwa mereka mengetahui klaim serangan siber oleh sebuah kelompok peretas, tetapi pencurian datanya "masih belum dapat dipastikan". Deklarasi insiden internal yang dilaporkan Dilanian menjadi pengakuan pertama bahwa data personel memang telah diambil.
Celah di server lama
Kelompok peretas yang menamakan diri ShinyHunters mengaku kepada TechCrunch memiliki data "hampir seluruh FBI" plus sejumlah besar informasi pelamar yang mendaftar lewat portal tersebut. Menurut pengakuan mereka, jalan masuknya adalah kerentanan pada server Oracle PeopleSoft — perangkat lunak SDM lawas yang menyimpan segunung informasi kepegawaian para agen dan mantan karyawan yang pernah melamar lewat portal itu.
Ironisnya, ini bukan penampilan pertama ShinyHunters di pemberitaan. Kelompok ini sudah lama dikenal sebagai pembobol basis data perusahaan, dan FBI sendiri pernah merilis laporan tentang aktivitas mereka. Server PeopleSoft yang dieksploitasi adalah contoh klasik masalah keamanan siber di instansi besar: sistem warisan yang terus berjalan karena "masih berfungsi", padahal tambalannya tertinggal bertahun-tahun.
Peretas tak minta tebusan
Bagian paling janggal dari kasus ini adalah motifnya. Kepada TechCrunch, para peretas mengaku tidak mengincar uang tebusan. Tuntutan mereka: FBI harus mengoreksi laporan yang pernah diterbitkan biro tentang aktivitas kelompok tersebut, yang menurut mereka memelintir fakta.
Jika klaim itu benar, insiden ini bukan kejahatan siber bermotif uang, melainkan aksi unjuk rasa bersenjata data curian — dengan data pribadi ribuan agen federal sebagai sandera. Taktik semacam ini menempatkan FBI pada posisi mustahil: memenuhi tuntutan berarti tunduk pada pemerasan, menolaknya berarti membiarkan data anak buahnya beredar.
Bukan satu-satunya: pekan berdarah data
Kasus FBI hanyalah puncak gunung es dalam dua pekan terakhir. Perusahaan verifikasi identitas IDScan mengonfirmasi kebocoran lebih dari 150 juta SIM pada awal September, memicu penyelidikan FBI. Di Jepang, layanan berbagi mobil Times Car mengakui 6,6 juta akun penggunanya dibobol — termasuk foto SIM dan kata sandi — setelah penyerang berdiam di sistemnya nyaris sebulan.
Penyiar publik Swiss SRG SSR melaporkan serangan siber yang mengekspos data sekitar 340 karyawan, sementara firma keamanan UpGuard menemukan sekitar 16.000 basis data pelanggan Supabase — platform populer untuk aplikasi "vibe coding" — terekspos begitu saja ke internet, berisi nama, alamat, nomor telepon, hingga kata sandi.
Polanya mengkhawatirkan: dari lembaga intelijen hingga aplikasi buatan AI, titik lemahnya sama — konfigurasi yang lalai dan sistem lama yang tak ditambal. Para penyerang tidak lagi butuh teknik canggih; mereka cukup mengetuk pintu yang lupa dikunci.
Yang jelas, kepercayaan publik terhadap keamanan data pemerintah kembali terkikis. Setiap kebocoran seperti ini memperlebar jarak antara klaim keamanan siber negara dan kenyataan di lapangan — dan menuntut jawaban yang lebih transparan daripada sekadar pernyataan "sedang diselidiki".
Bagi organisasi mana pun, pelajarannya sama: inventarisasi sistem lama, tambal celah yang diketahui, dan perlakukan data karyawan sama seriusnya dengan data pelanggan. Karena begitu bocor, tidak ada pernyataan pers yang bisa mengembalikannya. Audit keamanan berkala bukan lagi pilihan, melainkan kebutuhan mendesak.
