Serangan Siber SmartHRMS: Apa yang Terganggu dan Apa yang Belum Diketahui?

Yang terganggu adalah sistem sumber daya manusia (SDM) dan penggajian SmartHRMS yang disediakan Avelogic, bukan penyelenggaraan layanan keagamaan MUIS—Majlis Ugama Islam Singapura—atau layanan yang berhadapan langsung dengan masyarakat. Untuk pegawai yang terdampak, MUIS menyiapkan mekanisme pembayaran gaji alternatif sembari Avelogic menyelidiki insiden dan mengupayakan pemulihan sistem.316

Siapa yang terdampak? Bagaimana dengan gaji pegawai?

Menurut MUIS, pengguna yang terdampak di sektor komunitas mencakup 48 masjid, empat madrasah, Islamic Learning Hub and Management Office (ILHAM), serta Mosque-Madrasah-Wakaf Shared Services (MMWSS). Sistem Avelogic juga digunakan klien di sektor lain. MUIS menyatakan pengaturan alternatif telah disiapkan agar pegawai masjid dan madrasah yang terdampak tetap menerima gaji tepat waktu. MUIS juga menyatakan layanan keagamaan dan layanan untuk masyarakat tidak terganggu.316

Apakah data pegawai dicuri?

Belum dapat dipastikan. Nama, informasi kontak, besaran gaji, dan nomor rekening bank pegawai disebut sebagai data yang mungkin terekspos—bukan data yang telah dipastikan dicuri. Laporan yang tersedia juga belum merinci jumlah orang yang terdampak ataupun informasi apa, jika ada, yang benar-benar disusupi.617

Avelogic menyatakan pemeriksaan forensik independen tidak menemukan bukti pengambilan data dalam jumlah besar pada catatan lalu lintas jaringan Amazon Web Services yang tersedia untuk periode aktivitas penyerang yang terkonfirmasi, yakni 30–31 Agustus 2026. Menurut perusahaan, bagian-bagian data sensitif utama di SmartHRMS juga dilindungi dengan enkripsi pada tingkat aplikasi. Temuan ini menjelaskan batas bukti yang telah diperiksa; temuan tersebut bukan jaminan bahwa tak ada informasi yang diakses atau diambil.7

Apa yang dienkripsi, dan apakah sistem sudah pulih?

Dalam pemberitahuan insidennya, Avelogic menyatakan ransomware mengenkripsi basis data dan cadangan data yang terhubung sehingga akses ke sistem terganggu. Enkripsi oleh penyerang ini berbeda dari enkripsi tingkat aplikasi yang dirancang untuk melindungi bagian data sensitif. MUIS kemudian menyatakan Avelogic telah memulihkan data yang terdampak. Namun, pemulihan data tidak otomatis berarti pelanggan sudah kembali dapat menggunakan SmartHRMS secara penuh.2073

Laporan sebelumnya menyebut 18 September 2026 sebagai target pemulihan. Bukti yang tersedia tidak memastikan SmartHRMS kembali beroperasi pada tanggal itu. MUIS menyatakan penyelidikan dan pemeriksaan keamanan masih berlangsung.1016

Bagaimana status laporan kepada pihak berwenang?

MUIS menyatakan laporan polisi telah dibuat, tidak ada uang tebusan yang dibayarkan, dan Avelogic masih menyelidiki insiden beserta dampaknya yang lebih luas. Pemberitahuan insiden Avelogic juga mencantumkan pelaporan kepada Personal Data Protection Commission (PDPC), otoritas perlindungan data pribadi Singapura. Bukti yang tersedia belum menunjukkan hasil penyelidikan polisi ataupun status dan temuan dari kemungkinan penyelidikan terpisah oleh PDPC.320