MEDAN, Kamis, 16 Oktober 2025, WIB — Platform percakapan Discord mengumumkan insiden keamanan yang melibatkan penyedia layanan pihak ketiga 5CA. Perusahaan menyebut sekitar 70.000 pengguna terdampak, terutama yang pernah berkomunikasi dengan Customer Support atau Trust & Safety—termasuk mereka yang mengunggah foto identitas untuk banding verifikasi usia. Di sisi lain, 5CA membantah sistemnya diretas dan menyatakan tidak menangani foto identitas pemerintah untuk klien tersebut. Perselisihan versi ini membuat investigasi terus berjalan.
Dalam rilis 3 Oktober 2025, Discord menegaskan insiden bukan berasal dari sistem internal melainkan dari vendor layanan pelanggan. Data yang berpotensi terakses mencakup nama, username, alamat surel, sebagian informasi penagihan, alamat IP, percakapan dengan tim dukungan, serta sebagian kecil foto identitas pemerintah yang dipakai untuk proses banding usia. Perusahaan menyebut akses vendor telah dicabut, pengguna terdampak diberi notifikasi, dan forensik sedang dilakukan bersama pihak berwenang.
Sepekan berselang, pemberitaan internasional menyorot bantahan 5CA. Dalam pernyataan 14 Oktober 2025, perusahaan itu menyebut “tidak diretas” dan mengeklaim tidak menangani foto identitas pemerintah untuk klien terkait. 5CA menambahkan, temuan awal menunjukkan insiden terjadi “di luar sistem” mereka dan saat ini dilakukan audit forensik bersama pakar siber. Sampai berita ini ditulis, kedua pihak belum mempublikasikan rincian teknis final soal di mana tepatnya foto identitas pengguna disimpan dan bagaimana dapat diakses pihak tak berwenang. [Menunggu verifikasi]
Sejumlah kanal keamanan siber menyebut pelaku mengaku dapat mengakses lingkungan dukungan selama kurang lebih 58 jam sebelum diblokir. Klaim pelaku juga membesar-besarkan skala insiden—mengatakan menyalin lebih dari 1,5 TB lampiran tiket dan jutaan foto—namun Discord menyebut angka-angka itu bagian dari upaya pemerasan dan tidak sesuai temuan internal. Pada saat yang sama, media Amerika melaporkan tiga gugatan class action telah didaftarkan di pengadilan federal, menuding kelalaian pengamanan data personal. Status hukum ini masih berjalan dan belum diputus.
“Insiden ini berdampak pada sejumlah terbatas pengguna yang berinteraksi dengan dukungan pelanggan dan/atau Trust & Safety,” demikian ringkasan pernyataan resmi Discord. Sementara pihak 5CA menyatakan: “Tidak ada sistem 5CA yang terlibat dan 5CA tidak menangani identitas pemerintah untuk klien ini.” Kedua pernyataan tersebut menggambarkan ruang abu-abu yang masih perlu dijernihkan oleh audit bersamaan yang tengah berlangsung.
Bagi pengguna di Sumatra, langkah mitigasi praktis penting dilakukan—terutama jika Anda pernah mengirim KTP/paspor untuk banding usia atau berkirim tiket ke dukungan Discord:
- Waspada phising: pelaku bisa memakai nama/username/email Anda untuk mengirim surel palsu. Periksa domain pengirim, jangan klik tautan mencurigakan, dan hindari mengirim ulang foto identitas.
- Aktifkan 2FA dan ganti kata sandi akun surel yang terhubung ke Discord (meski Discord menyebut kata sandi/pesan pribadi tidak terlibat).
- Cek penagihan: pantau kartu/akun pembayaran yang pernah dipakai; bila tampak aktivitas aneh, hubungi penerbit kartu.
- Tinjau sesi & aplikasi terautorisasi di pengaturan akun; cabut yang tidak dikenal.
- Arsip bukti (notifikasi, surel) untuk keperluan pelaporan jika diperlukan.
Sebagai latar, kewajiban verifikasi usia di sejumlah yurisdiksi mendorong platform mengumpulkan bukti identitas untuk sebagian proses banding. Praktik ini memunculkan pertanyaan soal minimisasi data dan rantai pengolahan oleh vendor. Insiden Discord–5CA menjadi studi kasus: ketika proses dukungan melibatkan pihak ketiga, standar kontrol akses dan penyimpanan bukti sensitif (seperti foto KTP/paspor) harus seragam ketat—mulai dari otorisasi, enkripsi, hingga prosedur retention dan deletion.
Ke depan, pengguna menunggu dua hal: hasil audit forensik yang menjelaskan jalur akses dan lokasi penyimpanan foto identitas, serta kejelasan kebijakan pengumpulan dokumen untuk banding usia (apakah dipersempit, dihapus, atau dialihkan ke metode alternatif seperti estimasi usia). Bagi pelaku usaha digital di Sumatra—komunitas server gim, kampus, creator—insiden ini menjadi momentum merapikan tata kelola: siapa yang memegang akses admin, bagaimana prosedur pemulihan, dan edukasi rutin anti-phising bagi anggota.
