Dugaan peretasan terhadap sistem data wajib pajak Indonesia kembali mencuat di media sosial. Viral sebuah akun di forum Dark Web menawarkan akses masuk untuk memperoleh puluhan juta data perpajakan milik Coretax Direktorat Jenderal Pajak atau DJP. Peretas menjualnya sekitar Rp 63 juta.
Kabar ini pertama kali mencuat melalui unggahan Threads dari akun @hakahaki.id pada Sabtu (7/11/2026). Dalam tangkapan layar yang beredar, akun yang menjual data tersebut berasal dari peretas yang mengatasnamakan Marlanwg.
Marlanwg mengklaim berhasil meretas 10.490.677 catatan pelaporan surat pemberitahuan (SPT) pajak tahunan dari 8.418.148 pemilik nomor pokok wajib pajak (NPWP) unik. Peretas juga mengklaim memiliki akses ke jaringan internal dan sejumlah sistem milik DJP.
Di antaranya akses terhadap 23.214 data kasus pengembalian pajak pertambahan nilai (PPN). Data ini disebut mencakup nama, nomor paspor, informasi rekening bank, serta 17.124 foto tanda terima.
Tak berhenti di situ. Peretas menawarkan akses masuk ke sistem pencadangan data, integrasi antarsistem, basis data Oracle, hingga sistem pengelolaan infrastruktur teknologi informasi DJP.
Peretas juga menawarkan bebas akses sistem verifikasi Direktorat Jenderal Kependudukan dan Pencatatan Sipil (Dukcapil) yang memiliki sejumlah informasi pribadi penduduk.
Terhitung unggahan penjualan data perpajakan ini sudah dibuat sejak Sabtu (31/10/2026), seminggu sebelum ramai dibicarakan di media sosial. Harga akses menuju data pajak ini dibandrol 3.500 dolar AS atau setara Rp 63 juta, dengan asumsi kurs Rp 18.000 per dolar AS.
Meskipun begitu, informasi terkait aksi peretasan dan penjualan akses terhadap data wajib pajak ini belum terverifikasi secara independen keaslian dan kebenarannya. Informasi tersebut hanya sebatas klaim yang disampaikan peretas dalam forum situs Dark Web.
Kompas telah mencoba menghubungi Direktur Jenderal Pajak Kementerian Keuangan (Kemenkeu) Bimo Wijayanto dan Direktur Penyuluhan, Pelayanan, dan Hubungan Masyarakat DJP, Inge Diana Rismawanti untuk meminta keterangan terkait soal ini. Namun, hingga Minggu (8/11/2026) pukul 19.00 WIB, keduanya belum memberikan respons.
Sementara dua bulan silam, data Coretax diisukan bocor. Informasi tersebut datang dari unggahan di platform X oleh @DailyDarkWeb pada Sabtu (19/9/2026). Dikabarkan, kata sandi dan token autentikasi berhasil dibobol.
Data yang diduga bocor meliputi nama dan ID pengguna, NPWP, alamat surel, nomor telepon, alamat fisik, kata sandi, alamat IP, informasi login terakhir, token otentifikasi, token ”ingat-saya”, serta cap waktu pembuatan dan pembaruan akun. Namun, isu tersebut kembali ditepis oleh pihak DJP.
Mundur ke belakang lagi, September 2024, muncul dugaan bocornya jutaan data wajib pajak. Saat itu, peretas atas nama Bjorka yang mengklaimnya.
Awalnya, informasi ini menyebar dari akun media sosial X @secgron milik pengamat keamanan siber Teguh Aprianto, (18/9/2024). Dalam unggahannya, akun ini menyebutkan, 6 juta data NPWP diperjualbelikan di situs terbuka forum jual-beli data siber seharga 10.000 dolar AS atau sekitar Rp 150 juta dengan asumsi kurs saat itu Rp 15.000 per dolar AS.
Data yang diklaim bocor itu antara lain nomor induk kependudukan (NIK), NPWP, alamat, nomor telepon seluler, alamat surat elektronik (surel), status wajib pajak, serta asal kantor pelayanan pajaknya.
Sebanyak 6.663.379 data sampel bocor dengan ukuran data mencapai 2 gigabita dan terkompresi menjadi 500 megabita. Data sejumlah pejabat dan petinggi negara juga ikut dibocorkan dalam sampel yang diberikan peretas.
Namun, belum sampai 24 jam, unggahan klaim data pajak para pejabat yang bocor itu dihapus. Entah ini karena data tersebut sudah dibeli pihak tertentu atau memang diturunkan.
Direktur Penyuluhan, Pelayanan, dan Hubungan Masyarakat DJP Kemenkeu kala itu, Dwi Astuti, mengatakan, dari hasil penelusuran, DJP membantah adanya kebocoran data yang terjadi pada sistem mereka. Ia menyampaikan, datalog access dalam enam tahun terakhir menunjukkan tidak adanya indikasi yang mengarah pada kebocoran data langsung dari sistem informasi DJP.
Chairman Communication and Information System Security Research Center (CISSReC), Pratama Dahlian Persadha, berpendapat, klaim kasus terakhir itu menyangkut salah satu basis data paling sensitif yang dimiliki negara, yakni Coretax.
Coretax merupakan sistem inti administrasi perpajakan yang mengintegrasikan berbagai proses, mulai dari pendaftaran wajib pajak, pelaporan SPT, pembayaran, hingga pemeriksaan dan penagihan pajak.
Mengacu pada unggahan dalam situs Dark Web yang menyebut penggunaan zero-day exploit, Pratama melanjutkan, Marlanwg melakukan Remote Code Execution (RCE), mendapatkan akses tingkat administrator (root), kemudian melakukan internal network pivoting hingga mampu mengekstraksi data dalam jumlah besar.
Jika Marlanwg benar, ada kemungkinan beberapa lapisan pengamanan infrastruktur DJP berhasil dibobol. Menurut Pratama, kombinasi antara akses root dan internal network pivoting akan berpotensi menjadi jalan mudah untuk menembus sistem lain dalam jaringan internal.
Dengan demikian, ada masalah yang lebih mendasar pada arsitektur keamaan dan mekanisme pertahanan berlapis. Ia beranggapan, sistem pengamanan tidak lagi cukup dengan mengandalkan firewall, antivirus, atau perangkat keamanan lainnya.
”Dalam keamanan siber, yang jauh lebih penting adalah kemampuan mendeteksi serangan, membatasi pergerakan pelaku, dan mencegah satu titik kompromi berkembang menjadi penguasaan seluruh infrastruktur. Jangan sampai satu server berhasil ditembus, kemudian pelaku dapat bergerak bebas menuju basis data yang menyimpan jutaan informasi sensitif masyarakat,” ujar Pratama.
Pandangan lain dikemukakan oleh ahli forensik digital, Ruby Alamsyah. Ia menilai klaim unggahan di forum Dark Web itu perlu dipastikan kebenarannya. Sebab, umumnya seseorang yang betul memiliki akses akan menjualnya dengan harga yang lebih mahal.
Di sisi lain, jika hanya menyoal penjualan akses, pihak DJP dapat dengan mudah mengganti kata sandi atau mematikan server dan sistem yang diduga diretas. Jika pelaku menyebutkan server Coretax DJP, maka seharusnya admin Coretax sudah langsung mengamankan servernya. ”Jadi, kemungkinannya cukup kecil bahwa data sudah benar-benar bocor, karena ini baru berupa penjualan akses,” katanya.
Ruby mengingatkan, tidak ada yang bisa dilakukan oleh masyarakat bila terjadi kebocoran data pribadi di sistem pemerintahan. Tanggung jawab pengamanan sepenuhnya ada pada instansi pemerintah.
”(Teorinya) kebocoran data hari ini bisa menjadi bahan tindak kriminal di kemudian hari. Para penjahat sudah siap membeli data dan mempersiapkan kejahatan mereka. Itu yang harus diwaspadai masyarakat,” ucapnya.
Kepada masyarakat, Ruby menyarankan agar masyarakat menyadari dan mempelajari data apa saja yang bocor. Kesadaran tersebut dibutuhkan untuk lebih berhati-hati dan jangan mudah percaya jika ada yang menghubungi dan mengetahui data pribadi.
Ia mengingatkan, data pribadi masyarakat sebenarnya telah berkali-kali dijual dan dibocorkan. Oleh karena itu, yang paling penting adalah mencoba untuk tidak mudah tergiur dengan modus penipuan.
Klaim peretasan sistem data pajak kali ini muncul saat terjadi serangan siber menyasar Indonesia, 7-8 November 2026. Dashboard FortiGuard Labs, organisasi riset dan intelijen ancaman siber global milik Fortinet, mencatat, 657.000 serangan siber ke Indonesia dalam 24 jam. Intensitas serangan mencapai 8 serangan per detik.
Berdasarkan pemantauan pada Minggu pukul 13.37 WIB, gelombang ancaman ini menyasar berbagai sektor. Sektor perbankan, keuangan, dan asuransi menjadi sasaran utama dengan 262.000 aktivitas serangan. Disusul oleh sektor pemerintahan sebanyak 102.000 aktivitas, serta sektor manufaktur sebanyak 81.000 aktivitas.
Serangan juga menyasar sektor teknologi (47.000), pendidikan (23.000), konstruksi (12.000), transportasi dan logistik (12.000), pertanian (10.000), hingga sektor kesehatan (8.500).
