Ultrahuman Konfirmasi Data Wellness Pelanggan Diakses Peretas Lewat Laptop Karyawan
CLB.my.id - Startup kesehatan asal India, Ultrahuman, mengonfirmasi bahwa peretas berhasil mengakses data wellness pelanggan setelah mencuri kredensial seorang karyawan melalui malware. Insiden ini terjadi pada 27 Maret 2026 dan baru diinformasikan kepada pengguna yang terdampak pada awal Juni.
Kronologi Pelanggaran Data
Menurut laporan yang dikonfirmasi Ultrahuman kepada TechCrunch, penyerang berhasil masuk ke sistem internal analytics perusahaan menggunakan login yang dicuri dari laptop karyawan yang terinfeksi malware. Sistem tersebut berisi data wellness pelanggan termasuk detail kontak, riwayat transaksi, dan sebagian data kebugaran terkait penggunaan produk.
Ultrahuman mengklaim sistem keamanan mereka mendeteksi aktivitas mencurigakan dalam hitungan jam. Perusahaan langsung mengambil sistem yang terdampak offline dan mencabut semua akses terkait kredensial yang dikompromikan.
CEO Ultrahuman, Mohit Kumar, menyatakan bahwa sistem alerting keamanan perusahaan mendeteksi insiden dalam hitungan jam dan mereka segera menutup celah keamanan tersebut.
Siapa yang Terdampak?
Berdasarkan angka pengguna aktif bulanan Ultrahuman yang sebelumnya dilaporkan sekitar 700 ribu, estimasi setidaknya 700 pelanggan terkena dampak pelanggaran ini. Perusahaan menyebut sekitar 0,1 persen dari basis pengguna mereka yang datanya diakses oleh pihak tidak berwenang.
Ultrahuman menekankan bahwa tidak ada kata sandi, informasi pembayaran, sistem produksi, maupun perangkat Ultrahuman Ring yang dikompromikan. Penyerang hanya mendapatkan akses read-only ke sistem yang terdampak, yang berarti mereka tidak bisa memodifikasi atau menghapus data.
Namun, Ultrahuman tidak mengungkapkan secara spesifik jenis data wellness apa saja yang termasuk dalam kategori “data kesehatan” yang diakses. Perusahaan juga menolak mengonfirmasi apakah data pelanggan berhasil diunduh atau diekstraksi oleh penyerang.
Langkah Mitigasi
Setelah mengidentifikasi insiden, Ultrahuman mengambil sejumlah langkah remediasi. Perusahaan memperkuat kebijakan kontrol akses di seluruh sistem internal, melakukan review hak akses dengan prinsip least-privilege, memperketat keamanan endpoint di semua perangkat karyawan, dan meningkatkan frekuensi audit akses berkala.
Ultrahuman juga menerapkan deteksi anomali volume ekspor pada sistem internal dan melakukan pemantauan aktif di saluran publik maupun internet untuk mencari bukti publikasi atau penyalahgunaan informasi yang diakses. Hingga saat ini, perusahaan menyatakan belum menemukan bukti penyalahgunaan tersebut.
Konteks Industri
Insiden ini menyoroti bagaimana perusahaan pelacak kesehatan menyimpan data pengguna di server mereka dengan cara yang memungkinkan karyawan, pemerintah, maupun peretas jahat untuk mengakses data kesehatan pelanggan. Ultrahuman yang berbasis di Bengaluru ini dikenal dengan produk smart ring-nya, Ring Air dan Ring Pro, yang bersaing langsung dengan Oura Ring.
Pelanggaran data ini menjadi pengingat penting bagi pengguna perangkat wearable kesehatan bahwa data sensitif mereka tersimpan di server pihak ketiga dan rentan terhadap serangan siber. Pengguna Ultrahuman yang menerima email dari security-2026@ultrahuman.com diminta untuk waspada terhadap upaya phishing yang mungkin mengikuti insiden ini.
