Ketika gelombang aktivitas tak biasa menerpa akun-akun resmi pemerintah Suriah di platform X pada Maret lalu, pada awalnya tampak seperti kekacauan belaka—trolling, nama parodi, bahkan konten eksplisit. Namun di balik keributan itu tersembunyi sesuatu yang jauh lebih bermakna: sebuah negara yang masih bergulat dengan lapisan paling dasar dari keamanan sibernnya.
Awal Maret, sejumlah akun resmi pemerintah Suriah di X—termasuk yang terkait dengan Sekretariat Jenderal kepresidenan, Bank Sentral, dan berbagai kementrian—diretas. Profil-profil yang dikompromikan itu memposting pesan “Kemuliaan bagi Israel,” meretweet materi eksplisit, dan sebentar mengganti nama mereka menjadi nama para pemimpin Israel.
Otoritas bergerak memulihkan kendali dalam hitungan hari, dengan Kementerian Komunikasi dan Teknologi Informasi mengumumkan “langkah-langkah darurat” untuk merebut kembali akun-akun tersebut dan mencegah pelanggaran lebih lanjut. Namun yang tetap menggantung adalah pertanyaan yang lebih mendalam: Seberapa amankah pintu depan digital negara itu?
Dalam sebuah pemerintah yang kini bergantung pada platform komersial untuk komunikasi, kehilangan akun terverifikasi tidak hanya mengganggu penyampaian pesan—itu membungkam suara negara.
Saat Negara Berhenti Bicara Atas Namanya Sendiri
Pada pandangan pertama, peretasan ini tampak bermuatan politik. Pesan-pesan pro-Israel yang beredar di akun-akun pemerintah terverifikasi di tengah momen regional yang tegang memicu spekulasi soal motif dan atribusi. Tidak ada kelompok yang mengaku bertanggung jawab, dan pejabat tidak menjelaskan apakah sistem internal mereka turut dikompromikan.
Bagi para analis, insiden ini lebih mengarah pada kelemahan sistemik yang familiar, ketimbang peretasan yang digerakkan geopolitik.
“Kami masih belum tahu persis apa yang terjadi. Entah akun-akun itu diretas langsung atau diakses melalui kredensial yang lemah atau digunakan ulang, kesimpulannya kurang lebih sama: praktik keamanan digital yang sangat buruk,” kata Noura Aljizawi, peneliti senior di Citizen Lab, organisasi riset yang memantau ancaman terhadap masyarakat sipil di era digital.
Kementerian menyatakan telah berkoordinasi dengan administrator akun dan X untuk “memulihkan kendali dan memperkuat keamanan,” dengan janji akan menerapkan langkah-langkah regulasi baru segera. Pelaku di balik serangan ini belum diidentifikasi secara publik.
Satu Mata Rantai Lemah, Banyak Akun Terancam
Sebelum akun-akun itu dipulihkan, beberapa menampilkan pesan pro-Israel yang identik—sebuah detail yang mengisyaratkan kredensial bersama atau akses terpusat, menurut data pemantauan platform.
Penilaian itu bergema di seluruh komunitas keamanan siber.
“Fakta bahwa beberapa akun X resmi tampak jatuh secara berurutan dan cepat menunjukkan semacam kontrol terpusat, kemungkinan dengan kredensial sama yang digunakan di banyak akun,” kata Muhannad Abo Hajia, pakar keamanan siber di grup Sanad yang berbasis di Damaskus. “Pengaturan semacam itu tidak secara inheren salah, tetapi hanya jika pengamanan yang tepat diterapkan.”
Para ahli menyatakan pola ini konsisten dengan kegagalan umum: penggunaan ulang kata sandi, upaya phishing, saluran pemulihan yang dikompromikan, atau tidak adanya autentikasi multifaktor (MFA). Dalam praktiknya, satu kata sandi yang ceroboh atau satu email pemulihan yang dikompromikan dapat memberi pihak luar kendali atas banyak institusi sekaligus.
“Pengambilalihan akun semacam ini cukup umum secara global dan biasanya akibat kerentananyang sudah dikenal: phishing, penggunaan ulang kata sandi, email pemulihan yang dikompromikan, kredensial lemah, atau absennya MFA,” jelas Rinad Bouhadir, insinyur keamanan siber yang melacak kawasan ini.
Sistem yang Dibangun di Atas Fondasi Rapuh
Menurut para spesialis, peretasan ini mencerminkan bukan serangan siber yang ditargetkan, melainkan cacat struktural yang lebih dalam.
“Otoritas saat ini mewarisi sistem keamanan siber yang hampir tidak ada dan belum menjadikan perbaikannya sebagai prioritas nyata,” ujar Dlshad Othman, spesialis keamanan siber asal Suriah.
Dia meyakini insiden ini kemungkinan bersumber dari unit terpusat yang mengelola beberapa akun resmi atau alat pihak ketiga yang digunakan bersama di berbagai kementerian—keduanya menciptakan titik kegagalan tunggal.
Desain semacam itu membuat banyak lembaga rentan sekaligus. Di momen ketegangan yang meningkat, bahkan satu postingan palsu dari akun pemerintah terverifikasi dapat memicu kepanikan, pelaporan yang salah, atau eskalasi sebelum dikoreksi.
Sebuah akun pemerintah terverifikasi dapat dijadikan senjata untuk menyebarkan informasi palsu secara real-time, terutama selama periode eskalasi regional, ketika kebingungan membawa risiko nyata yang langsung terasa.