Misi Rakyat Kini Mengakui Serangan Siber: Apa Yang Berubah Selepas Analisis Kebocoran Data?

Pada 8 September 2026, aku menerbitkan analisis mengenai dakwaan kebocoran data Misi Rakyat.

Ketika itu, kedudukan faktanya agak jelas:

ada material yang kelihatan serius, tetapi Misi belum mengesahkan bahawa sistem mereka telah dikompromi.

Sehari kemudian, keadaan berubah.

Pada 9 September 2026, Misi Rakyat mengeluarkan kenyataan rasmi yang menyatakan bahawa syarikat mereka kini menjadi sasaran serangan siber berniat jahat.

Ini penting kerana kenyataan itu memberikan konteks baharu kepada beberapa perkara yang aku bincangkan dalam analisis sebelumnya.

Tetapi ia juga menimbulkan beberapa persoalan baharu.

Jadi aku nak buat satu perkara yang lebih penting daripada sekadar mengemaskini artikel lama:

bandingkan apa yang kita tahu sebelum ini dengan apa yang Misi sendiri katakan sekarang.

---

1. Apa yang aku tulis sebelum ini?

Dalam artikel:

"Kebocoran Data Misi Rakyat: Apa Yang Sebenarnya Didedahkan"

aku sengaja tidak memanggilnya sebagai confirmed breach.

Sebab pada masa itu Misi masih menyiasat dakwaan itu.

Material yang tersebar kelihatan sangat menarik dari sudut teknikal.

Sample yang aku semak kelihatan mempunyai struktur seperti:

• customer data
• rider data
• vendor data
• location information
• KYC-related fields
• operational information
• application configuration
• API-related configuration

Malah terdapat configuration material yang merujuk kepada endpoint aplikasi dan beberapa third-party services.

Tetapi aku sengaja membuat distinction antara:

"data yang kelihatan seperti datang daripada sistem Misi"

dan:

"data yang telah dibuktikan diperoleh melalui compromise terhadap production system Misi."

Itu dua perkara yang berbeza.

Dalam artikel itu, aku letakkan status seperti ini:

Itu adalah kedudukan aku pada 8 September.

---

2. Apa yang berubah pada 9 September?

Kenyataan terbaru Misi mengubah satu perkara besar.

Misi sekarang sendiri menyatakan bahawa mereka menjadi sasaran:

"serangan siber berniat jahat"

dan mengatakan pasukan teknikal mereka telah menjalankan siasatan dalaman.

Mereka juga mendakwa telah mengesan corak tindakan pihak berkenaan.

Jadi kita sekarang mempunyai dua lapisan maklumat:

Sebelum ini:

Misi sedang menyiasat dakwaan kebocoran.

Sekarang:

Misi menyatakan mereka telah mengenal pasti aktiviti serangan terhadap syarikat.

Itu adalah perkembangan yang signifikan.

Tetapi ia masih tidak bermaksud setiap claim dalam dataset yang tersebar telah disahkan.

---

3. Jadi adakah artikel lama aku salah?

Tidak.

Malah, aku rasa distinction dalam artikel lama itu menjadi lebih penting selepas kenyataan baharu ini keluar.

Artikel lama tidak mengatakan:

"Misi tidak kena hack."

Artikel lama mengatakan:

kita belum mempunyai bukti awam yang cukup untuk menentukan bagaimana data itu diperoleh.

Itu masih merupakan perkara yang berbeza daripada kenyataan Misi hari ini.

Misi kini mengesahkan kewujudan serangan berdasarkan siasatan dalaman mereka.

Tetapi masih ada persoalan:

Adakah serangan itu merupakan sumber dataset yang tersebar?

Itu belum dijawab secara terbuka.

Dan ini mungkin soalan paling penting dalam keseluruhan cerita.

---

4. Serangan siber tidak semestinya sama dengan data breach

Ini distinction yang ramai orang terlepas.

Contohnya:

Attacker
   |
   v
Scanning
   |
   v
Exploit attempt
   |
   v
Blocked

Ini boleh menjadi cyberattack tanpa menjadi personal-data breach.

Tetapi:

Attacker
   |
   v
Unauthorized access
   |
   v
Personal data accessed
   |
   v
Data exfiltrated

Ini sudah menjadi cerita yang berbeza.

Sebab itu aku tidak akan menggunakan perkataan "confirmed data breach" hanya berdasarkan perkataan "cyberattack".

Misi perlu menunjukkan bahawa data peribadi memang telah diakses, hilang, dicuri atau didedahkan tanpa kebenaran sebelum kita boleh membuat kesimpulan yang lebih spesifik mengenai personal-data breach.

---

5. Bagaimana pula dengan .env dan API key yang aku bincangkan?

Ini antara bahagian paling menarik.

Dalam material yang aku analisis sebelum ini terdapat configuration yang kelihatan merujuk kepada aplikasi Misi, termasuk endpoint dan credential-like values.

Artikel lama aku sudah memberi warning bahawa:

kewujudan API key tidak semestinya bermaksud attacker boleh terus masuk ke sistem.

Capability key lebih penting daripada kewujudan key itu sendiri.

Contohnya kita perlu tahu:

Still active?
Scope?
Read?
Write?
Delete?
Production?
Test?
IP restricted?

Kenyataan baharu Misi sekarang mengatakan bahawa:

kesemua API key dan konfigurasi berkaitan versi lama telah dikemas kini dan tidak lagi boleh digunakan untuk mencapai sistem mereka.

Ini adalah response yang masuk akal dari perspektif incident response.

Kalau credential memang exposed, rotation dan revocation memang antara tindakan yang sepatutnya dilakukan.

Tetapi ada satu perkara yang perlu dipisahkan:

credential rotation menjawab risiko credential itu.

Ia tidak semestinya menjawab:

bagaimana dataset itu boleh diperoleh pada asalnya.

---

6. "Versi aplikasi lama" adalah satu perkara yang perlu diperhatikan

Misi juga menyatakan bahawa versi aplikasi yang dianalisis adalah versi lama.

Jika benar, ini memang penting.

Satu application binary lama boleh mengandungi:

old API endpoint
old API key
old configuration
old authentication flow
old third-party integration
old application logic

Jika semua itu sudah tidak digunakan, impact terhadap production semasa mungkin jauh lebih rendah.

Tetapi reverse engineering terhadap versi lama masih boleh mempunyai nilai.

Sebab code lama boleh mendedahkan:

• architecture
• endpoint structure
• authentication assumptions
• naming conventions
• backend behaviour
• third-party integrations
• historical credentials

Jadi "versi lama" tidak secara automatik bermaksud:

"analysis itu tidak relevan."

Ia cuma bermaksud kita perlu berhati-hati untuk tidak menganggap semua yang ditemui dalam binary lama masih aktif pada production.

---

7. Misi juga menafikan implikasi bahawa sistem mereka kini boleh diakses

Ini sebenarnya selari dengan apa yang aku tulis sebelum ini.

Dalam artikel lama, aku sendiri tidak mengatakan:

"API key itu masih aktif."

Aku letakkan status:

Production secret masih valid — tidak diketahui.

Sekarang Misi memberikan jawapan mereka:

credential dan konfigurasi itu telah dikemas kini dan tidak lagi boleh digunakan.

Jadi pada point ini, kita boleh mengemaskini status:

Ini jauh lebih tepat daripada mengatakan:

"API key bocor, jadi hacker boleh masuk."

Kita tidak mempunyai bukti untuk claim itu.

---

8. Tetapi ada satu benda yang aku masih persoalkan

Misi mengatakan:

"Pihak tersebut menggunakan VPS bagi menyembunyikan identiti sebenar."

Secara teknikal, penggunaan VPS memang boleh digunakan untuk menyembunyikan sumber sebenar sesuatu aktiviti.

Tetapi VPS sendiri bukan bukti niat jahat.

VPS digunakan oleh:

• attacker
• security researcher
• penetration tester
• developer
• automation system
• crawler
• CI/CD infrastructure

Jadi yang lebih menarik sebenarnya ialah:

apa yang dilakukan dari VPS itu?

Kalau Misi mempunyai:

source IP
timestamps
request logs
user-agent
attack paths
authentication attempts
payloads
exploit signatures
correlation data

itu jauh lebih kuat sebagai evidence berbanding sekadar:

"dia menggunakan VPS."

---

9. Begitu juga dengan dakwaan motif

Misi mengatakan mereka percaya tujuan serangan tersebut bukan untuk menjual data tetapi untuk menjatuhkan reputasi syarikat.

Mungkin benar.

Tetapi ini adalah assessment terhadap motive, bukan sesuatu yang boleh disahkan hanya melalui dataset.

Dalam forensic investigation, aku lebih selesa memisahkan:

Observed behaviour
        |
        v
Technical evidence
        |
        v
Attribution
        |
        v
Motive

Semakin ke bawah, semakin banyak evidence diperlukan.

Kita boleh nampak attack behaviour tanpa mengetahui siapa attacker.

Kita boleh identify infrastructure tanpa mengetahui siapa operatornya.

Dan kita boleh identify operator tanpa semestinya mengetahui motive sebenar.

Jadi bahagian motive masih patut dianggap sebagai assessment Misi.

---

10. Website yang dikatakan mencurigakan juga perlu dibezakan

Misi memberi amaran kepada pengguna supaya tidak memasukkan maklumat peribadi ke laman web yang dikatakan tidak mempunyai kaitan dengan Misi.

Nasihat kepada pengguna itu wajar.

Tetapi status "tidak dikawal selia oleh mana-mana pihak berkuasa" bukan dengan sendirinya bukti bahawa sesuatu laman web itu malicious.

Yang lebih penting ialah behaviour laman tersebut.

Contohnya:

Minta password Misi
Minta OTP
Minta nombor kad
Minta IC
Minta payment information
Hantar credentials kepada domain lain

Itu adalah evidence yang jauh lebih kuat.

---

11. Bagaimana pula dengan sejarah Misi pada 2023?

Ini bukan perkara baru.

Pada Julai 2023, JPDP memang membuka siasatan terhadap dakwaan insiden ketirisan data peribadi Misi Rakyat (The Sun, The Star).

JPDP ketika itu berkata ia menerima laporan daripada MyCERT pada 4 Julai 2023, menghubungi Bangsa Bertauhid Sdn. Bhd. untuk mendapatkan pengesahan dan sample data, serta mengarahkan syarikat menjalankan siasatan dalaman dan melengkapkan borang Data Breach Notification.

Pengasas Misi Rakyat juga dipanggil untuk prosedur rakaman percakapan, manakala JPDP bekerjasama dengan CyberSecurity Malaysia dalam siasatan.

Jadi apabila kita bercakap mengenai isu 2026, historical context ini memang relevan.

Tetapi aku tidak akan membuat lompatan bahawa:

"2026 adalah kesinambungan breach 2023."

Setakat evidence yang tersedia, kita belum mempunyai bukti untuk menghubungkan kedua-duanya.

Ini boleh jadi:

2023 incident
      |
      X
      |
2026 incident

atau:

2023 incident
      |
      ?
      |
2026 incident

Hubungan itu perlu dibuktikan, bukan diasumsikan.

---

12. Apa yang menarik tentang kenyataan Misi dari sudut incident response?

Sebenarnya banyak perkara dalam kenyataan itu adalah apa yang kita mahu lihat daripada organisasi selepas insiden.

Misi menyatakan mereka telah:

• mengetatkan access control;
• menilai semula dan mengemas kini credentials;
• memperkukuh encryption;
• meningkatkan security monitoring;
• menyiasat aktiviti mencurigakan;
• memelihara bukti;
• bekerjasama dengan pihak berkuasa;
• memulakan proses pemberitahuan kepada JPDP.

Ini semua adalah signal bahawa mereka telah bergerak daripada sekadar "menafikan leak" kepada incident response.

Tetapi sekali lagi, ini adalah berdasarkan kenyataan Misi sendiri.

Ia bukan independent forensic validation.

---

13. Bahagian JPDP pula penting

Kenyataan Misi bahawa mereka melaksanakan proses pemberitahuan kepada JPDP juga mempunyai konteks undang-undang yang jelas.

JPDP kini mempunyai mekanisme rasmi Data Breach Notification.

Borang DBN JPDP sendiri meminta organisasi menyatakan antara lain:

• bila breach disedari;
• bagaimana ia dikesan;
• sama ada data telah diakses tanpa kebenaran;
• sama ada data dieksfiltrasi;
• punca yang disyaki;
• sistem yang terlibat;
• kategori data yang terjejas;
• jumlah data subjects;
• risiko kepada data subjects;
• tindakan containment dan recovery.

Borang tersebut juga menyatakan notification baharu perlu dikemukakan dalam tempoh 72 jam selepas organisasi menyedari personal-data breach, jika berkenaan.

Ini bermaksud tindakan kepada JPDP bukan sekadar "public relations statement".

Jika incident tersebut memenuhi kriteria DBN, ia adalah sebahagian daripada proses regulatory response.

---

14. Jadi apa sebenarnya hubungan antara artikel lama dengan kenyataan baharu?

Pada pandangan aku, relationship dia lebih kurang begini:

8 Sep 2026
Dakwaan data leak
        |
        v
Sample data + configuration
        |
        v
HEJES technical analysis
        |
        v
"Serius, tetapi belum confirmed"
        |
        v
9 Sep 2026
Misi keluarkan kenyataan
        |
        +--> mengesahkan serangan siber
        |
        +--> dakwa attacker menggunakan VPS
        |
        +--> dakwa evidence telah dipelihara
        |
        +--> kata versi aplikasi dianalisis adalah lama
        |
        +--> kata keys/config telah dirotasi
        |
        +--> kata tiada suspicious activity dikesan
        |
        +--> maklumkan proses kepada JPDP

Jadi kenyataan terbaru mengurangkan satu tahap ketidakpastian:

Adakah Misi sendiri menganggap terdapat malicious cyber activity?

Jawapannya sekarang: ya.

Tetapi ia masih tidak menjawab semua soalan:

Adakah dataset yang tersebar itu genuine sepenuhnya?

Dari sistem mana dataset itu diperoleh?

Adakah production database dieksfiltrasi?

Bilakah data itu diperoleh?

Adakah data 2026 mempunyai hubungan dengan incident 2023?

Adakah credential yang ditemui dalam material pernah digunakan oleh attacker?

Apakah attack vector sebenar?

Soalan-soalan itu masih terbuka.

---

15. Apa yang aku akan ubah dalam artikel lama?

Sebenarnya aku tidak akan rewrite artikel lama secara besar-besaran.

Aku akan kekalkan kerana ia mencerminkan evidence state pada 8 September.

Sebaliknya, artikel lama patut mendapat update note:

Update — 9 September 2026: Misi Rakyat kini telah mengeluarkan kenyataan rasmi yang mengklasifikasikan aktiviti tersebut sebagai serangan siber berniat jahat dan menyatakan bahawa siasatan dalaman telah mengenal pasti corak tindakan pihak berkenaan. Misi juga menyatakan bahawa aplikasi yang dianalisis merupakan versi lama dan credential/configuration berkaitan telah dikemas kini. Kenyataan ini mengubah status sebahagian fakta daripada "Misi masih menyiasat" kepada "Misi mengesahkan kewujudan malicious cyber activity", tetapi ia belum secara terbuka mengesahkan bahawa keseluruhan dataset yang tersebar diperoleh melalui compromise terhadap production database.

Ini penting untuk historical accuracy.

Artikel lama ialah snapshot.

Artikel baru ialah update.

---

16. Kesimpulan aku

Aku rasa perkembangan paling menarik dalam kes ini bukan:

"Misi kena hack."

Itu terlalu simplistik.

Perkara yang lebih menarik ialah jurang antara tiga perkara:

Apa yang tersebar
        +
Apa yang dapat dianalisis secara teknikal
        +
Apa yang organisasi sendiri sahkan

Pada 8 September, ketiga-tiganya belum bertemu.

Pada 9 September, Misi telah mengesahkan bahawa mereka menjadi sasaran serangan siber.

Tetapi masih belum ada public evidence yang cukup untuk kita mengatakan dengan pasti:

"Dataset yang tersebar itu diperoleh melalui compromise terhadap production database Misi."

Itulah garis yang aku masih tidak mahu lintasi tanpa evidence.

Dan pada aku, itu bukan bermaksud meragui Misi.

Itu cuma bermaksud security analysis perlu membezakan claim, evidence dan conclusion.

Misi berhak memberikan versi mereka.

Researcher pula berhak menguji claim tersebut.

Dan pembaca berhak tahu yang mana satu:

disahkan, didakwa, diperhatikan, atau masih belum diketahui.

Itu sebenarnya keseluruhan point artikel aku sejak awal.

Bukan untuk "menjatuhkan Misi".

Bukan juga untuk mempertahankan Misi.

Tetapi untuk memahami apa yang sebenarnya berlaku.

Nota sumber

• Kenyataan rasmi Misi Rakyat, 9 September 2026 — sumber primer yang diberikan untuk analisis ini (dakwanya dilaporkan sebagai atribusi; tiada URL awam ketika penulisan).
• Analisis HEJES terdahulu: "Kebocoran Data Misi Rakyat: Apa Yang Sebenarnya Didedahkan".
• The Sun dan The Star melaporkan siasatan JPDP 2023 terhadap dakwaan ketirisan data Misi Rakyat.
• Garis Panduan DBN JPDP (kriteria notifikasi, tempoh 72 jam, borang dan proses DBN).

Sumber

• HEJES.MY: Kebocoran Data Misi Rakyat: Apa Yang Sebenarnya Didedahkan
• The Sun Malaysia: JPDP investigating alleged hacking of Misi Rakyat website
• The Star: JPDP to investigate alleged hacking incident on local Misi Rakyat website
• PDPC Malaysia: Garis Panduan Pemberitahuan Pelanggaran Data (DBN)