Anthropic Kabari Pelanggan Bisnis Setelah Firma Keamanan Luar Akses Data Akun
Anthropic mulai mengirim email pemberitahuan kepada pelanggan bisnis pada 7 November 2026 bahwa sebuah perusahaan riset keamanan siber pihak ketiga mengakses informasi kontak dan akun organisasi mereka tanpa izin. Untuk akun Claude enterprise, data yang terpapar mencakup ID akun, ID organisasi, tingkat paket, serta metrik pemakaian dan pengeluaran. Kasus ini menarik karena terhubung dengan uji keamanan yang diumumkan sebulan sebelumnya, ketika agen AI menembus sistem bisnis Anthropic dalam waktu kurang dari 12 jam lewat perangkat lunak pihak ketiga.
Apa Isi Pemberitahuan Anthropic kepada Pelanggan Bisnis?
Pemberitahuan berjudul "Notice Regarding Your Organization's Account Information" menyatakan sebuah perusahaan riset keamanan siber pihak ketiga memperoleh akses tanpa izin ke informasi kontak dan akun bisnis. Menurut kutipan email itu, datanya "was limited to business contact and account information". Email tersebut pertama kali diunggah peneliti keamanan Jamieson O'Reilly di X pada 7 November 2026.
Bagi organisasi dengan akun Claude enterprise, cakupannya lebih luas dari sekadar nama dan alamat email. Notice menyebut "account ID, organization ID, plan tier, usage, and spend metrics" sebagai kolom yang ikut terlihat. Anthropic menegaskan isi percakapan dengan Claude, kata sandi, serta nomor kartu pembayaran dan rekening bank tidak termasuk dalam akses tersebut.
Anthropic mengaku tidak bisa memastikan informasi siapa saja yang benar-benar dilihat. Perusahaan mengirim notice "out of an abundance of caution", sehingga setiap organisasi pelanggan bebas memutuskan apakah akan memberi tahu karyawannya sendiri. Email itu tidak menyebut jumlah organisasi atau orang yang terdampak, dan tidak menyebut nama perusahaan riset yang dimaksud.
Bagaimana Anthropic Menanggapi Akses Itu?
Anthropic menyatakan sudah menonaktifkan akses pihak ketiga begitu mengetahuinya, memperbaiki celah yang ditemukan, lalu membuka investigasi. Perusahaan riset keamanan itu disebut telah menyatakan secara tertulis bahwa data yang diakses sudah dihapus dan tidak akan dipakai. Anthropic mengaku belum menemukan bukti data diubah, dihapus, atau disalahgunakan.
Notice juga memuat satu detail yang tidak dijelaskan lebih jauh. Anthropic melaporkan insiden ini kepada "relevant Korean authorities", otoritas terkait di Korea Selatan, tanpa menyebut alasan pemilihan regulator tersebut. Kalimat itu menjadi satu-satunya petunjuk bahwa ada pelanggan atau data yang terkait yurisdiksi Korea dalam kasus ini.
Email itu menggambarkan pihak ketiga tersebut sedang menjalankan "a security testing exercise on its own initiative", yaitu uji keamanan atas inisiatif sendiri. Frasa ini penting karena membedakan kasus ini dari peretasan kriminal biasa, sekaligus memunculkan pertanyaan lama tentang sejauh mana peneliti boleh menyentuh data nyata ketika menguji sebuah perusahaan.
Apa Hubungannya dengan Uji Cathedral pada Oktober?
Notice tidak menyebut nama firmnya, tetapi deskripsinya cocok dengan insiden yang diungkap The Washington Post pada 26 Oktober 2026. Saat itu Cathedral, startup keamanan yang didirikan empat mantan staf Department of Government Efficiency, mengaku agen AI-nya menemukan jalan ke sistem sales, HR, dan IT Anthropic dalam waktu kurang dari 12 jam.
Menurut laporan Decrypt, jalur masuknya bukan Claude, melainkan perangkat lunak administrasi dan penjualan pihak ketiga yang dipakai banyak perusahaan lain. Cathedral disebut meraih pendanaan 160 juta dolar AS pada valuasi 1,4 miliar dolar AS pada Juli 2026. Sebelumnya, tim itu disebut gagal selama beberapa hari menembus perangkat lunak Anthropic sendiri.
"Our monitoring flagged some of Cathedral's activity before they reported it to us, we shut off their access the same day," kata Anthropic kepada The Washington Post. Perusahaan juga menyebut sistem terdampak hanya memuat kontak bisnis dan catatan akun dasar. Cathedral menulis dalam draf laporannya bahwa akses data "were kept to the absolute minimum in accordance with security research best practices".
Anthropic belum secara terbuka menyatakan bahwa notice terbaru ini menyangkut Cathedral. Kedua pihak juga masih berbeda soal cakupan akses. Draf Cathedral menyebut transkrip rapat, rincian gaji dan tawaran kerja, serta pesan Slack, sedangkan Anthropic hanya mengonfirmasi data kontak dan akun.
Apa Dampaknya bagi Perusahaan Pengguna Claude di Indonesia?
Kasus ini menunjukkan bahwa data pelanggan sebuah laboratorium AI tersimpan di perangkat lunak penjualan, SDM, dan IT biasa, bukan di sistem model. Perusahaan yang memakai layanan AI enterprise perlu menganggap metrik pemakaian, ID organisasi, dan daftar kontak sebagai aset yang ikut dipetakan dalam inventaris risiko vendor, bukan hanya isi prompt.
Bagi perusahaan di Indonesia, pertanyaannya adalah kewajiban hukum. Pasal 46 ayat (1) UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang berlaku sejak 17 Oktober 2022, mewajibkan pengendali data memberi pemberitahuan tertulis dalam 3 x 24 jam kepada subjek data dan lembaga yang berwenang bila terjadi kegagalan pelindungan data pribadi.
Ayat (2) mengatur isi minimal pemberitahuan: data pribadi yang terungkap, kapan dan bagaimana terungkapnya, serta upaya penanganan dan pemulihan. Nama dan email pegawai di dalam daftar kontak bisnis bisa tergolong data pribadi. Departemen hukum dan keamanan informasi sebaiknya menilai apakah notice vendor ini menimbulkan kewajiban turunan.
Belum ada informasi publik apakah organisasi di Indonesia termasuk penerima notice tersebut. Langkah yang masuk akal bagi perusahaan pengguna Claude enterprise adalah memeriksa kotak masuk administrator akun, mencatat tanggal penerimaan, dan menyiapkan rencana komunikasi internal bila notice itu memang sudah masuk.
(Burung Hantu Infratek / Berbagai Sumber)
Foto sampul: ilustrasi dibuat dengan AI, bukan foto produk atau kejadian asli.
⚠️ Berita ini seluruhnya diriset, ditulis, dan dikembangkan dengan bantuan AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Berita Terkait Anthropic
🛡️ Anthropic Tambah Pusat Keamanan dan Hook Inferensi untuk Claude Enterprise
🤖 Check Point Bongkar Agen AI ARTEX yang Curi Sertifikat Apple Dua Minggu
🔥 WorkOS Akui Alat Sales Internalnya Dibobol Agen AI ARTEX
🧠 Apiiro Temukan Ribuan Secret Bocor dari File Izin Claude Code di GitHub
Sumber dan Referensi
[2] AI Agents Found a Way Into Anthropic's Business Systems in Under 12 Hours - Decrypt
[3] Anthropic confirms limited access through third-party software - Cyber Insider
[4] Anthropic notifies customers after unnamed security firm accessed internal systems - RuntimeWire
[6] Undang-undang (UU) Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK