Epic, perusahaan di balik MyChart yang dipakai lebih dari 320 juta rekam pasien di rumah sakit Amerika Serikat, menghentikan sebagian besar pengembangan produk barunya. Alasannya bukan basa-basi: ada celah yang bisa dipakai orang luar buat mengintip data pasien tanpa jejak sama sekali di log sistem.
Judy Faulkner, pendiri dan CEO Epic, bilang ke Modern Healthcare bahwa jeda ini bakal berlangsung sekitar enam minggu. Ratusan proyek kena pause. Tapi sehari setelahnya, juru bicara Epic malah bilang roadmap perusahaan “tidak berubah” sejak dipresentasikan di acara pengguna Agustus 2026. Dua pesan beda dari satu perusahaan, dalam waktu kurang dari 24 jam.
Apa yang sebenarnya ditemukan
Masalahnya ditemukan lewat Mythos, model keamanan siber dari Anthropic. Menurut laporan yang dikutip TechCrunch, chief security officer Epic, Sterling Martin, bilang ke New York Times bahwa konfigurasi tertentu di MyChart bisa membiarkan pihak luar melihat rekam medis pasien tanpa tercatat di log akses. Nggak ketahuan siapa yang masuk, kapan, dan lihat apa.
Yang belum jelas: apakah celah ini juga memungkinkan data diubah tanpa terdeteksi. Martin sendiri nggak memastikan itu, cuma bilang risikonya cukup besar buat langsung ditambal. Poin ini masih butuh verifikasi lebih lanjut dari Epic.
Epic nggak membuka detail teknis soal konfigurasi mana yang rentan. Wajar sih, kalau detailnya dipublikasikan sebelum tambalan selesai, itu sama saja kasih peta ke orang yang mau nyoba masuk.
Siapa yang kena dampak, dan siapa yang nggak
MyChart dipakai rumah sakit dan klinik di seluruh Amerika Serikat buat mengelola rekam medis elektronik pasiennya. Lebih dari 320 juta rekam ada di sistem ini. Tapi Epic menegaskan mereka sendiri nggak punya akses ke data medis pelanggannya. Tanggung jawab penyimpanan dan keamanan data ada di tangan rumah sakit dan klinik yang memakai software itu.
Artinya, kalau celah ini memang nyata di lapangan, risikonya menyebar ke ratusan institusi yang masing-masing punya konfigurasi sendiri. Bukan satu titik gagal, tapi ribuan titik konfigurasi yang harus diperiksa satu per satu.
Faulkner menyebut jeda ini mencakup “ratusan proyek”, tapi dia juga bilang pekerjaan tetap jalan di beberapa area dengan kecepatan yang lebih lambat. Menurut laporan Fierce Healthcare, juru bicara Epic bilang progres tetap berjalan di fitur AI yang diperluas, platform Agent Factory milik Epic, software bisnis EpicOps, dan pekerjaan interoperabilitas yang dipakai buat mempercepat proses otorisasi sebelumnya (prior authorization).
Jadi gimana, pause total atau cuma perlambatan? Dua kubu komunikasi internal Epic sepertinya belum sepakat soal framing-nya ke publik.
Kenapa ini penting buat pengelola sistem IT kesehatan
Kasus ini jadi pengingat buat siapa pun yang mengelola sistem dengan data sensitif, bukan cuma rumah sakit besar. Celah yang nggak tercatat di log itu masalah serius, karena deteksi insiden biasanya dimulai dari jejak log. Kalau jejaknya kosong, tim keamanan baru tahu ada masalah setelah kerugian sudah terjadi, atau malah nggak tahu sama sekali.
Buat admin VPS atau hosting yang mengelola aplikasi berisi data pelanggan, pelajarannya sederhana. Audit log bukan cuma soal mencatat aktivitas normal, tapi juga memastikan konfigurasi akses nggak punya jalur yang lolos dari pencatatan. Kesalahan konfigurasi semacam ini sering muncul bukan dari bug besar, tapi dari pengaturan izin yang dibiarkan default atau terlalu longgar.
Faulkner sendiri kedengeran agak frustrasi soal siklus ini. Dia bilang khawatir setelah enam minggu kerja keras membenahi sistem, “hal-hal baru akan dibuat oleh pihak yang berusaha membobol software, dan ini jadi siklus tanpa akhir.” Pernyataan itu jujur, dan menurut saya memang begitu kenyataannya di dunia keamanan siber. Nggak ada garis finish permanen.
Dilema klasik: keamanan versus kecepatan rilis fitur
Kasus Epic ini sebenarnya menggambarkan masalah yang dihadapi hampir semua perusahaan software skala besar. Semakin cepat fitur baru digarap, semakin besar juga kemungkinan ada lubang kecil yang kelewat di proses review. Epic bukan startup kemarin sore, mereka sudah jadi pemain utama di software rekam medis selama puluhan tahun. Tapi skala besar nggak otomatis bikin sistem kebal dari kesalahan konfigurasi.
Yang menarik di kasus ini, penemuan celahnya bukan dari tim internal Epic sendiri, melainkan dari model AI milik perusahaan lain, Anthropic. Ini menunjukkan tren yang makin umum: perusahaan teknologi besar mulai memakai model AI pihak ketiga buat audit keamanan silang. Apakah ini berarti proses audit internal Epic kurang menyeluruh? Belum bisa dipastikan, tapi munculnya temuan dari luar biasanya jadi sinyal buat perusahaan mana pun untuk memperkuat proses audit internalnya sendiri.
Faulkner menyinggung soal siklus tanpa akhir dalam keamanan siber, dan itu bukan basa-basi standar CEO. Industri keamanan memang kerja dengan prinsip begitu: begitu satu celah ditambal, ada kemungkinan celah baru muncul dari arah yang berbeda. Bukan karena timnya kurang kompeten, tapi karena permukaan serangan terus berubah seiring fitur baru ditambahkan.
Insiden lain yang mengingatkan skala risikonya
Laporan dari sumber lain menyebut insiden keamanan data kesehatan terbesar tahun 2026 melibatkan DentaQuest, perusahaan asuransi gigi yang terdampak hingga 15 juta peserta. Angka ini belum terverifikasi penuh lewat sumber resmi DentaQuest, tapi kalau benar, itu menunjukkan betapa rentannya rantai data kesehatan secara keseluruhan, bukan cuma di satu penyedia software.
Pola yang muncul di sektor kesehatan digital cenderung sama: data terpusat dalam jumlah besar, diakses oleh banyak institusi dengan standar keamanan yang berbeda-beda, dan nilainya tinggi di pasar gelap karena rekam medis nggak bisa “diganti” seperti nomor kartu kredit yang bisa diblokir lalu diterbitkan ulang.
Belum ada bukti kebocoran, tapi kewaspadaan tetap perlu
Sampai laporan ini ditulis, belum ada pengumuman resmi soal kebocoran data yang terjadi akibat celah ini. Faulkner dan Epic juga belum menyatakan perusahaan mengalami serangan atau pelanggaran aktual. Kalau nanti ada perkembangan baru, termasuk konfirmasi dari Epic soal cakupan celah yang sebenarnya, informasi ini perlu diperbarui.
Buat pasien yang pakai aplikasi MyChart, langkah paling realistis sekarang adalah menunggu pembaruan resmi dari penyedia layanan kesehatan masing-masing. Dan buat pengelola layanan digital di bidang apa pun, kasus ini layak jadi alasan buat memeriksa ulang: siapa saja yang bisa mengakses data penting di sistem Anda, dan apakah semua akses itu benar-benar tercatat?
Sumber & Referensi
- TechCrunch: Medical records giant Epic pauses product development to fix security bugs that risk patients’ data
- MyChart: kebijakan penyimpanan data pasien
Artikel Terkait
- /posts/vps-untuk-ai/
- /posts/panduan-memilih-hosting/
- /posts/armadin-keamanan-agen-ai/