BAGIAN 1: THE HATS (FILOSOFI PERETAS)
Mengurai spektrum moral dan legal di dunia *cybersecurity*.
White Hat
Sering disebut Ethical Hackers atau *Penetration Testers* (Pentesters). Mereka meretas sistem DENGAN IZIN RESMI (Surat Kontrak/RoE) dari pemilik sistem. Tujuannya murni defensif: menemukan celah sebelum ditemukan oleh penjahat, dan melaporkannya untuk diperbaiki.
Black Hat
Dikenal sebagai Crackers atau *Cybercriminals*. Meretas TANPA IZIN dengan motif egois: mencuri data nasabah, memeras (*Ransomware*), merusak reputasi kompetitor, atau menjual kerentanan di *Dark Web*.
Grey Hat
Berada di Area Abu-abu Etika. Mereka memindai atau meretas sistem TANPA IZIN (niatnya iseng atau pamer *skill*), namun tidak merusak. Jika menemukan celah, mereka melaporkannya ke pemilik (terkadang meminta imbalan finansial agar celah tersebut tidak disebar).
BAGIAN 2: PENTESTING PHASES
Metodologi standar industri (CEH/CompTIA) dalam meretas sistem secara terstruktur.
Reconnaissance (Footprinting)
Fase Intelijen. Mengumpulkan informasi sebanyak mungkin tentang target tanpa menyentuh sistem utamanya secara agresif. Ini adalah 80% dari total pekerjaan seorang *hacker*.
Scanning & Enumeration
Kontak langsung dengan target. Memindai jaringan untuk menemukan "Pintu" (Port) yang terbuka dan mengidentifikasi versi sistem operasi atau *software* yang digunakan.
Gaining Access (Exploitation)
Mengeksploitasi kerentanan yang ditemukan di Fase 2 untuk membobol sistem. Ini adalah momen di mana peretas masuk ke dalam *server* atau aplikasi.
Maintaining Access
Setelah berada di dalam, peretas ingin memastikan mereka tidak kehilangan akses jika administrator merestart server. Mereka akan membuat "pintu belakang".
Covering Tracks & Reporting
Di sinilah perbedaan mutlak antara Black Hat dan White Hat.
Menghapus *log file* server agar jejak IP mereka tidak terdeteksi oleh *Digital Forensics* (Modul 10).
Menulis laporan detail (*Vulnerability Report*) yang berisi langkah-langkah eksploitasi dan rekomendasi perbaikan (*patch*) untuk diserahkan ke klien.
BAGIAN 3: RESPONSIBLE DISCLOSURE
Bagaimana melaporkan celah keamanan tanpa diancam penjara.
Sering terjadi kasus di Indonesia di mana seorang mahasiswa IT iseng memindai situs pemerintah/swasta, menemukan celah keamanan, lalu langsung mem-posting *screenshot*-nya di media sosial (X/Twitter) untuk pamer. Alih-alih diberi ucapan terima kasih, mereka malah dijemput Polisi karena dianggap meretas dan mencemarkan nama baik institusi. Inilah pentingnya etika Responsible Disclosure.
Responsible Disclosure
Adalah etika pengungkapan kerentanan secara bertanggung jawab. Praktisi keamanan setuju untuk melaporkan *bug* secara Pribadi (Private) kepada pemilik sistem, dan memberikan waktu yang wajar (biasanya 30-90 hari) bagi perusahaan untuk memperbaiki celah tersebut sebelum detail kerentanannya dipublikasikan ke ranah umum (*Public Disclosure*).
Bug Bounty Programs
Untuk melegalkan pencarian celah oleh komunitas *hacker* global, banyak perusahaan (Google, Gojek, Tokopedia) membuka program Bug Bounty. Mereka secara terbuka memberikan izin (*Legal Safe Harbor*) kepada siapa saja untuk meretas sistem mereka dengan aturan yang ketat (*Rules of Engagement*), dan memberikan hadiah uang (*Bounty*) bagi yang berhasil.
Melakukan Scanning (misal menggunakan *Acunetix* atau *DirBuster*) pada server yang bukan milik Anda, tanpa izin tertulis (*Rules of Engagement/RoE*), dapat ditafsirkan sebagai Akses Ilegal menurut Pasal 30 UU ITE. Tidak ada alasan "Saya kan cuma ngecek keamanannya" di mata hukum jika tidak ada kontrak resmi.
BAGIAN 4: BERKAS KASUS 13
Garis tipis antara Bug Bounty dan Pemerasan (*Extortion*).
ARCHIVE: THE UBER BUG BOUNTY COVER-UP (2016)
Klasifikasi: Data Exfiltration, Extortion, & Corporate Cover-up
> PERINGATAN: Kredensial AWS bocor. Hacker menyedot 57 Juta data *user* dan sopir Uber.
> Komunikasi: Hacker memeras eksekutif Uber sebesar $100,000 agar data tidak dipublikasikan.
> Status: Eksekutif Uber membayar tebusan tersebut dan menyamarkannya sebagai pembayaran "Bug Bounty" resmi melalui HackerOne untuk menutupi kejahatan.
1. The Incident (Kronologi)
Pada 2016, dua *hacker* berhasil menembus server AWS Uber dan mencuri 57 juta data sensitif. Alih-alih melaporkan *bug* sesuai etika (*Responsible Disclosure*), mereka menyedot data (*Data Exfiltration*) dan memeras perusahaan. Kepala Keamanan (CSO) Uber saat itu, Joe Sullivan, memutuskan untuk membayar tebusan $100k dan menyuruh *hacker* menandatangani NDA (Perjanjian Kerahasiaan) agar tutup mulut, lalu menyamarkan pembayaran itu sebagai *reward Bug Bounty*.
2. The Bug (Analisis Etika)
Kasus ini adalah perpaduan **Black Hat Hacking** dan **Tata Kelola TI yang korup**. Sang *hacker* melewati batas *Bug Bounty* karena mencuri data pengguna untuk memeras. Di sisi lain, CSO Uber melanggar etika profesional dan hukum negara karena menggunakan program *Bug Bounty* yang mulia sebagai alat pencucian uang/suap untuk menutupi insiden kebocoran data dari mata publik dan regulator (*Cover-up*).
3. The Law (Jerat Hukum)
Di Amerika Serikat, CSO Uber divonis bersalah secara pidana federal karena "Menghalangi Keadilan" (*Obstruction of Justice*). Jika terjadi di Indonesia, sang *hacker* dapat dijerat Pasal 30 UU ITE (Akses Ilegal) & Pasal 32 (Pencurian Data), serta Pemerasan. Sementara Eksekutif Uber akan dijerat sanksi berat karena melanggar kewajiban Breach Notification (Wajib lapor kebocoran data maksimal 3x24 jam) di bawah UU PDP.
4. The Patch (Mitigasi Bug Bounty)
- Strict Rules of Engagement (RoE): Program *Bug Bounty* harus menetapkan aturan tegas bahwa *hacker* DILARANG KERAS mengekstrak/mendownload data PII (Personal Identifiable Information) pengguna sebagai *Proof of Concept*.
- Transparansi Otoritas: Perusahaan dilarang keras membayar tebusan pemerasan melalui platform *Bug Bounty* resmi (seperti HackerOne) untuk tujuan *cover-up*. Wajib lapor ke BSSN/Polri jika terjadi *breach*.
LAB SIMULASI: THE GREY HAT DILEMMA
> run scenario_01 --role "Security_Enthusiast"
[SYS_MSG] Anda adalah mahasiswa IT yang sedang iseng menganalisis API dari sebuah aplikasi E-Commerce lokal favorit Anda. Secara tidak sengaja, Anda menemukan celah IDOR (Insecure Direct Object Reference).
Hanya dengan mengganti angka parameter user_id=101 menjadi user_id=102 di URL browser, Anda bisa melihat nama lengkap, alamat, dan mutasi saldo dompet digital milik *user* lain tanpa perlu *login* sebagai mereka. Aplikasi ini TIDAK memiliki program *Bug Bounty* resmi.