Cara Kerja Peretas Melumpuhkan Server Penyedia Layanan Internet dan Jerat Pidananya

 

PERETAS MENCOBA MASUK SISTEM KEAMANAN PERUSAHAAN ISP

 

Dini hari itu, lampu indikator di pusat data sebuah penyedia layanan internet (ISP) berkedip-kedip tidak beraturan, seperti detak jantung yang tiba-tiba berpacu kencang sebelum akhirnya berhenti mendadak. Di ribuan rumah dan perkantoran yang menjadi pelanggannya, layar perangkat yang menampilkan lingkaran putus-putus mulai memenuhi pandangan: rapat daring terputus di tengah pembahasan penting, transaksi jual beli online gagal di detik terakhir, video pembelajaran anak sekolah membeku di frame yang sama, dan sinyal wifi yang biasanya stabil lenyap tanpa jejak.

Hanya dalam hitungan menit, seluruh layanan lumpuh total, dan tim keamanan ISP yang dikejutkan alarm sistem segera menyadari satu hal: server mereka telah berhasil dibobol oleh peretas, dan kerusakan yang ditimbulkan butuh berjam-jam bahkan berhari-hari untuk diperbaiki.

Peristiwa seperti ini tidak terjadi secara kebetulan. Di balik kelumpuhan sistem yang terasa mendadak itu, terdapat rangkaian langkah terencana yang disusun rapi oleh peretas, berjalan perlahan dan tidak terlihat selama berminggu-minggu bahkan berbulan-bulan sebelum serangan akhir dilancarkan.

Seluruh prosesnya bergerak seperti alur cerita yang disusun dengan cermat, dimulai dari pengintaian diam-diam hingga berakhir pada serangan yang membuat seluruh sistem berhenti berfungsi.

 

Langkah demi Langkah Peretas Melumpuhkan Server ISP

 

Tahap pertama yang selalu dilalui adalah pengintaian mendalam, di mana peretas bertindak layaknya pemburu yang mengamati mangsa dari balik semak belukar tanpa terlihat. Duduk berjam-jam di balik layar komputer yang terhubung ke jaringan anonim, mereka mengumpulkan setiap serpihan informasi tentang ISP sasaran: alamat IP server utama dan cadangan, jenis perangkat jaringan yang dipakai, versi sistem operasi yang berjalan di dalamnya, nama perangkat lunak keamanan yang digunakan, bahkan pola kerja tim teknisi dan jam-jam ketika pengawasan sistem sedikit longgar.

Setiap celah kecil yang luput dari perhatian tim keamanan dicatat rapi: sistem yang belum menerima pembaruan keamanan selama berbulan-bulan, pintu akses jaringan yang terbuka tanpa perlindungan tambahan, kata sandi akun admin yang masih menggunakan kombinasi sederhana, atau kesalahan konfigurasi kecil yang tampak tidak berbahaya namun menjadi pintu masuk yang sangat mematikan.

Setelah informasi terkumpul lengkap, tibalah tahap kedua yaitu pemindaian celah keamanan. Menggunakan perangkat lunak khusus yang berjalan otomatis, peretas mengirimkan ribuan sinyal kecil ke setiap sudut jaringan ISP, layaknya seseorang yang mengetuk satu per satu pintu dan jendela sebuah gedung besar untuk mencari mana yang tidak terkunci rapat.

Sinyal-sinyal itu dirancang sedemikian rupa sehingga tidak terdeteksi sebagai ancaman oleh sistem pengamanan biasa. Dari ribuan ketukan itu, biasanya ditemukan satu atau dua celah yang belum ditambal: misalnya kelemahan pada perangkat lunak manajemen jaringan yang sudah ada tambalan keamanannya namun belum dipasang oleh pihak ISP, atau fitur lama yang dibiarkan aktif padahal sudah tidak dipakai lagi.

Celah sekecil apa pun—bahkan yang hanya berupa kesalahan penulisan satu baris kode konfigurasi—cukup bagi peretas untuk memulai langkah selanjutnya.

Tahap ketiga adalah eksploitasi celah untuk masuk ke dalam sistem. Di sinilah kemampuan teknis peretas diuji sepenuhnya. Mereka merancang kode khusus yang disesuaikan persis dengan kelemahan yang ditemukan, lalu mengirimkannya melalui celah yang terbuka itu.

Begitu kode masuk, ia bekerja diam-diam tanpa menimbulkan alarm: ia membuka pintu akses rahasia yang hanya diketahui oleh peretas, menciptakan akun admin tersembunyi yang tidak tercatat di daftar pengguna resmi, dan menanamkan program kecil yang memungkinkan mereka masuk dan keluar kapan saja tanpa harus melewati pintu keamanan utama.

Pada tahap ini, peretas sudah berada di dalam jantung sistem ISP, berjalan bebas di antara data dan perangkat penting, sementara tim keamanan masih menjalankan pekerjaan sehari-hari tanpa menyadari ada tamu yang tidak diundang di dalam rumah mereka.

Setelah berhasil masuk, peretas segera melakukan eskalasi hak akses. Awalnya, akses yang mereka miliki mungkin hanya sebatas melihat data biasa saja. Namun dengan berbagai trik, mereka perlahan meningkatkan kekuasaan akun mereka hingga mencapai tingkat tertinggi: setara dengan pemilik sistem itu sendiri. Dari posisi ini, mereka bisa melihat seluruh konfigurasi jaringan, mengubah pengaturan server, mengakses data pelanggan, bahkan mematikan fitur keamanan satu per satu tanpa meninggalkan jejak yang mudah dilacak.

Banyak peretas memilih diam pada tahap ini selama berminggu-minggu, mempelajari bagaimana seluruh sistem bekerja, jalur mana yang menjadi urat nadi lalu lintas data, dan titik mana yang jika diserang akan menimbulkan kerusakan paling luas dengan usaha paling sedikit.

Tibalah saat serangan akhir dilancarkan, dan ada dua cara utama yang paling sering dipakai untuk membuat seluruh server macet total. Cara pertama adalah perusakan sistem dari dalam.

Memegang kendali penuh atas server, peretas bisa mengubah konfigurasi inti jaringan sehingga lalu lintas data dari pelanggan tidak bisa diteruskan ke tujuan, menghapus file sistem penting yang membuat server tidak bisa dijalankan lagi, atau mengunci seluruh perangkat dengan sandi yang hanya mereka ketahui, membuat tim teknisi tidak bisa masuk untuk memperbaikinya.

Cara kedua yang lebih sering digunakan dan dampaknya lebih cepat terasa adalah serangan banjir trafik atau yang dikenal sebagai DDoS. Untuk ini, peretas tidak selalu perlu masuk ke dalam sistem ISP; mereka cukup mengendalikan ribuan bahkan jutaan perangkat komputer, ponsel, dan perangkat rumah tangga pintar di seluruh dunia yang sebelumnya telah terinfeksi program jahat tanpa diketahui pemiliknya.

Perangkat-perangkat ini—yang disebut sebagai jaringan botnet—diperintah secara serentak untuk mengirimkan permintaan akses ke server ISP sasaran dalam jumlah yang sangat besar, melebihi ribuan kali lipat kapasitas maksimal yang mampu ditampung server.

Ibarat sebuah jalan raya yang biasanya dilewati seribu kendaraan per jam tiba-tiba dibanjiri sepuluh juta kendaraan dalam waktu bersamaan, seluruh jalur data menjadi penuh sesak tidak bisa dilalui. Prosesor server bekerja hingga mencapai 100 persen kapasitas, suhu perangkat naik drastis, dan seluruh permintaan akses sah dari pelanggan yang sebenarnya tertolak begitu saja karena sistem sudah kewalahan menampung serangan.

Hanya dalam hitungan menit, server yang tadinya melayani jutaan pelanggan menjadi macet total, tidak merespons apa pun, dan seluruh layanan internet lumpuh.

 

Jerat Pidana yang Menanti Pelaku

 

Di balik kemampuan teknis yang mereka miliki, setiap langkah peretas yang merugikan orang lain telah diatur secara tegas dalam hukum pidana Indonesia, dengan ancaman hukuman yang jauh lebih berat dibandingkan keuntungan sesaat yang mungkin mereka dapatkan. Berbagai ketentuan dari Kitab Undang-Undang Hukum Pidana (KUHP) baru, Undang-Undang Informasi dan Transaksi Elektronik (UU ITE), hingga Undang-Undang Telekomunikasi siap menjerat setiap pelaku, terlepas dari di mana mereka melakukan aksinya.

Pasal pertama yang paling sering diterapkan adalah Pasal 324 KUHP Baru (Undang-Undang Nomor 1 Tahun 2023) yang mengatur tentang gangguan terhadap sistem elektronik.

Bunyi pasal ini secara tegas menyatakan bahwa setiap orang yang tanpa hak atau melawan hukum dengan sengaja menghambat, mengganggu, atau membuat tidak dapat berfungsinya seluruh atau sebagian sistem elektronik, diancam dengan pidana penjara paling lama tujuh tahun atau denda paling banyak empat ratus juta rupiah.

Pasal ini sangat tepat dikenakan pada kasus kelumpuhan server ISP, karena perbuatan peretas yang membuat sistem tidak berjalan sesuai fungsinya—baik dengan merusak dari dalam maupun serangan banjir trafik dari luar—masuk sepenuhnya ke dalam ruang lingkup larangan ini.

Apabila perbuatan itu menimbulkan kerugian yang sangat besar, mengganggu kepentingan umum secara luas, atau membahayakan keamanan negara, ketentuan Pasal 325 KUHP Baru menambahkan bahwa ancaman hukuman dapat ditingkatkan hingga sepertiga dari hukuman pokok.

 

Selain ketentuan dalam KUHP, peretas juga akan dijerat dengan ketentuan yang lebih khusus dalam Undang-Undang Nomor 19 Tahun 2016 tentang Perubahan atas Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (UU ITE).

Pasal 30 UU ITE mengancam setiap orang yang dengan sengaja dan tanpa hak mengakses sistem elektronik orang lain dengan pidana penjara paling lama enam tahun atau denda paling banyak enam ratus juta rupiah.

Sementara itu, Pasal 32 ayat (1) menegaskan bahwa setiap orang yang tanpa hak atau melawan hukum dengan sengaja melakukan tindakan yang mengakibatkan gangguan pada sistem elektronik, diancam dengan pidana penjara paling lama delapan tahun atau denda paling banyak delapan ratus juta rupiah. Bagi pelaku yang menggunakan program jahat, virus komputer, atau memanfaatkan jaringan botnet untuk melancarkan serangan DDoS, berlaku Pasal 33 UU ITE dengan ancaman hukuman yang lebih berat lagi: pidana penjara paling lama sepuluh tahun atau denda paling banyak satu miliar rupiah.

Tidak berhenti di situ, karena yang dirugikan adalah penyedia layanan telekomunikasi yang melayani kepentingan umum, peretas juga dapat dijerat dengan Pasal 55 Undang-Undang Nomor 36 Tahun 1999 tentang Telekomunikasi.

Pasal ini mengancam setiap orang yang dengan sengaja mengganggu penyelenggaraan telekomunikasi yang dipakai untuk keperluan umum dengan pidana penjara paling lama enam tahun atau denda paling banyak enam ratus juta rupiah.

Bahkan, apabila perbuatan peretas mengakibatkan kerugian materiil yang besar bagi pelanggan maupun pihak ISP, mereka juga dapat dituntut untuk mengganti seluruh kerugian yang timbul di luar hukuman pidana yang dijatuhkan.

Ketentuan-ketentuan hukum ini berlaku kumulatif, artinya apabila seorang peretas melakukan serangkaian perbuatan—mulai dari masuk tanpa hak, mengubah data, hingga melumpuhkan sistem—setiap perbuatan itu dapat dijerat dengan pasal yang berbeda-beda, sehingga total ancaman hukuman yang dihadapi bisa mencapai belasan tahun penjara dan denda yang jumlahnya mencapai miliaran rupiah.

Tidak peduli seberapa canggih teknik yang mereka gunakan untuk menyembunyikan jejak, perkembangan teknologi forensik siber saat ini memungkinkan penyidik untuk melacak asal serangan, mengumpulkan bukti digital yang sah di pengadilan, dan membawa pelaku ke meja hijau meskipun mereka melakukan aksinya dari negara lain sekalipun.

Saat lampu indikator di pusat data akhirnya kembali berkedip normal dan layanan internet pulih secara bertahap, kerugian yang ditinggalkan oleh serangan peretas itu tidak langsung hilang begitu saja.

Ada data yang hilang, produktivitas masyarakat yang terbuang, kepercayaan pelanggan yang goyah, dan biaya perbaikan yang tidak sedikit. Kejadian ini menjadi pengingat yang gamblang bahwa di balik kemudahan akses internet yang kita nikmati setiap hari, terdapat pertarungan senyap antara upaya menjaga keamanan sistem dan niat jahat yang ingin merusaknya.

Dan bagi siapa saja yang tergoda untuk mencoba meretas sistem orang lain, hukum telah menyiapkan jerat yang tegas dan konsekuensi yang jauh lebih berat dibandingkan apa pun yang bisa mereka dapatkan dari perbuatan melawan hukum itu. (kang yahya)