PENGANTAR ILMU
KOMPUTER
Dosen
Mata Kuliah
MUSTAZZIHIM
SUHAIDI, S.Kom.,M.Kom, MTA,MCE,MCF,CITA,CSA
Nama Kelompok:
ADILA PRATIWI : 2410090811018
ALYA LESTARI : 2410090811027
ANANDA PUTRI RAMADANI : 2410090811024
AULIA SORAYA : 2410090811074
RACHMANIA JUSRI : 2410090811042
BAB II
TINJAUAN UMUM
2.1 Pengertian Kejahatan siber (cybercrime)
Cybercrime atau kejahatan siber adalah tindak
kejahatan yang dilakukan dengan menggunakan teknologi komputer dan jaringan
internet sebagai alat utama. Kejahatan ini biasanya dilakukan melalui perangkat
komputer yang tersambung dengan jaringan dan memanfaatkan dunia maya
(cyberspace) sebagai media aksinya. Seiring dengan pesatnya perkembangan
teknologi informasi, kejahatan ini pun semakin kompleks dan sulit dikendalikan.
Cybercrime
dapat dibedakan menjadi dua pengertian:
1. Dalam arti
sempit (computer crime): Kejahatan yang secara langsung menyerang sistem
keamanan komputer atau data yang diproses oleh komputer.
2. Dalam arti
luas (computer-related crime): Segala bentuk kejahatan yang berkaitan dengan
sistem komputer atau jaringan, termasuk yang menggunakan komputer sebagai alat
bantu.
Internet menciptakan sebuah dunia baru yang
disebut dunia maya (cyberspace) dengan realitas virtual yang menghadirkan
berbagai kemudahan, tetapi juga membuka peluang penyalahgunaan. Kejahatan ini
muncul akibat kemajuan teknologi dan lemahnya kesadaran serta pemahaman
pengguna terhadap pentingnya keamanan informasi.
Pengertian
Menurut Para Ahli Beberapa ahli mendefinisikan cybercrime sebagai berikut:
Andi Hamzah: cybercrime
bukanlah kejahatan baru, melainkan kejahatan biasa yang masih bisa di tangani
melalui KUHP.
Forester dan
Morrison: Kejahatan komputer adalah tindakan kriminal yang menjadikan komputer
sebagai senjata utama.
Girasa:
Cybercrime adalah kejahatan yang menggunakan teknologi komputer sebagai
komponen utama.
Encyclopedia
of Crime and Justice: Tindakan melawan hukum yang membutuhkan pengetahuan
teknologi komputer untuk melakukan kejahatan, baik dengan menjadikan komputer
sebagai alat (misalnya pencurian uang, pencurian data, atau perencanaan
kejahatan) maupun sebagai sasaran (seperti sabotase atau perubahan data).
OECD
(Organization for Economic Cooperation and Development): Setiap tindakan tidak
sah, tidak etis, atau tidak memiliki wewenang yang melibatkan pemrosesan atau
transmisi data otomatis, termasuk penipuan, spionase, sabotase, pelanggaran
privasi, dan pelanggaran terhadap kebijakan keamanan nasional.
2 Kronologi Kejadian
Kasus Citilink Tiket Com
suatu hari di bulan Oktober 2016,
seorang remaja berusia 19 tahun berinisial SH, tengah duduk di depan laptopnya
di kediamannya di Tangerang. Berbeda dengan remaja seusianya yang menghabiskan
waktu untuk bermain gim atau berselancar di media sosial, SH tenggelam dalam
layar gelap bertuliskan kode-kode rumit. Tampilan itu bukan sembarang
tampilan—melainkan layar pemrograman yang menunjukkan aktivitas tingkat tinggi
dalam dunia komputer: eksplorasi sistem keamanan server.
SH, yang telah belajar meretas secara
otodidak sejak usia 12 tahun setelah keluar dari bangku sekolah, sedang
menelusuri sistem pertahanan siber milik Tiket.com, sebuah platform agen
perjalanan daring ternama di Indonesia. Sistem ini menarik perhatiannya karena
memiliki konfigurasi keamanan yang tidak biasa. Dengan keahlian yang ia miliki,
SH akhirnya berhasil membobol server Tiket.com.
Tanpa motif tertentu di awal, SH menemukan
sebuah file penting dalam sistem tersebut. File tersebut ternyata berisi kode
akses dan kata sandi milik Tiket.com untuk masuk ke sistem pemesanan maskapai
Citilink—anak perusahaan Garuda Indonesia yang menjadi mitra resmi Tiket.com.
Penemuan ini lantas dibagikan
SH kepada rekannya yang berada jauh di Balikpapan, Kalimantan Timur, yaitu MKU,
juga berusia 19 tahun. MKU mendorong SH agar memberikan kode akses tersebut,
dan pada 11 Oktober 2016, percobaan pemesanan tiket pesawat menggunakan akses
ilegal itu pun berhasil dilakukan. Kode booking tiket Citilink berhasil
diperoleh.
Kesuksesan tersebut menjadi titik
awal aksi ilegal terorganisasi. MKU mulai memasarkan tiket pesawat Citilink
melalui akun Facebook miliknya, menawarkan harga diskon fantastis hingga 50%
dari harga normal. Tak butuh waktu lama, banyak orang tergiur dan mulai memesan
tiket dari MKU.
Untuk mengelola banyaknya permintaan, MKU
mengajak AI (19) untuk membantu proses input data pemesanan ke dalam sistem
Citilink menggunakan akses yang telah diperoleh secara ilegal. Tidak hanya itu,
demi memperluas jangkauan promosi, NTM (27) juga dilibatkan untuk memasarkan
tiket murah ini lewat akun media sosial miliknya.
Mereka bertiga merupakan bagian dari
komunitas peretas bernama Gantengers Crew, yang dikenal telah membobol ribuan
situs, termasuk situs-situs layanan finansial dan transportasi daring. Meski
dalam pengakuannya SH menolak disebut sebagai anggota Gantengers, komunitas
tersebut justru mengonfirmasi bahwa SH adalah salah satu anggota mereka, meski
mengklaim aksi pembobolan Tiket.com dilakukan atas inisiatif pribadi.
Aksi pemasaran dan pemesanan
tiket ini berlangsung masif. Pembeli membayar setelah menerima kode booking
yang sah dari Citilink. Transaksi dilakukan melalui transfer bank, dan dari
hasil penjualan tiket ilegal ini, para pelaku mengantongi keuntungan besar. MKU
mendapatkan lebih dari Rp600 juta, sementara SH memperoleh sekitar Rp350 juta.
Uang hasil kejahatan itu digunakan untuk memenuhi gaya hidup mewah dan
konsumtif, termasuk membeli kendaraan mahal.
Namun, aktivitas ilegal ini tidak bertahan
lama. Pada 27 Oktober 2016, akses yang digunakan untuk masuk ke sistem Citilink
via Tiket.com tidak lagi bisa digunakan. PT Global Tiket Network, sebagai
pengelola Tiket.com, mulai menyadari adanya penyalahgunaan akses. Setelah
melakukan penelusuran internal, mereka mendapati bahwa server mereka telah
diretas dan kode akses mereka telah dicuri.
Pada
11 November 2016, Tiket.com resmi melaporkan kasus ini ke pihak kepolisian.
Hasil investigasi menunjukkan bahwa total kerugian awal yang dialami Tiket.com
mencapai lebih dari Rp4,1 miliar. Namun, setelah beberapa tiket yang belum
digunakan berhasil dibatalkan dan dana dikembalikan (refund), nilai kerugian
bersihnya menyusut menjadi sekitar Rp1,9 miliar.
Setelah dilakukan penyelidikan intensif
oleh Direktorat Tindak Pidana Siber Bareskrim Polri, ketiga pelaku—MKU, AI, dan
NTM—berhasil ditangkap di Balikpapan pada 28 Maret 2017. Penangkapan ini sempat
membuat geger warga di kawasan Jalan Siaga Dalam, Balikpapan Selatan.
Dua hari kemudian, tepatnya pada 30 Maret
2017, SH ditangkap di rumah kontrakan orang tuanya di Perumahan Situ Gintung
Residence, Tangerang Selatan. Ia ditangkap tanpa perlawanan, dan digelandang ke
Mabes Polri untuk diperiksa.
Dalam
pemeriksaan, SH mengaku belajar meretas secara otodidak sejak usia 12 tahun,
setelah ia berhenti sekolah pada 2012. Ia juga menyatakan bahwa selama ini
dirinya hanya menembus sistem sebagai bentuk uji kemampuan dan memberikan
peringatan keamanan kepada pemilik situs—seperti yang pernah ia lakukan
terhadap situs Gojek dan MasterCard. Namun dalam kasus Tiket.com, aksinya sudah
masuk dalam ranah kriminal karena melibatkan penyalahgunaan data untuk
keuntungan finansial.
Kepala
Subdirektorat II Direktorat Siber Bareskrim Polri, Kombes Himawan Bayu Aji,
menyatakan bahwa meskipun SH memiliki bakat dan kemampuan teknis yang mumpuni,
tindakannya tetap merupakan pelanggaran hukum yang harus dipertanggungjawabkan
di hadapan pengadilan.
2.3 Modus Operandi Pelaku
Di dalam dunia kejahatan siber,
setiap pelaku memiliki cara kerja atau teknik tersendiri dalam melakukan
serangan. Dalam kasus ini, para pelaku remaja tersebut menggunakan SQL
Injection, yakni salah satu teknik dasar dalam dunia peretasan. Teknik ini dilakukan
dengan cara menyisipkan perintah tertentu ke dalam form input atau URL pada
sebuah website, untuk memanipulasi query database dan mengakses data penting di
dalamnya.
Pelaku utama bernama SH yang
awalnya hanya mencoba-coba masuk ke sistem Tiket.com yang menurutnya punya
keamanan cukup baik. Tapi setelah beberapa waktu mencoba, ia menemukan celah
dan berhasil membuka file penting yang ternyata berisi username dan password
milik Tiket.com untuk mengakses sistem maskapai Citilink. Artinya, dengan data
tersebut, SH bisa masuk ke server Citilink seolah-olah sebagai Tiket.com. Hal
ini adalah bentuk penyalahgunaan otorisasi digital, atau dalam istilah
teknisnya disebut sebagai credential stuffing.
SH sendiri adalah seorang autodidak
yang belajar hacking sendiri sejak usia 12 tahun. Dia tidak menempuh pendidikan
formal di bidang IT, bahkan tidak menyelesaikan SMA. Ini menunjukkan bahwa
dengan hanya bermodalkan rasa ingin tahu, akses internet, dan sumber-sumber
pembelajaran terbuka seperti forum, artikel, atau video, seseorang bisa
mempelajari teknik-teknik meretas.
Setelah mendapatkan akses, SH memberikan
username dan password tersebut ke temannya MKU. MKU kemudian mulai memesan
tiket pesawat Citilink melalui akun resmi Tiket.com yang telah diretas, lalu
menjualnya lewat Facebook pribadi dengan harga miring atau diskon mulai dari
30% hingga 50%. Dengan harga semurah itu, banyak orang yang tertarik untuk
membeli. Bahkan ada yang sampai menjadi langganan dan melakukan pembelian
berulang.
Pelaku lain seperti AI
berperan sebagai input data pembeli ke sistem, sedangkan NTM membantu menjual
tiket. Total ada 1.200 transaksi yang dilakukan dalam waktu sekitar dua minggu.
Mereka semua terorganisir secara tidak resmi, bekerja sama, dan saling membagi
hasil.
Secara
umum, modus operandi mereka melibatkan enam Langkah, yaitu:
1.
Meretas server Tiket.com menggunakan SQL Injection.
2.
Mengambil kredensial login Tiket.com ke Citilink.
3.
Mengakses sistem pemesanan Citilink menggunakan kredensial tersebut.
4.
Memesan tiket atas nama pembeli.
5.
Menjual tiket lewat media sosial pribadi.
6. Mengirimkan kode booking setelah pembeli
melakukan transfer uang.
Modus
ini menunjukkan kombinasi antara keahlian teknis (hacking) dan strategi sosial
(marketing lewat medsos). Pelaku juga memanfaatkan ketidaktahuan konsumen umum
soal harga tiket asli dan sistem pembelian digital, sehingga tidak mencurigai
adanya kejahatan siber di balik harga murah yang ditawarkan.
2.4
Dampak Terhadap Perusahaan dan Pengguna
Dampak dari kasus ini tidak bisa dianggap
sepele, karena menyangkut kepercayaan publik terhadap layanan digital,
khususnya sistem pemesanan tiket online. Tiket.com sebagai pihak yang paling
terdampak langsung, mengalami kerugian mencapai Rp 4.124.000.982 karena para
pelaku telah membobol akun mereka dan menggunakan jatah saldo/deposit yang
dimiliki untuk membeli tiket pesawat secara ilegal. Setelah dilakukan
pembatalan terhadap tiket-tiket yang belum digunakan, kerugian masih menyisakan
angka besar yaitu sekitar Rp 1.973.784.434.
Dari sisi Citilink, meskipun
sistem mereka tidak diretas secara langsung, tetapi karena transaksi dilakukan
menggunakan akun Tiket.com, tetap tercatat dan harus diproses. Akibatnya,
ketika kasus terbongkar, banyak pembelian yang dibatalkan dan dilakukan refund.
Total kerugian Citilink mencapai jumlah yang sama, yaitu sekitar Rp 1,9 miliar.
Ini adalah bukti bahwa kerjasama antar perusahaan digital yang saling terhubung
dapat menciptakan efek domino saat satu sisi mengalami pelanggaran keamanan.
Dampak lainnya adalah
kepercayaan konsumen. Banyak pembeli merasa dirugikan karena tiket yang sudah
dibayar akhirnya dibatalkan. Sebagian merasa ditipu, meskipun transaksi
dilakukan lewat media sosial. Tidak sedikit yang mungkin menyalahkan Tiket.com
maupun Citilink atas pembatalan tersebut, padahal sebenarnya mereka adalah
korban dari sistem yang disalahgunakan.
Selain itu, kasus ini juga memperlihatkan
bagaimana lemahnya sistem pengawasan terhadap transaksi digital saat itu.
Dengan hanya bermodalkan promosi Facebook dan harga murah, para pelaku bisa
menggaet ratusan pelanggan dalam waktu singkat. Ini menunjukkan kurangnya
literasi digital di kalangan masyarakat yang masih mudah tergiur harga murah
tanpa memverifikasi kebenarannya.
Dampak jangka panjangnya adalah hilangnya
reputasi dan kepercayaan. Perusahaan seperti Tiket.com harus bekerja keras
untuk meyakinkan pengguna bahwa sistem mereka aman dan insiden serupa tidak
akan terulang. Mereka juga harus meningkatkan sistem keamanan digitalnya,
termasuk audit berkala, penggunaan sistem autentikasi berlapis (2FA), dan
firewall yang lebih kuat untuk mencegah eksploitasi seperti SQL Injection.
2.5 Penegakan Hukum
terhadap Pelaku
Setelah Tiket.com melaporkan kejadian ini
ke Bareskrim Polri pada 11 November 2016, pihak kepolisian melakukan penyelidikan
digital atau digital forensic untuk melacak aktivitas ilegal pelaku di sistem.
Dalam waktu beberapa bulan, empat pelaku berhasil diamankan. SH ditangkap di
Tangerang Selatan, sedangkan MKU, AI, dan NTM ditangkap di Balikpapan.
Dalam
proses pemeriksaan, polisi menemukan bahwa SH adalah otak utama peretasan. Ia
mengakses sistem Tiket.com tanpa izin dan membagikan kredensial login ke
rekannya. Ketiga pelaku lainnya memiliki peran dalam menjual, memproses, dan
mempromosikan tiket hasil peretasan. Para pelaku dijerat dengan pasal-pasal
dalam Undang-Undang ITE, khususnya pasal 30 sampai 32, yang berkaitan dengan:
1.
Akses ilegal ke sistem elektronik tanpa hak,
2.
Pengambilan atau manipulasi data elektronik,
3.
Dan penyebaran/penyalahgunaan hasil akses ilegal.
Selain itu, mereka juga dikenai
pasal-pasal dalam KUHP tentang penipuan dan kerugian materiil. Ancaman
hukumannya bisa mencapai 6 tahun penjara dan/atau denda hingga miliaran rupiah.
Menurut Kombes Himawan Bayu Aji dari Direktorat Siber Bareskrim, SH
sebenarnya memiliki kemampuan luar biasa yang, jika diarahkan dengan benar,
bisa bermanfaat. Tapi karena digunakan untuk merugikan orang lain, tetap harus
diproses hukum. Hal ini menjadi contoh nyata bahwa kemampuan teknis tanpa
tanggung jawab moral bisa berujung kriminalitas.
Penanganan
kasus ini juga memberi pelajaran penting bahwa hukum siber di Indonesia masih
terus berkembang dan harus mengikuti kemajuan teknologi. Lembaga penegak hukum
pun harus dibekali dengan kemampuan forensik digital dan sistem pelacakan
online yang memadai agar bisa bertindak cepat dalam menangani kasus-kasus
serupa.
BAB III
HASIL DAN PEMBAHASAN
3.1 Kelemahan Sistem Keamanan yang Dimanfaatkan
Peretasan yang terjadi pada Tiket.com
dan Citilink pada tahun 2016, yang dilakukan oleh seorang remaja berusia 19
tahun (SH), mengungkapkan berbagai kelemahan dalam sistem keamanan yang
dimanfaatkan oleh pelaku. Analisis kasus ini menunjukkan beberapa faktor yang
menjadi titik lemah keamanan:
Integrasi API antara Tiket.com dan
Citilink tidak dilengkapi dengan proteksi yang cukup, sehingga pelaku berhasil
meretas akun Tiket.com dan mengakses server Citilink dengan memanfaatkan
username dan password yang lemah atau tidak terenkripsi, hal ini menunjukkan
kurangnya kontrol akses dan penerapan autentikasi multi-faktor, yang berujung
pada pencurian kode booking tiket Citilink yang kemudian dijual melalui media
sosial.
Tiket.com baru menyadari adanya
peretasan setelah satu bulan, yang menunjukkan lemahnya sistem pemantauan dan
deteksi intrusi. Beberapa kelemahan yang teridentifikasi adalah tidak adanya
Intrusion Detection System (IDS) untuk memantau lalu lintas jaringan yang
mencurigakan dan analisis log yang tidak dilakukan secara rutin untuk
mengidentifikasi aktivitas yang tidak normal. Akibatnya, Tiket.com mengalami
kerugian finansial sebesar Rp4,1 miliar, sementara Citilink mengalami kerugian
sebesar Rp2 miliar.
Kelemahan dalam sistem validasi input
di Tiket.com memungkinkan pelaku untuk mengeksploitasi celah tersebut
menggunakan teknik seperti SQL injection, yang merupakan metode untuk
menyisipkan perintah SQL berbahaya ke dalam kueri yang dijalankan oleh database.
Tiket.com gagal menyaring karakter khusus yang seharusnya dihapus untuk
mencegah akses tidak sah ke data. Celah ini memberi kesempatan kepada pelaku
untuk mengakses data sensitif tanpa otorisasi. Sebab itu pelaku berhasil
menggunakan ID Tiket.com untuk masuk ke server Citilink, yang menunjukkan
adanya kerentanan dalam proses autentikasi pengguna.
Kerentanan di Tiket.com diperparah
oleh ketiadaan uji keamanan berkala seperti penetration test atau audit sistem
sebelum terjadi peretasan. Tanpa pemeriksaan rutin, celah keamanan tidak
terdeteksi, memungkinkan pelaku mengeksploitasi sistem secara leluasa. Setelah
insiden, perusahaan baru mulai menerapkan uji keamanan bulanan dan memperkuat
pertahanan dengan firewall berlapis untuk menutup celah yang dieksploitasi
pelaku. Perubahan ini menunjukkan bahwa sebelumnya Tiket.com mengabaikan
prinsip keamanan proaktif, seperti memastikan sistem selalu diperbarui dan
dipantau. Padahal, uji keamanan rutin bisa membantu mengidentifikasi kerentanan
sebelum dimanfaatkan oleh pihak tidak bertanggung jawab.
3.2 Upaya Pencegahan
Kejahatan Serupa
Traveloka, sebagai platform
perjalanan terbesar di Asia Tenggara, memanfaatkan teknologi AI untuk memindai
aktivitas tidak biasa pada akun pengguna. Sistem ini secara otomatis
menghentikan upaya login yang dilakukan dari lokasi berbeda dalam rentang waktu
singkat atau transaksi dengan nominal mencurigakan. Untuk melindungi informasi
pengguna, semua data sensitif seperti detail pembayaran dan profil pribadi
dienkripsi secara menyeluruh. Tambahan lapisan keamanan diterapkan melalui
verifikasi dua langkah (2FA) yang bisa diaktifkan via SMS atau aplikasi pihak
ketiga.
Tiket.com meningkatkan pertahanan
sibernya pasca-kasus peretasan dengan mengadakan uji penetrasi (penetration
test) rutin dan audit sistem bulanan bersama pakar keamanan eksternal. Mereka
juga membangun firewall berlapis dan memisahkan jaringan penyimpanan data
pelanggan dari server transaksi. Strategi ini meminimalkan risiko penyebaran
serangan jika terjadi pelanggaran di satu titik sistem.
Booking Holdings, perusahaan induk
Booking.com, Agoda, dan Kayak menerapkan tokenisasi untuk menyamarkan informasi
kartu kredit pengguna selama transaksi. Protokol keamanan PCI DSS dijalankan
sebagai standar wajib, sementara karyawan dilatih secara berkala untuk
mengenali upaya phishing yang kerap menyamar sebagai promo atau konfirmasi
pemesanan palsu.
Garuda Indonesia mengamankan data
penumpang dengan sistem pembatasan akses berdasarkan peran (Role-Based Access
Control). Hanya tim tertentu yang memiliki hak akses penuh ke data sensitif
seperti riwayat penerbangan atau identitas penumpang. Data tersebut disimpan di
server cloud terenkripsi dan dipantau kolaborasi dengan lembaga keamanan siber
lokal untuk mendeteksi ancaman secara real-time.
Airbnb
memberlakukan kebijakan verifikasi identitas ketat dengan meminta pengguna
mengunggah dokumen resmi (KTP/paspor) sebelum melakukan transaksi. Algoritma
machine learning dipakai untuk mengidentifikasi properti fiktif atau perilaku
mencurigakan di platform. Mereka juga membentuk tim khusus yang beroperasi 24
jam untuk merespons insiden siber, termasuk kebocoran data atau serangan
ransomware.
Keamanan siber di sektor perjalanan
hanya bisa dijamin melalui kolaborasi tiga aspek utama: penerapan teknologi
mutakhir, kebijakan keamanan yang terstruktur, serta peningkatan kesadaran
pengguna dan karyawan. Perusahaan perlu terus memperbarui strategi pertahanan
untuk mengimbangi ancaman siber yang terus berkembang, sekaligus memastikan
seluruh operasionalnya sesuai dengan aturan perlindungan data yang berlaku.
Tanpa inovasi berkelanjutan dan adaptasi terhadap risiko baru, upaya pencegahan
tidak akan efektif dalam menghadapi kompleksitas serangan digital masa kini.
Tidak ada komentar:
Posting Komentar