Kontroversi hack back untuk melawan peretasan

Setelah sempat mengklaim telah mendapatkan dan merilis informasi pribadi Presiden Joko Widodo dan anggota kabinetnya, Bjorka kembali membuat tajuk berita setelah mengklaim menawarkan $100.000 dalam bentuk bitcoin untuk 3,2 miliar entri data yang dilaporkan milik pengguna aplikasi PeduliLindungi di situs peretasan, Breach Forums. Informasi kontak pengguna, informasi KTP, riwayat perjalanan, status vaksinasi, dan hasil tes COVID-19 termasuk di antara data yang bocor.

Peristiwa terbaru ini menambah kerugian global kejahatan dunia maya, yang melampaui $6 triliun tahun lalu dan diperkirakan akan naik 15% per tahun selama lima tahun berikutnya. Pada 2025,  kerugian diprediksi mencapai $10,5 triliun USD.

Dengan kerugian yang sangat besar itu, tidak mengherankan jika beberapa perusahaan mempertimbangkan untuk melakukan peretasan balasan (hack back). Tindakan ini disebut dengan hack back. Namun, apakah legal untuk melakukan hack back?

Konflik hukum dan etika

“Tidak” adalah jawaban yang paling mungkin. Di Amerika Serikat, FBI memperingatkan para korban agar tidak melakukan peretasan balasan. Departemen Kehakiman menyebut hal itu berpotensi melanggar hukum.

Namun, tidak ada pihak yang secara resmi memutuskan itu melanggar hukum. Hingga saat ini, belum ada kasus terkait yang diuji di pengadilan. Undang-undang juga tidak ada yang menyebutkan itu, baik di AS maupun negara lain.

Tapi, apakah masih masuk akal untuk tunduk kepada pihak berwenang ketika hacker tidak dapat diidentifikasi, apalagi ditangkap dan dituntut?

Hingga kini, aspek etikalah yang dapat digunakan sebagai panduan yang mungkin membolehkan hack back.

Sama seperti kejahatan konvensional, bahkan ketika bantuan sedang dalam perjalanan, Anda masih memiliki hak mendasar untuk membela diri, karena banyak hal yang dapat terjadi dalam beberapa menit antara saat invasi rumah terjadi dan kedatangan polisi. Tindakan tersebut masuk akal karena, misalnya, bertujuan melindungi keluarga Anda — dalam hal ini, prinsip yang sama harus berlaku untuk kejahatan siber.

Sebuah studi mengklaim bahwa hack back dapat dilakukan pemerintah secara etika untuk membela rakyatnya. Tetapi, pendekatan tersebut mungkin tidak dapat dibenarkan bagi warga sipil.

Terlepas dari hukum dan etika, bagi warga sipil, meretas kembali secara praktis adalah ide yang buruk karena melakukan hal itu hanya mendatangkan risiko yang lebih besar daripada manfaatnya.

Kejahatan melahirkan kejahatan

Seperti halnya kejahatan konvensional, kejahatan dunia maya dapat terjadi dalam berbagai bentuk — masalah terbesarnya adalah menemukan pelaku. Bagaimana jika Anda tidak dapat mengidentifikasi hacker, apa yang terjadi jika Anda menyerang orang yang tidak bersalah?

Contoh yang jelas dari hal ini dapat dijelaskan dengan serangan DDoS. DDoS atau serangan “distributed denial of service” adalah ketika seorang hacker mencoba untuk membanjiri jaringan TI korban dengan jumlah permintaan yang tinggi dari sejumlah besar komputer, sehingga jaringan TI korban mati.

Dalam proses DDoS, banyak mesin diperlukan untuk serangan ini. Mesin-mesin ini mungkin saja berasal dari perangkat komputer orang lain yang diretas oleh hacker. Dengan kata lain, orang-orang yang tidak bersalah ini juga merupakan korban peretasan.

Jika korban kejahatan DDoS memutuskan untuk membalas, maka orang-orang yang tidak bersalah ini turut terkena imbasnya.

Selain itu, hack back juga meningkatkan kemungkinan perang dunia maya yang lebih besar, yang dapat mengakibatkan pembalasan, kekacauan lebih lanjut, kerusakan tambahan, atau yang lebih buruk: implikasi geopolitik. Banyak hal yang lebih buruk bisa terjadi.

Sementara itu, pada akhirnya, peretasan ini tidak akan menghentikan semua peretas dan peluangnya tipis untuk mengambil kembali data yang telah dicuri. Sangat sedikit manfaat yang bisa diperoleh.

Argumen tersebut mungkin terlihat seperti menyalahkan korban penjambretan atau pemerkosaan atas luka tambahan yang diterima sebagai akibat pembalasan. Lalu, haruskah para korban tetap diam saat diserang?

Menggandakan pertahanan diri

Mempertimbangkan risikonya, tindakan pembalasan tidak disarankan bagi perusahaan. Pembelaan diri harus didasarkan pada tindakan pencegahan dan korektif, yaitu dengan menggandakan pertahanan siber mereka.

Tindakan pencegahan termasuk tindakan untuk mengurangi risiko. Perusahaan dapat secara aktif mencari dan memperbaiki kerentanan apa pun secara berkala. Penting untuk diingat bahwa apa yang melindungi perusahaan Anda setahun yang lalu mungkin tidak lagi efektif sekarang.

Adapun tindakan korektif bertujuan menangani dampak serangan dengan metode seperti respons insiden, analisis forensik, dan pemulihan data. Dengan tindakan korektif yang tepat, di masa depan, perusahaan dapat lebih meningkatkan pertahanan siber mereka.

Image by DCStudio on Freepik