Ray Abduh Hacker Penemu Celah BCA dan Dinas Pajak

JURNAL IT - Apa yang akan Anda lakukan jika orang lain dapat melihat rekening Anda? Tentu saja, ini adalah bencana.

Nah, situs KlikBCA yang merupakan salah satu layanan perbankan online terpopuler di Indonesia, mungkin memiliki celah yang harus ditutup.

Bukankah seharusnya orang yang membukanya memiliki akses ke akun yang bukan miliknya dan memiliki izin untuk melakukan apa pun yang dia inginkan dengan akun itu?

Rofendi Alias Ray Abduh

Untungnya, aktivitas tersebut barulah sebatas untuk mengetahui data transaksi. Artinya, satu-satunya celah yang ada adalah kemampuan untuk melihat transaksi akun orang lain.

BCA mengantisipasi celah yang diketahui oleh pria bernama Ray Abduh tersebut dengan menutup sementara aktivitas layanan KlikBCA dan selanjutnya melakukan pembenahan sebagai langkah pengamanan.

Ray Abduh menemukan kekurangan pada situs KlikBCA (19/04/2006). Orang lain dapat memperoleh akses ke data transaksi akun yang bukan miliknya karena cacat. BCA dengan cepat menutup celah tersebut di hari yang sama.

Penampilan Abduh adalah seorang pria kurus dengan tampilan konservatif.

Penampilannya tidak seperti karakter pembobol situs seperti di film-film Hollywood. Rofendi adalah nama asli Abduh, dan dia bekerja di sebuah kantor swasta sebagai pekerja teknologi informasi.

Kepribadian Rendah Hati

Abduh meminta maaf yang sebesar-besarnya jika apa yang disampaikannya membuat BCA merasa tidak nyaman. Layanan BCA justru membantah hal tersebut dan malah balik berterimakasih pada Abduh yang pada gilirannya membantu BCA dalam menyediakan internet banking yang aman dan terpercaya.

Halaman website KlikBCA

“Justru kami berterimakasih Mas. Bertemu dengan teman-teman yang merupakan aktivis dunia maya memberi kami banyak informasi baru” kata Yoyok.

Pihak BCA berharap Abduh akan tetap memberitahu jika ada permasalahan terkait keamanan di masa mendatang.

Sungguh mengagumkan apa yang dilakukan Abduh saat menemukan cacat di KlikBCA. Alih-alih membagikannya, Abduh menghubungi detikNET untuk menghubungi BCA.

"Saya belum mengkonfirmasikan masalah ini ke pihak yang buat aplikasi, saya tidak tahu mesti ke mana," kata Abduh saat itu.

Abduh juga menyatakan dalam pertemuannya dengan BCA tidak ingin melakukan hal yang merugikan. “Sebagai nasabah, saya juga prihatin,” katanya. Abduh alias Rosfendi dan BCA saling berjabat tangan di akhir pertemuan.

Ray Abduh, aktivis siber yang pernah menemukan kekurangan dalam program KlikBCA, juga membeberkan kisah mengenai celah di aplikasi NPWP online. Aplikasi Pajak ditemukan memiliki kekurangan, menurut Abduh.

Celah yang dimaksud ada di salah satu aplikasi online terkait NPWP yang linknya bisa dilihat di website Pajak.co.id. Kelemahan ini, sebagaimana dibuktikan oleh Abduh, memungkinkan siapa saja untuk memeriksa data pendaftaran wajib pajak. Ini termasuk nomor telepon, nomor KTP, dan alamat lengkap hingga jenis usaha wajib pajak.

Selain itu, karena adanya celah yang memungkinkan munculnya Tanda Daftar Wajib Pajak saat melakukan pendaftaran NPWP di Kantor Pajak. Kondisi itu, menurut Abduh, sangat mengkhawatirkan karena celahnya terbuka ke publik. “Coba lihat, tidak perlu login dulu kan? Tidak ada cookie atau validasi sesi” ujarnya.

Mungkin juga celah ini bisa menyebar ke database pajak pusat.

"Anda bisa memverifikasi dengan mereka bahwa data yang dimasukkan di internet cocok dengan data yang dimasukkan secara manual oleh petugas pajak." Abduh menambahkan, "Databasenya sama."

Abduh mengaku menghubungi salah satu staf Ditjen Pajak. Komentarnya, bagaimanapun, kurang menggembirakan, menurut Abduh.

Pada kenyataannya, kata Abduh, ia mengungkapkan bahwa aplikasi tersebut memiliki kelemahan yang memungkinkan pihak ketiga untuk mengubah data yang ada.

"Saya sudah tunjukkan ke petugas pajak bahwa saya bisa update, bukan hanya untuk melihat," kata Abduh.

Petugas yang dihubungi dari staf e-registrasi NPWP Pajak tersebut membenarkan bahwa dirinya sedang menyelidiki kebenaran celah tersebut. Menurutnya tidak mungkin sistem e-registration pajak bisa dibobol begitu saja.

Budi Raharjo, pakar telematika ITB, mensinyalir keamanan masih menjadi topik pembicaraan di pemerintahan. “Keamanan pemerintah belum dilaksanakan, bahkan tidak dipahami dengan baik,” kata Budi.

Ia menyayangkan hal tersebut bisa terjadi, karena data pelanggan seperti data tempat tinggal (tempat dan tanggal lahir, nama suami/istri/anak) atau data pribadi lainnya sangat berharga dan harus dijaga kerahasiaannya. "Sayangnya penerapan e-goverment tidak menganggap data kependudukan sebagai hal yang penting," ujarnya.

Hal ini, tanpa diragukan lagi, merupakan masalah bagi kita semua. Selanjutnya, jika kita setuju bahwa Single Identity Number akan segera diadopsi, masalah keamanan harus ditangani terlebih dahulu dan menjadi prioritas.

Bagaimana kita bisa mendapatkan kepercayaan publik jika kerahasiaan data mereka dapat diakses secara bebas oleh individu yang tidak bertanggung jawab?

Apa yang telah dilakukan pemerintahan Kanada kiranya patut menjadi contoh buat kita belajar. Di sana masyarakat lebih senang berurusan dengan pemerintah lewat internet ketimbang bertatapan langsung. Mereka juga lebih senang berbelanja secara online ketimbang datang ke toko.

Keadaan ini tentu tidak terjadi begitu saja. Semua merupakan buah dari hasil keras pemerintah yang sangat melindungi data warganya.

Kebijakan Privacy Impact Assessment (PIA) yang berlaku sejak 2002 memastikan agar departemen dan instansi terkait memperhatikan mengenai proteksi terhadap informasi personal warga Kanada dalam penggunaan layanan pemerintahan secara elektronik.

Tindakan pemerintah Kanada harus menjadi model untuk kita contoh. Orang-orang di sana lebih suka berurusan dengan pemerintah secara online daripada secara langsung. Mereka juga lebih suka berbelanja online daripada pergi ke toko.

Jelas, keadaan ini tidak muncul begitu saja. Semua ini adalah hasil dari upaya kerja keras pemerintah untuk melindungi informasi pribadi warganya.

Sejak tahun 2002, kebijakan Privacy Impact Assessment (PIA) telah memastikan bahwa departemen dan lembaga terkait memperhatikan keamanan informasi pribadi individu Kanada saat menggunakan layanan elektronik pemerintah.(*)