Siswa SMK Temukan Celah Sistem Registrasi Domain .ID (PANDI)

This Cirebon – Siapa sangka, keamanan sistem berskala nasional ternyata bisa dijaga oleh seorang remaja. Awalnya, Muhammad Rizky Ramadhan, pelajar SMKN 1 Tembilahan Hulu yang baru berusia 14 tahun, iseng menguji Sistem Registrasi Domain .ID (PANDI). Namun, siapa duga langkah kecil ini justru sukses mencegah potensi pembajakan banyak website di Indonesia.

Awal Mula Temuan Celah

Sebagai anak muda yang hobi ngulik keamanan web (bug hunter), Rizky memang cukup teliti. Pertama-tama, ia menemukan celah kebocoran data (IDOR) di salah satu API sistem tersebut. Akibatnya, data sensitif milik pengguna lain, seperti nama, email, sampai nomor telepon, bisa diakses dengan mudah. Selanjutnya, nomor telepon inilah yang berpotensi jadi jalan masuk buat peretas nakal.

Cara Kerja Pembajakan

Sistem pendaftaran ini rupanya punya celah di bagian alur logikanya (business logic). Misalnya, ada peretas yang mendaftar pakai email pribadinya, tapi sengaja memasukkan nomor telepon korban. Setelah itu, sistem bakal mengirimkan link verifikasi ke email sang peretas. Sayangnya, begitu link tersebut diklik, sistem malah salah mengenali dan langsung memberikan akses ke akun korban gara-gara kecocokan nomor telepon tadi. Oleh karena itu, peretas bisa gampang banget mengambil alih akun (Account Takeover) dan mengacak-acak pengaturan domain korban.

Lapor Cepat, Cegah Dampak Buruk

Untungnya, Rizky paham betul soal etika sebagai hacker yang baik. Alih-alih iseng merusak, ia langsung melaporkan masalah ini ke pihak PANDI. Selain itu, laporan dikirim lewat jalur resmi (responsible disclosure) biar aman dan profesional. Akhirnya, tim PANDI langsung bergerak cepat untuk menambal celah tersebut sebelum ada pihak yang dirugikan.

Kesimpulannya, cerita Rizky ini jadi bukti nyata kalau umur muda bukan halangan buat bikin internet kita lebih aman. Dengan demikian, ekosistem digital di Indonesia pasti bakal jauh lebih tangguh kalau makin banyak anak muda yang peduli keamanan siber seperti Rizky.