Tak Ada Ruang untuk Sembunyi

Sebuah pesan tiba-tiba muncul di layar chatting Internet komputer Basuki Suhardiman. "Wah, Pak, kok data-data partai ada yang nol?" Basuki melirik sekejap pesan kiriman salah satu stafnya itu. "Come on, ini akhir pekan, mudah-mudahan tidak ada yang serius," Basuki membatin sambil segera membuka situs resmi Komisi Pemilihan Umum (KPU) di http://tnp.kpu.go.id.

Basuki masih berharap, Sabtu 17 April itu akan menjadi akhir pekan yang nyaman bersama keluarganya. Inilah akhir pekan yang dia tunggu-tunggu setelah sehari-hari harus memelototi komputer di kantor KPU Jalan Imam Bonjol, Jakarta. Sebagai sekretaris Tim Teknologi Informasi KPU, dosen Institut Teknologi Bandung ini bertanggung jawab mengawasi data perolehan suara partai politik dalam pemilu.

Sayang, harapan Basuki sia-sia. Dia terbelalak menatap layar Internet. Ya, Tuhan, memang ada yang tidak beres dengan data di situs KPU. Jemarinya pun segera bergerak, mengirim pesan ke stafnya. "Mungkin sedang ada update data. Coba cek."

Detik itu juga, para "pengawal" keamanan komputer KPU mengecek seluruh catatan aktivitas web server yang digunakan untuk melaporkan angka perolehan suara partai dalam pemilu ke masyarakat. Hasil pengecekan menunjukkan, ada aktivitas ganjil di port 80, pintu yang digunakan untuk mengalirkan data-data web.

Setengah panik, Basuki kembali mengirim perintah agar timnya memelototi ribuan catatan itu untuk mencari si penerobos sistem komputer KPU. Usaha itu belum kelar, tiba-tiba muncul lagi pesan pendek stafnya: web server KPU sudah dijebol hacker. Di situs itu, nama-nama partai berubah menjadi nama ajaib: Partai Kolor Ijo, Partai Cucak Rowo, Partai Dukun Beranak, Partai Mbah Jambon, Partai Kelereng.

Sepuluh menit serangan dari hacker, yang belakangan diketahui bernama Dani Firmansyah, telah membuat kesibukan di kantor KPU meningkat. Para pengawal sistem komputer itu berpacu dengan waktu untuk memulihkan sistem dan mencari tahu si pembobol. Dan ini sungguh tidak mudah. Untuk melacak si pembobol, mereka harus memeriksa semua catatan server pada hari itu. Itu artinya, dalam sehari ada 360 ribu catatan yang mesti dilihat satu per satu.

Setelah mengubek-ubek selama 14 jam, titik terang mulai terlihat. "Gara-gara si hacker meninggalkan log (catatan di server), semua jadi mudah. Coba dia enggak mau ngetop, pasti agak rumit melacak," kata Dodi Maryanto, penjaga sistem TI KPU.

Basuki bercerita, pada Minggu dini hari tim ahli komputer KPU mendapatkan dua buah nama samaran yaitu "xnuxer" dan "schizoprenic".

Dani sebenarnya sudah berusaha menyembunyikan identitas. Tapi dia lupa, di ranah dunia maya, ada pepatah suci: no place to hide (tak ada tempat untuk sembunyi). Apa pun aktivitas seseorang, dari sekadar menengok situs hingga mengacak-acak server, semuanya tere-kam. Ini bisa terjadi karena setiap komputer yang mengakses Internet selalu membawa nomor identitas alias IP (Internet protocol). Mirip kode nomor telepon yang berbeda untuk tiap negara, di dunia Internet nomor 202.xxx.xxx.xxx, misalnya, adalah nomor komputer dari Indonesia, atau nomor 208.xxx.xxx.xxx dari Thailand.

Dani jelas tahu aturan ini. Karena itu, dia menyamarkan identitasnya dengan menggunakan proxy server anonim yang bertebaran di seluruh dunia. Gratis pula. Dia menggunakan server di Thailand dengan alamat IP 208.147.1.1. "Cuma dia ceroboh," kata Basuki. Alamat IP komputer di kantornya, PT Danareksa, 202.158.10.117, tercatat saat dia mencoba serangan dengan cross server scripting (XSS). XSS adalah teknik yang pernah bisa menjebol pelanggan surat elektronik Hotmail.

Dengan bekal alamat IP itu semakin terkuaklah teka-teki siapa "xnuxer" dan "schizoprenic". Kedua nama samaran ini sering muncul di ruang chatting IRC (Internet Relay Chatting). Dan setelah ditelusuri lebih lanjut melalui komunitas hacker, ketahuanlah bahwa nama samaran itu sering online dari Warung Internet Warna, Jalan Kaliurang, Yogyakarta.

Mahasiswa Universitas Muhammadiyah Yogyakarta itu, menurut Basuki, rupanya telah berusaha membobol situs KPU sejak 12 April 2004. Berbagai metode dia coba, mulai mencari celah di program bahasa php, melakukan cross server scripting, hingga akhirnya menemukan celah di bagian program database Microsoft, yakni SQL. Dani, yang belajar komputer secara otodidak, menggunakan teknik SQL injection, yakni memberikan perintah tertentu sehingga bisa menembus ke dalam sistem.

Ini sebenarnya trik kuno, sudah dikenal sejak 2000. Masalahnya, saat itu web server KPU memang sedang kebanjiran pengunjung dan sempat macet. Untuk mengatasinya, tim KPU mengarahkan aliran pengakses ke tiga jalur. Ternyata, satu dari tiga jalur itu software-nya lupa di-update.

Di kalangan ahli komputer, teknik yang dipakai Dani disebut kiddies script alias teknik yang biasa digunakan hacker pemula. Begitupun, Dani toh butuh waktu lima hari untuk menemukan celah ini. Semua dia lakukan di sela-sela pekerjaannya menjadi "penjaga" situs PT Danareksa. Menurut catatan KPU, saban hari Dani melayangkan serangan berulang-ulang, pagi, siang, sore, dan malam hari. "Setiap hari rata-rata serangan berlangsung 3-4 jam," ujar Basuki. Bahkan, serangan tak berhenti ketika situs KPU sudah bobol dan dipulihkan kembali. Total serangan Dani berlangsung selama 10 hari.

Aksi Dani baru berhenti pada Kamis, 22 April 2004, saat dia dicokok polisi di kantornya di Gedung Danareksa di Jalan Medan Merdeka Selatan. "Dia merasa aman, karena itu tak pernah mengira akan ditangkap di kantornya," kata Kepala Satuan Cyber Crime Polda Metro Jaya, AKBP Petrus Reinhard Golose.

Ihwal terbongkarnya jejak Dani bukan hal yang aneh. Seperti sistem komputer yang tak pernah sempurna, usaha menyembunyikan jejak juga selalu ada cacatnya. Itu pula yang dialami pembuat virus komputer Melissa, yang sempat menggegerkan beberapa tahun silam. Seorang detektif cyber Richard Smith dari Brookline, Massachusetts, mencium "sidik jari" 32-digit (GUID/globally unique ID) yang tanpa sadar ditinggalkan si hacker. David L. Smith, si pembuat virus, akhirnya ditangkap di Swedia.

Cara serupa juga diterapkan para detektif dalam menangkap pelaku pembuatan virus I Love You. Pembuat virus yang dirancang menggunakan skrip Visual Basic itu dapat dilacak dengan GUID. Data-data GUID mengarah pada 40 nama hacker dari AMA Computer College, Filipina. Merekalah yang kemudian diciduk.

Menurut pakar keamanan komputer ITB Budi Raharjo, umumnya hacker memang sulit menghilangkan jejak. "Selalu saja ketahuan dari catatan yang ada (log)," katanya. Jika log diaktifkan, hacker yang mencoba menghilangkan jejak dengan mendompleng alamat IP orang lain pun tetap terendus. Caranya, mengecek alamat IP pertama, lalu dikembangkan ke alamat IP si pendompleng alamat IP pertama. "Itu bisa ketahuan. Teknik ini hanya dibuat susah saja," kata Budi.

Toh KPU tak mau kebobolan lagi. Kini mereka mengubah web server-nya yang semula menggunakan server berbasis Windows menjadi Unix. Dengan teknik itu, Basuki yakin bisa melacak log para penyusup lebih detail. "Bahkan, yang menggunakan proxy server anonim pun ketahuan," tambah Basuki.

Burhan Sholihin, Putri Alfarini (Tempo News Room), Bobby Gunawan (Bandung)