Topi Hitam dari Bratang Gede

TIGA pria dengan baju tahanan oranye itu datang bersamaan ke ruang penyidikan Subdirektorat Cyber Crime Kepolisian Daerah Metropolitan Jakarta Raya, Jumat dua pekan lalu. Ketiganya hendak menjalani pemeriksaan sebagai tersangka dugaan aksi meretas ribuan sistem elektronik di puluhan negara. Katon Primadi Sasmitha menjadi tersangka yang dipanggil pertama kali. Setelah itu, menyusul dua rekannya, Nizar Ananta dan Arnold Triwardhana Panggau.

Setelah menjalani pemeriksaan, Katon mengaku bersalah telah merugikan banyak orang dengan cara masuk ke sistem elektronik mereka tanpa izin. Pria 21 tahun ini tetap berkukuh perbuatannya bukan tergolong aksi black hat hacker atau peretas topi hitam seperti yang dituduhkan polisi. Peretas kategori ini masuk ke sistem elektronik tanpa izin untuk mengakses komputer yang terkoneksi ke jaringan lebih luas. "Saya hanya penguji keamanan sistem," kata Katon kepada Tempo, pertengahan Maret lalu.

Katon, Nizar, dan Arnold adalah tiga mahasiswa asal Surabaya yang dicokok tim cyber Polda Metro Jaya pada 11 Maret lalu. Ketiganya mahasiswa semester VI Institut Bisnis dan Informatika Sekolah Tinggi Ilmu Komputer (Stikom) Surabaya. Mereka aktif di Surabaya Black Hat, organisasi kepemudaan bidang teknologi informasi.

Berdasarkan catatan Polda Metro Jaya, ketiga tersangka sudah meretas ribuan sistem di dalam dan luar negeri. Katon tercatat sudah meretas 700 sistem, Nizar meretas 800 sistem, dan Arnold meretas 600 sistem sejak 2016. "Total ada 3.000 sistem di 44 negara. Sisanya dilakukan anggota yang lain," kata Kepala Unit IV Subdirektorat Cyber Crime Direktorat Kriminal Khusus Polda Metro Jaya Komisaris Fian Yunus.

Aksi mereka terbongkar setelah Arnold meretas sistem elektronik kota pintar Los Angeles, Amerika Serikat, pada Januari lalu. Setelah berhasil memindai sistem, ia melalui pesan elektronik memberitahukan pengelola bahwa ada persoalan bug atau kesalahan sistem yang perlu diantisipasi agar datanya tak disalahgunakan orang. Arnold lantas menawarkan jasanya untuk memperbaiki celah sistem itu dengan menyorongkan tarif US$ 2.500 atau sekitar Rp 30 juta.

Pengelola sistem Los Angeles curiga terhadap penawaran Arnold tersebut. Mereka kemudian melapor ke Biro Penyelidik Federal (FBI), badan investigasi utama Departemen Kehakiman Amerika Serikat. FBI menindaklanjuti laporan tersebut dengan melakukan pengecekan data ke Internet Crime Complaint Center (IC3), pusat pelaporan kejahatan Internet di New York, Amerika.

Kata kunci yang mereka masukkan adalah Surabaya Black Hat, Surabaya, e-mail pelaku, dan nama-nama pelaku. Kata kunci itu diambil dari pesan elektronik yang dikirimkan Arnold. Berdasarkan data di lembaga yang menerima laporan kejahatan cyber dari semua negara itu, FBI menemukan 3.000 laporan soal kelompok ini. Dari data itulah FBI bisa mengidentifikasi Arnold, Katon, dan Nizar. FBI selanjutnya meneruskan temuan ini ke kantor Polda Metro Jaya melalui surat resmi pada awal Februari lalu.

Berbekal info awal dari FBI, tim cyber Kepolisian RI mengumpulkan informasi tentang pelaku beserta keluarganya, tempat nongkrong, hingga aktivitas sehari-hari. Polisi juga membuka e-mail dan akun PayPal para pelaku. Proses identifikasi itu tak sampai dua bulan. Tim polisi yang dipimpin Komisaris Fian Yunus lantas meringkus Nizar di salah satu kafe di bilangan Bratang Gede, Surabaya.

Setelah menangkap Nizar, polisi bergerak ke kediaman Katon di daerah Kupang Krajan, Surabaya, dan terakhir mencokok Arnold di rumahnya di Krembangan, Kota Surabaya. Polisi langsung menetapkan ketiganya sebagai tersangka. Mereka dijerat dengan Undang-Undang Informasi dan Transaksi Elektronik serta Tindak Pidana Pencucian Uang. Ancaman pidana penjara paling lama enam tahun atau denda Rp 1 miliar.

Kepala Hubungan Masyarakat Institut Bisnis dan Informatika Stikom Surabaya Sugiharto Adhi Cahyono membenarkan tiga pemuda itu adalah mahasiswa kampus tersebut. Ketiganya sama-sama mengambil jurusan sistem informasi angkatan 2015.

Menurut dia, tiga mahasiswa ini sehari-hari memiliki perilaku baik dan mengantongi indeks prestasi rata-rata di atas 3. Di antara ketiganya, hanya Katon yang diketahui aktif di organisasi kampus Linux User Grup. "Mereka tidak pernah ada catatan pelanggaran," ujar Sugiharto. l l l

BERSAMA empat kawannya, Katon Primadi Sasmitha mendirikan Surabaya Black Hat pada 2012. Istilah black hat atau topi hitam dalam dunia teknologi informasi mengacu pada peretas. Saat itu Katon masih duduk di kelas III sekolah menengah pertama. "Kami mendeklarasikannya lewat Facebook," kata Katon. Setelah ada komunitas ini, ia rajin belajar mengoperasikan sistem informasi hingga akhirnya mahir seperti saat ini.

Katon sering mengadakan acara Surabaya Black Hat di lantai dua Digital Cafe, Jalan Bratang Gede, Surabaya Timur. Kegiatan itu di antaranya Reuni SBH Reborn pada 6 November 2017, Gathering#2 Meretas Website dalam 5 Menit, dan Gathering#3 Membongkar Kejahatan Sosial Media. Menurut salah seorang pekerja di sana, Katon juga sering datang ke kafe itu untuk sekadar nongkrong. "Dia anaknya pendiam," ujar pegawai kafe itu.

Melalui media sosial, komunitas Surabaya Black Hat meluaskan jaringannya. Katon memperkirakan anggota Surabaya Black Hat mencapai 600-700 orang. Selain di Facebook, mereka tergabung di grup WhatsApp, Instagram, Line, dan Telegram. Latar belakang para anggota beragam, dari mahasiswa, akuntan, polisi, sampai wartawan.

Karena tertarik pada segala hal yang berurusan dengan pemrograman komputer, Katon memutuskan kuliah di Stikom Surabaya. Di kampus ini, ia mengenal Nizar Ananta dan Arnold Triwardhana Panggau sejak menjadi mahasiswa baru pada 2015. Mereka kerap nongkrong di Digital Cafe. Ketiganya makin dekat setelah Nizar dan Arnold bergabung dengan Surabaya Black Hat. Menurut polisi, ketiganya kerap melancarkan operasi di Digital Cafe.

Menurut Kepala Unit IV Subdirektorat Cyber Crime Direktorat Kriminal Khusus Polda Metro Jaya Komisaris Fian Yunus, Katon yang mengajak kedua temannya itu untuk melakukan peretasan sistem. "Mayoritas sasarannya adalah database perusahaan swasta," ucap Fian.

Dalam aksinya, Katon menggunakan nama Hitman, Nizar memakai Edward Murdoch, dan Arnold dengan nama Abdul Waras. Terkadang tiga serangkai ini menggunakan nama asli. Setelah berhasil menemukan celah sistem, mereka akan mengirimkan e-mail ke pengelola. Dalam isi surat, Katon dan kedua temannya ini akan langsung mengatakan telah menemukan beberapa kesalahan dalam situs web.

Baru setelah itu Katon memperkenalkan diri dan mengaku sebagai penguji keamanan. Pengelola yang ingin mengetahui sejauh mana permasalahan di sistem mereka akan diminta menghubungi kelompok ini. Menurut seorang perwira polisi, Katon biasanya akan memberikan detail sistem yang bermasalah tadi. "Saya akan bantu memperbaiki dan tentunya dengan sejumlah imbalan," tulis Katon dalam surat elektroniknya kepada korban seperti ditirukan perwira polisi itu.

Ketiga orang ini juga menebar ketakutan kepada pengelola jika sistemnya tak segera diperbaiki. Melalui surat elektronik, ketiganya menuliskan pesan bahwa beberapa kemungkinan yang terjadi jika sistem yang rusak itu dibiarkan. Sejumlah kemungkinan ini, misalnya, website tak bisa diambil alih, data konsumen bisa dicuri pihak lain, atau website tak bisa diakses lagi.

Barulah setelah semua itu, kelompok Katon menawarkan harga yang harus dibayar pengelola atas jasa mereka. Dalam beberapa data korbannya, mereka menetapkan tarif bervariasi. "Tergantung banyaknya data di sistem itu. Semakin banyak datanya semakin mahal," ujar Kepala Subdirektorat Cyber Crime Direktorat Reserse Kriminal Khusus Polda Metro Jaya Ajun Komisaris Besar Roberto Pasaribu.

Saat menyasar CGC Circuit, misalnya, mereka membanderol tarif US$ 600. Ini adalah platform website yang mewadahi seniman, sutradara, programmer, dan fotografer untuk memasarkan produk mereka yang berpusat di Irvine, California, Amerika Serikat. Nizar, yang meretas sistem tersebut, meminta pembayaran dua kali. Pertama setelah adanya kesepakatan untuk perbaikan dan setelah pekerjaannya rampung.

Perusahaan lain yang dipatok tarif lumayan mahal adalah Drums for Schools. Lembaga pelatihan musik yang bermarkas di Inggris itu dibanderol dengan harga US$ 300. Tarifnya paling murah US$ 80 dan paling tinggi US$ 2.500. Target dipilih secara acak melalui Google Dork.

Menurut penelusuran polisi, uang yang dikumpulkan Katon cs sebesar Rp 600 juta. Data itu berdasarkan akun PayPal dan Bitcoin ketiganya. Dari ketiga orang itu, Komisaris Fian Yunus mengatakan Nizar yang mempunyai kemampuan paling hebat. "Jam terbangnya paling tinggi," tuturnya.

Dari hasil pemerasan ini, Nizar bisa membeli rumah di kawasan Jalan Jatayu, Kompleks Rewwin, Waru, Sidoarjo. Perumahan itu dikenal sebagai kawasan elite di pinggiran Surabaya. Rumah itu dijadikan sebagai kantor perusahaan yang didirikan Nizar, Ananta Kreatif Media. Perusahaan ini bergerak di bidang pembuatan aplikasi SMS Blast, aplikasi forecasting, dan aplikasi transaksi penjualan. "Kami belum mendapatkan data pasti soal harga rumah dan kapan dibelinya," ujar Fian.

Dengan penghasilan yang fantastis itu, ketiganya diduga Fian sudah lama beraksi. Di depan penyidik, Katon dan Arnold mengaku memulai "pemerasan" pada Maret 2017. Mereka mengaku hanya mengantongi Rp 20 juta. Sedangkan pengakuan Nizar, aksi meretasnya itu baru dilakukan pada Februari 2018. "Tapi kami punya data e-mail dan akun PayPal. Mereka tidak bisa berkelit. Biarkan saja," ujar Fian.

Tempo sempat mengecek akun PayPal Katon. Akun dengan nama Hitman yang tersambung ke rekening BCA atas nama Katon Primadi Sasmita itu sisa saldonya tercatat US$ 1.800. Dalam sehari, Katon bisa melakukan penarikan uang, seperti pada November tahun lalu, sekitar US$ 2.000.

Penasihat komunitas Surabaya Black Hat, Rama Zeta, mengatakan aktivitas komunitas tersebut vakum setelah penangkapan Katon cs. Ia belum tahu komunitas itu bakal aktif lagi atau tidak. "Sementara ini kami pending dulu," kata Rama.

Linda Trianita, Andita Rahma, Nurhadi (surabaya)

Tiga Peretas Jaringan

AKSI meretas jaringan dan sistem komputer menjadi kegiatan rutin Katon Primadi Sasmitha, Arnold Triwardhana Panggau, dan Nizar Ananta dalam setahun terakhir. Mereka mengenal satu sama lain sejak menjadi mahasiswa baru di Institut Bisnis dan Informatika Sekolah Tinggi Ilmu Komputer Surabaya pada 2015. Berdalih menjual jasa pengamanan jaringan Internet, mereka secara diam-diam masuk ke sistem komputer orang lain tanpa izin.

Alamat: Jalan Kupang Krajan, Sawahan, Surabaya

Status:
- Mahasiswa semester VI Jurusan Komputer dan Keamanan Sistem Informasi Institut Bisnis dan Informatika Stikom Surabaya
- Pendiri komunitas Surabaya Black Hat

Sistem yang diretas: 700

Keahlian:
- Peretasan (hacking)
- Pengembangan website (web development)
- Pengamanan jaringan (network security)

Alamat: Krembangan, Surabaya

Status: Mahasiswa semester VI Jurusan Komputer dan Keamanan Sistem Informasi Institut Bisnis dan Informatika Stikom Surabaya

Sistem yang diretas: 600

Keahlian:
- Peretasan (hacking)
- Pengembangan website (web development)
- Pengamanan jaringan (network security)
- Pengamanan informasi (network information)

Alamat: Jalan Pucang Timur, Gubeng, Surabaya

Status:
- Mahasiswa semester VI Jurusan Komputer dan Keamanan Sistem Informasi Institut Bisnis dan Informatika Stikom Surabaya
- Pemilik Ananta Kreatif Media

Sistem yang diretas: 800

Keahlian:
- Peretasan (hacking)
- Pengembangan website (web development)
- Pengamanan jaringan (network security)
- Analis data
- Analis sistem software
- Programming

Bekerja Sistematis

Kelompok ini bekerja secara sistematis, dari menyiapkan sasaran sampai eksekusi yang ujungnya meminta pembayaran kepada korban.
1. Memilih target secara acak di Google Dork.
2. Memindai sistem elektronik/website target menggunakan SQL.
3. Identifikasi permasalahan di sistem.
4. Mengirim e-mail ke target.
5. Menentukan tarif dari US$ 70 hingga US$ 2.500. Tergantung banyaknya data.
6. Kesepakatan harga.
7. Target mengirim uang muka 50 persen lewat PayPal atau Bitcoin.
8. Memperbaiki persoalan di sistem.
9. Target mengirim sisa pembayaran pelunasan.

Dari Kampus sampai Perusahaan

Berikut ini sebagian dari korban yang menjadi sasaran aksi Katon dan dua rekannya. Total korbannya ada 3.000 perusahaan dan lembaga di 44 negara.

1. Schools India Services Private Limited, India
Jenis perusahaan: Konsultan pendidikan
Tahun peretasan: Januari 2018

2. TeamStats.net, Britania Raya
Jenis perusahaan: Aplikasi permainan sepak bola online
Tahun peretasan: Januari 2018

3. University of Lethbridge, Kanada
Jenis badan: Universitas
Tahun peretasan: Mei 2017

4. Zilog Inc, California, Amerika Serikat
Jenis perusahaan: Produsen mikroprosesor
Tahun peretasan: Januari 2018

5. Georgia Hosting, Amerika
Jenis perusahaan: Penyedia jasa pembuatan situs web untuk usaha kecil
Tahun peretasan: 2017

6. Drums for Schools, Inggris
Jenis badan: Lembaga pendidikan musik
Tahun peretasan: 2017

7. ABBY123, New Jersey, Amerika
Jenis perusahaan: Penyedia software
Tahun peretasan: April 2017

8. RentABoat, New York, Amerika
Jenis perusahaan: Penyewaan kapal dan yacht
Tahun peretasan: Februari 2018

9. Fusesport Inc, Colorado, Amerika
Jenis perusahaan: Aplikasi permainan sepak bola online
Tahun peretasan: Februari 2018

10. City of Los Angeles, Los Angeles, Amerika
Jenis perusahaan: Sistem kota pintar Los Angeles
Tahun peretasan: Januari 2018

11. Outdoor Medicine, Belanda
Jenis perusahaan: Penyedia alat penyelaman
Tahun peretasan: 2017

12. CGC Circuit, Irvine, California, Amerika
Jenis perusahaan: Platform website yang memamerkan dan memasarkan karya seniman, perancang, sutradara, fotografer, dan programmer ke seluruh dunia
Tahun peretasan: 2017