Bongkar Celah Keamanan, Peneliti Siber Indonesia Dapat Pengakuan NASA

AKURAT.CO Temuan celah keamanan pada sistem yang berada dalam cakupan pengujian NASA mengantarkan praktisi keamanan siber Indonesia, Stephanus Sunarto Purnomo, meraih Letter of Recognition (LOR) dari Lembaga Antariksa AS.

Temuan tersebut bermula dari kerentanan yang pada tahap awal dinilai berada di tingkat Medium-High. Namun, setelah dilakukan validasi manual, analisis kontrol keamanan, dan penelusuran attack path, Stephanus menemukan potensi dampak yang lebih besar.

Dalam proses tersebut, ditemukan paparan yang berkaitan dengan lebih dari 5.000 catatan kredensial internal.

Temuan kemudian dilaporkan melalui mekanisme responsible disclosure kepada pihak terkait dan mendapat pengakuan dari NASA.

Stephanus merupakan praktisi keamanan siber yang berkarier di sektor perbankan Indonesia. Ia memiliki pengalaman di bidang cyber security, IT infrastructure, security monitoring, SIEM, vulnerability management, incident response, dan information security.

Selain bekerja di industri, Stephanus juga aktif sebagai mentor cyber security di salah satu perguruan tinggi di Indonesia.

Baca Juga: Serangan Siber Capai 68 Juta Event dalam 3 Hari, APJII Dorong RUU KKS Segera Disahkan

Dalam melakukan penelitian, Stephanus tidak hanya melihat sebuah kerentanan secara terpisah. Ia mencoba memahami apa yang dapat terjadi apabila kelemahan tersebut dikombinasikan dengan kondisi lain di dalam sistem.

Analisis dilakukan dengan melihat attack surface, perilaku aplikasi, mekanisme autentikasi dan otorisasi, hingga penerapan security boundary.

Pendekatan tersebut kemudian mengarah pada analisis attack path, yakni bagaimana sebuah celah dapat berkembang menjadi risiko yang lebih besar ketika dikombinasikan dengan kelemahan atau kondisi lainnya.

Setelah security boundary berhasil divalidasi, penelitian dilanjutkan dengan impact assessment. Pada tahap ini ditemukan paparan yang berkaitan dengan lebih dari 5.000 credential records.

Paparan kredensial dinilai memiliki risiko yang perlu diperhatikan karena dampaknya dapat bergantung pada validitas akun, jenis kredensial, tingkat hak akses, sumber daya yang terhubung, hingga kemungkinan penggunaan kembali kredensial.

Stephanus menilai perangkat pemindai keamanan otomatis (automated scanner) tetap penting dalam proses pengujian. Namun, alat tersebut tidak selalu mampu memahami konteks sebuah sistem secara menyeluruh.

Baca Juga: Cegah Hoaks, Komisi I DPR Minta Pemerintah Tak Sebar Draf RUU Keamanan dan Ketahanan Siber

Scanner dapat menemukan berbagai indikasi kerentanan, seperti exposed endpoint, kesalahan konfigurasi, kelemahan autentikasi, hingga masalah kontrol akses.

Namun, untuk mengetahui apakah sejumlah kelemahan tersebut dapat dirangkai menjadi sebuah attack path, diperlukan analisis dan penalaran manusia.

Karena itu, tingkat keparahan sebuah kerentanan secara individual belum tentu menggambarkan risiko akhirnya.

Penilaian juga harus mempertimbangkan exploitability, tingkat paparan, hak akses, sensitivitas data, serta potensi dampaknya terhadap organisasi.

Dalam proses penelitian, Stephanus menekankan pentingnya responsible disclosure. Pengujian dilakukan untuk mendapatkan bukti yang cukup tanpa menimbulkan kerusakan terhadap sistem maupun data.

Ia menyebut tidak melakukan perubahan atau penghapusan data, mengganggu layanan, menyalahgunakan akun, maupun menyebarkan atau menjual kredensial yang ditemukan.

Baca Juga: Regulator Global Khawatirkan Risiko Siber dari AI Mythos Anthropic

Informasi sensitif seperti endpoint spesifik, token, kredensial, payload, konfigurasi internal, serta metode bypass juga tidak dipublikasikan untuk mencegah penyalahgunaan.

Setelah temuan didokumentasikan dan dilaporkan melalui mekanisme yang sesuai, Stephanus memperoleh Letter of Recognition dari NASA.

Pengakuan tersebut menjadi salah satu pencapaian penting dalam aktivitasnya sebagai security researcher.

Bagi Stephanus, keberhasilan dalam penelitian keamanan bukan hanya soal menemukan celah, tetapi juga mampu membuktikan risikonya, melaporkannya melalui jalur yang tepat, dan menjaga batas etika selama proses pengujian.

Pengalaman tersebut juga ia bawa dalam aktivitas mentoring. Menurut Stephanus, generasi baru praktisi keamanan siber perlu dibekali bukan hanya kemampuan menggunakan tools, tetapi juga kemampuan berpikir seperti penyerang, memahami perspektif pertahanan, serta mengetahui batas tanggung jawab ketika menemukan sebuah celah.

Temuan ini sekaligus menjadi gambaran bahwa peneliti keamanan siber Indonesia memiliki peluang untuk berkontribusi dalam ekosistem keamanan digital global.

Baca Juga: OpenAI Luncurkan Daybreak, AI Keamanan Siber untuk Deteksi Celah Software

Bagi Stephanus, pengakuan dari NASA bukanlah akhir, melainkan pengingat bahwa bidang keamanan siber terus berkembang dan membutuhkan pembelajaran berkelanjutan.

"Cybersecurity bukan tentang seberapa jauh kita dapat menembus sebuah sistem. Cybersecurity adalah tentang menemukan kelemahan sebelum dimanfaatkan pihak yang berniat buruk, membuktikan risikonya, dan membantu membuat sistem menjadi lebih aman," jelasnya, kepada wartawan di Jakarta, Kamis (3/9/2026).