06/08/2026
Kemampuan Fariz Maulana di bidang keamanan siber membawanya mendapat apresiasi dari Pemerintah Provinsi Bali. Pelajar kelas XII SMK Al-Falah Moga, Pemalang, Jawa Tengah, berusia 17 tahun ini berhasil menemukan kerentanan berkategori critical pada Website Portal PBJ Aset Biro Pengadaan Barang/Jasa dan Perekonomian Setda Provinsi Bali. Temuan tersebut dilaporkan melalui mekanisme responsible disclosure kepada Bali Prov-CSIRT pada 30 April 2026 dan berhasil ditindaklanjuti hingga sistem diamankan.
Atas kontribusinya membantu mengamankan sistem elektronik milik Pemerintah Provinsi Bali, Fariz menerima sertifikat apresiasi resmi yang ditandatangani secara elektronik oleh Kepala Dinas Komunikasi, Informatika, dan Statistik Provinsi Bali.
Fariz yang aktif sebagai cybersecurity researcher atau ethical hacker menjelaskan bahwa kerentanan yang ditemukannya berada pada kategori critical, yakni tingkat risiko paling tinggi dalam klasifikasi keamanan siber. Saat melakukan analisis, ia menemukan server website telah disusupi malware yang berpotensi dimanfaatkan oleh pihak lain apabila tidak segera ditangani.
"Nah, di portal PBJ ini kemarin ada malware atau virus yang udah menguasai servernya ini. Kemarin saya analisis sama udah kontak-kontakan juga sama tim dari CSIRT Bali Prov, itu udah ditangani," ujar Fariz saat dihubungi via telepon, Senin (3/8). Menurut Fariz, dampak dari kerentanan tersebut bukan sekadar gangguan pada website, tetapi dapat berujung pada pengambilalihan server oleh pihak yang tidak bertanggung jawab.
Dari hasil penelusurannya, ia juga menemukan indikasi bahwa server sempat disusupi dari alamat IP luar negeri. Malware tersebut diduga dimanfaatkan untuk aktivitas crypto jacking atau penambangan mata uang kripto secara ilegal menggunakan sumber daya server. "Dampaknya ini pengambilalihan. Berarti website Bali ini, portal PBJ ini, bisa dikuasai pihak lain," katanya. Meski menemukan kerentanan serius, Fariz mengaku tetap memegang prinsip ethical hacking.
Ia tidak melakukan eksploitasi lebih jauh maupun membuka data yang berada di dalam sistem karena memahami batasan seorang peneliti keamanan siber.
"Kalau ethical hacking kan hacking etis ya. Berarti kita tahu batasan. Kayak kita enggak boleh buka-buka data yang sensitif. Kalau ilegal udah termasuk bisa ngambil data sensitif gitu. Saya lebih milih ngelaporin daripada merusak," tegasnya. Fariz menceritakan, penemuan tersebut berawal saat dirinya mengikuti Vulnerability Disclosure Program (VDP) Bali Bounty. Awalnya ia sempat mengirim laporan ke kanal yang keliru. Setelah mengetahui bahwa website tersebut berada di bawah Pemerintah Provinsi Bali, ia kemudian mengirimkan laporan langsung melalui surat elektronik kepada pengelola website dan diteruskan kepada Bali Prov-CSIRT.
Respons dari Pemerintah Provinsi Bali, menurutnya, cukup baik. Tim CSIRT meminta waktu untuk melakukan analisis sebelum akhirnya melakukan penanganan terhadap kerentanan yang dilaporkan. "Termasuk cepat, tapi penerbitannya emang lama sih. Dari April tanggal 30 sama baru kemarin. Cuman ya termasuk mengapresiasi juga," ujarnya.
Proses menemukan kerentanan tersebut juga berlangsung relatif singkat. Fariz mengatakan hanya membutuhkan beberapa jam untuk melakukan proses scanning hingga menemukan celah keamanan yang kemudian dilaporkan kepada pengelola sistem. "Kira-kira enggak ada sehari sih. Soalnya kan proses scanning sampai menemukan kerentanan itu relatif cepat, beberapa jam doang," katanya. Yang menarik, seluruh proses tersebut dilakukan tanpa menggunakan komputer ataupun laptop. Fariz mengaku hanya mengandalkan telepon genggam Android miliknya dengan aplikasi Termux untuk melakukan scanning, analisis awal hingga menyusun laporan kepada Pemerintah Provinsi Bali.
"Saya scanning sampai laporan pake HP doang plus pakai Termux. Gak punya laptop soalnya," ungkapnya. Ketertarikan Fariz terhadap dunia keamanan siber sebenarnya sudah muncul sejak duduk di bangku kelas VI sekolah dasar (SD). Setelah sempat berhenti beberapa tahun, ia kembali mendalami bidang tersebut saat duduk di kelas XI SMK.
Seluruh kemampuan yang dimilikinya dipelajari secara otodidak dengan memanfaatkan berbagai sumber belajar di internet. "Otodidak. Saya seringnya pakai AI buat belajar sama YouTube," cetusnya. Meski belajar secara mandiri, Fariz mengaku tidak mengalami kendala berarti dalam memahami materi. Tantangan yang justru sering dihadapinya adalah ketika laporan kerentanan yang dikirim kepada sejumlah instansi tidak mendapatkan tanggapan. "Sering. Cuman ya itu, enggak di-notice sama pihaknya," katanya.
Temuan pada website Pemerintah Provinsi Bali bukanlah yang pertama bagi Fariz. Sebelumnya ia juga pernah menemukan kerentanan pada sistem milik Universitas Airlangga serta sejumlah sistem lainnya. Namun, tidak semua laporan yang disampaikannya memperoleh respons maupun tindak lanjut dari pengelola sistem. Saat ini Fariz aktif bergabung dalam komunitas keamanan siber Metaforsec. Ia mengaku ingin terus menekuni dunia teknologi informasi, khususnya bidang keamanan siber, sebagai cita-cita kariernya di masa depan.
Meski telah menerima sertifikat apresiasi dari Pemerintah Provinsi Bali, Fariz berharap ke depan pemerintah maupun instansi lain dapat memberikan bentuk penghargaan yang lebih besar kepada para peneliti keamanan siber yang membantu menemukan kerentanan, terutama yang berkategori critical. "Jujur, pengin sih. Soalnya kan itu tergolong kerentanan yang mungkin berpotensi banyak. Soalnya itu kan milik umum. Kalau di program sendiri itu biasanya dapat reward juga. Lumayan gede, soalnya tergolong critical, tingkat paling tinggi," ujarnya.
Fariz berharap semakin banyak anak muda Indonesia tertarik mendalami keamanan siber dan memanfaatkan teknologi untuk hal-hal positif. Menurutnya, perkembangan teknologi harus diimbangi dengan kemampuan sumber daya manusia agar tidak tertinggal.
"Pesan-pesan sih buat anak muda sekarang ya imbangi teknologi, jangan teknologi yang mendahului kita," tandasnya. Sementara itu, Kepala Bidang Persandian Dinas Komunikasi, Informatika, dan Statistik (Diskominfomas) Provinsi Bali, I Putu Sundika, menjelaskan hasil verifikasi Bali Prov-CSIRT menunjukkan kerentanan yang ditemukan pada Website Portal PBJ Aset berasal dari adanya port yang terbuka pada sistem. Setelah menerima laporan dari Fariz, tim segera berkoordinasi dengan pengelola Portal PBJ untuk melakukan penanganan dengan menutup port tersebut.
Kata Sundika, setiap laporan kerentanan yang diterima Pemerintah Provinsi Bali dari masyarakat maupun komunitas keamanan siber akan terlebih dahulu diverifikasi. Apabila laporan dinyatakan valid, pemerintah memberikan apresiasi kepada pelapor sekaligus meminta pemilik sistem segera melakukan penguatan terhadap celah yang ditemukan.
"Kalau memang publik ada notifikasi, kita cek lagi notifikasi dari mereka itu benar tidaknya, valid apa tidaknya. Kalau valid, kita berikan dia apresiasi bahwa sudah menemukan dan kemudian kita proses di sini untuk kepemilikan asetnya untuk melakukan penguatan," ujarnya. Ia menjelaskan, pada kasus Portal PBJ Aset, celah keamanan berasal dari port yang terbuka untuk akses publik, padahal seharusnya hanya digunakan untuk kebutuhan internal.
"Untuk PBJ kalau enggak salah ada port terbuka. Port itu biasanya dibuka untuk internal. Akhirnya kita konfirmasi ke PBJ bahwa untuk ditutup," katanya. Sundika menerangkan port tersebut merupakan jalur yang berpotensi dimanfaatkan pihak lain untuk memasukkan berbagai program berbahaya apabila tidak segera diamankan.
"Port itu kayak jalan masuk. Begitu diberikan jalan masuknya ke umum, ini berbahaya, takutnya nanti diletakkan sesuatu yang enggak seharusnya ada di sana. Bisa malware, bisa segala macam. Intinya sebenarnya harusnya menutup port itu," ujarnya. Dalam proses verifikasi, tim juga menemukan adanya file berekstensi .sh pada server. Menurutnya, file tersebut lazim digunakan sebagai skrip untuk mengunduh malware, meskipun saat pemeriksaan belum ditemukan adanya malware aktif di dalam sistem.
"Kalau kemarin bukti yang dia (Fariz) sertakan itu memang ada file .sh. File .sh itu salah satu fungsinya adalah melakukan download malware," katanya. Ia menambahkan keberadaan file tersebut belum tentu berasal dari aktivitas manusia karena sangat mungkin dibuat secara otomatis oleh bot yang memindai server dengan port terbuka.
Setelah menerima laporan tersebut, Pemerintah Provinsi Bali segera melakukan mitigasi dengan menutup port yang menjadi sumber kerentanan. "Sekarang sudah ditutup, port-nya terutama sudah ditutup," katanya. Terkait apresiasi kepada Fariz, Sundika mengatakan Pemerintah Provinsi Bali memberikan sertifikat kepada setiap pelapor yang terbukti menyampaikan laporan valid, tanpa membedakan latar belakangnya.
"Siapa saja, mau dia murid, mau dia apa, selama laporannya itu kita pastikan valid, kita berikan dia apresiasi," ujarnya. Menurut Sundika, partisipasi masyarakat menjadi salah satu unsur penting dalam menjaga keamanan ruang siber pemerintah karena jumlah aset digital yang dikelola sangat banyak dan tidak seluruhnya dapat dipantau secara maksimal setiap saat.
๐๐๐ฅ๐๐ง๐ ๐ค๐๐ฉ๐ง๐ฒ๐ ๐๐ข ๐ฐ๐ฐ๐ฐ.๐๐ฎ๐ฌ๐๐๐๐ฅ๐ข.๐๐จ๐ฆ
Reporter NusaBali: Adi Putra
๐ท: IST
