SULAWESI BARAT — Pemerintah Amerika Serikat resmi membuka pintu bagi perusahaan swasta untuk terlibat langsung dalam operasi serangan siber ofensif. Langkah ini ditujukan untuk membongkar jaringan kejahatan terorganisir yang selama ini menjadi dalang ransomware, sextortion, penipuan finansial, dan phishing yang merugikan warga AS.
Keputusan yang tertuang dalam national security presidential memorandum itu disebut-sebut sebagai cara pemerintah memanfaatkan "kapabilitas dan inovasi sektor swasta" untuk merespons ancaman siber yang kian masif. Namun, banyak hal teknis mengenai bagaimana mekanisme ini akan berjalan masih belum jelas.
Secara tradisional, Computer Fraud and Abuse Act (CFAA) menjadi payung hukum utama yang mengkriminalisasi peretasan, akses komputer tanpa izin, dan berbagai serangan siber lainnya. Aturan ini berlaku sama bagi individu maupun korporasi.
Memorandum ini menjadi tonggak baru karena secara signifikan memperluas jenis aktivitas siber yang bisa dikecualikan dari tuntutan pidana oleh Departemen Kehakiman (DOJ). Sebelumnya, pada 2022, DOJ memang sudah mengumumkan tidak akan menuntut peretas topi putih (white-hat) yang melakukan riset keamanan. Kini, cakupannya jauh lebih luas dari sekadar riset.
Penandatanganan memorandum ini terjadi setelah serangkaian serangan siber ke fasilitas air di Minnesota dan Michigan yang kemudian dikaitkan dengan aktor asal Iran. Insiden tersebut memicu kekhawatiran serius tentang keamanan infrastruktur kritis, mendorong pemerintah mengambil langkah yang lebih agresif.
Memorandum tersebut menugaskan Satuan Tugas Keamanan Dalam Negeri (Homeland Security Task Force) untuk menyusun standar seleksi bagi perusahaan yang ingin berpartisipasi. Prosedur pelaksanaan serangan juga akan dirancang oleh badan ini.
Detail lengkap mengenai standar dan prosedur tersebut dijadwalkan rampung dalam 60 hari ke depan. Ini berarti belum ada perusahaan yang bisa langsung mendaftar atau beroperasi sampai kerangka kerja tersebut final.
Ada satu syarat finansial yang menarik: perusahaan yang ikut serta wajib membayar jaminan sebesar USD 1 juta (sekitar Rp 16,5 miliar). Uang jaminan ini akan hangus jika perusahaan dianggap tidak mematuhi arahan pemerintah dalam menjalankan operasi.
Bagi perusahaan yang patuh, ada dua keuntungan utama. Pertama, mereka mendapatkan perlindungan dari tuntutan hukum di AS atas aktivitas yang mereka lakukan. Kedua, mereka memiliki insentif finansial dan reputasi sebagai mitra keamanan nasional.
Namun, memorandum ini sama sekali tidak menjelaskan skenario terburuk: apa yang terjadi jika perusahaan atau karyawan individu dituntut secara pidana di negara asing tempat komputer target berada? Ini adalah celah hukum yang sangat besar.
AS sendiri sering kali menjadi pihak yang menuntut peretas asing di pengadilannya. Sangat mudah membayangkan bahwa serangan yang disetujui AS ini bisa berujung pada pembalasan hukum serupa dari negara lain terhadap perusahaan Amerika yang terlibat.
Bagi pengguna teknologi di Indonesia, kebijakan ini menjadi pengingat bahwa operasi keamanan siber global semakin kompleks. Perusahaan swasta kini bisa menjadi garda depan sekaligus sasaran balas dendam dalam konflik digital antarnegara, dan hal itu berpotensi memengaruhi rantai pasok layanan digital yang kita gunakan sehari-hari.