Definisi
DDoS (Distributed Denial of Service) attack adalah serangan siber yang membanjiri server, jaringan, atau sistem elektronik target dengan volume lalu lintas data yang sangat besar dari banyak sumber sekaligus, sehingga sistem kewalahan dan tidak lagi bisa melayani permintaan yang sah dari pengguna sebenarnya. Kata “distributed” dalam namanya merujuk pada sumber serangan yang tersebar dari ribuan hingga jutaan perangkat berbeda secara bersamaan, membedakannya dari serangan denial of service biasa yang hanya berasal dari satu sumber dan jauh lebih mudah diblokir.
Tujuan serangan DDoS bukan mencuri data, melainkan melumpuhkan ketersediaan layanan — situs jadi lambat, tidak bisa diakses, atau bahkan mati total selama serangan berlangsung. Karena itu, dampak yang paling dirasakan korban biasanya kerugian bisnis akibat layanan lumpuh, bukan kebocoran data seperti pada jenis kejahatan siber lain.
Serangan DDoS umumnya dijalankan lewat botnet, yaitu jaringan komputer atau perangkat Internet of Things yang sudah terinfeksi malware dan bisa dikendalikan jarak jauh oleh pelaku tanpa sepengetahuan pemilik perangkat. Pemilik perangkat yang terinfeksi biasanya tidak menyadari perangkatnya ikut menjadi bagian dari serangan terhadap pihak lain.
Dasar Hukum
UU ITE melarang setiap orang dengan sengaja dan tanpa hak melakukan tindakan apa pun yang mengakibatkan terganggunya sistem elektronik atau membuat sistem elektronik tidak bekerja sebagaimana mestinya — rumusan yang cukup luas untuk mencakup berbagai teknik gangguan sistem, termasuk DDoS. Pelaku yang terbukti melakukan perbuatan ini diancam pidana penjara hingga sepuluh tahun dan/atau denda hingga sepuluh miliar rupiah.
Selain UU ITE, jika serangan DDoS ditujukan pada sistem elektronik milik lembaga negara atau infrastruktur informasi vital, penanganannya juga bisa melibatkan Badan Siber dan Sandi Negara (BSSN) sebagai lembaga yang bertugas menjaga keamanan siber nasional, di luar proses pidana yang berjalan lewat kepolisian.
Jenis-Jenis Serangan DDoS
Serangan DDoS dibedakan berdasarkan lapisan jaringan yang diserang. Volumetric attack membanjiri bandwidth target dengan volume data mentah sebesar mungkin sampai kapasitas jaringan habis. Protocol attack mengeksploitasi kelemahan pada protokol komunikasi jaringan, misalnya dengan mengirim permintaan koneksi yang sengaja tidak pernah diselesaikan sehingga menghabiskan sumber daya server. Application layer attack menyasar aplikasi web secara langsung, misalnya dengan membanjiri halaman pencarian atau formulir login dengan permintaan yang tampak seperti aktivitas pengguna biasa sehingga lebih sulit dibedakan dari lalu lintas sah.
Kombinasi beberapa jenis serangan sekaligus (multi-vector attack) kian umum karena membuat upaya mitigasi jadi lebih rumit, sebab tim keamanan harus menangani beberapa pola serangan berbeda dalam waktu bersamaan.
Dari sisi motif, serangan DDoS bisa dipicu berbagai alasan: persaingan bisnis yang ingin mengganggu operasional pesaing, aktivisme daring (hacktivism) untuk memprotes suatu kebijakan atau organisasi, pemerasan digital di mana pelaku meminta tebusan agar serangan dihentikan, hingga sekadar unjuk kemampuan teknis oleh individu yang menyewa jasa serangan dari pasar gelap digital dengan biaya yang kini relatif terjangkau.
Hak dan Kewajiban Para Pihak
Penyelenggara sistem elektronik memiliki kewajiban menjaga keandalan dan keamanan sistemnya, termasuk menyiapkan mekanisme mitigasi dasar terhadap potensi serangan DDoS, sehingga kelalaian menyiapkan pengamanan minimum bisa turut dipertimbangkan ketika terjadi gangguan layanan yang merugikan pengguna. Pengguna layanan di sisi lain berhak menuntut kompensasi atau kejelasan informasi dari penyelenggara sistem elektronik saat layanan terganggu dalam waktu lama, terutama jika penyelenggara tidak transparan soal penyebab dan langkah pemulihan yang diambil.
Ilustrasi Kasus
Beberapa situs layanan pemerintah pernah mengalami serangan DDoS yang membuat layanannya tidak bisa diakses masyarakat selama beberapa jam. BSSN bekerja sama dengan penyelenggara sistem elektronik terkait melakukan mitigasi dengan menyaring lalu lintas mencurigakan dan mengalihkan trafik ke sistem cadangan, sementara penyelidikan mengungkap bahwa serangan berasal dari botnet yang tersebar di berbagai negara sehingga sulit dilacak ke satu titik asal tunggal.
Kasus lain menimpa toko daring milik Pak Yusuf yang mengalami serangan DDoS tepat saat menggelar promosi besar tahunan, membuat situsnya tidak bisa diakses pembeli selama beberapa jam pada hari paling ramai transaksi. Setelah ditelusuri, pelaku ternyata kompetitor bisnis yang menyewa jasa serangan DDoS dari pasar gelap digital untuk mengganggu penjualan Pak Yusuf. Pelaku berhasil diidentifikasi lewat jejak pembayaran ke penyedia jasa serangan tersebut dan dijerat ketentuan gangguan sistem elektronik dalam UU ITE.
Konsekuensi Hukum
Selain ancaman pidana penjara dan denda dari UU ITE, pelaku serangan DDoS juga berpotensi digugat secara perdata oleh korban untuk mengganti kerugian bisnis yang timbul akibat layanan yang lumpuh, seperti kehilangan pendapatan selama sistem tidak bisa diakses. Bagi pelaku yang bertindak sebagai penyedia jasa serangan DDoS untuk disewakan kepada pihak lain, keterlibatannya bisa dijerat lebih berat karena turut menyediakan sarana bagi orang lain melakukan tindak pidana, sehingga penegak hukum biasanya menelusuri seluruh rantai mulai dari penyedia jasa hingga penyewa yang memesan serangan.
Cara Melapor
Korban serangan DDoS sebaiknya segera mendokumentasikan bukti serangan berupa log server, catatan lonjakan trafik yang tidak wajar, dan waktu terjadinya gangguan, sebelum melapor. Laporan pidana dapat diajukan ke Direktorat Tindak Pidana Siber Bareskrim Polri, sementara untuk sistem elektronik milik instansi pemerintah atau infrastruktur vital, laporan insiden sebaiknya juga disampaikan ke BSSN agar mendapat dukungan mitigasi teknis. Perusahaan yang sering menjadi target sebaiknya juga berlangganan layanan mitigasi DDoS dari penyedia keamanan siber sebagai langkah pencegahan, karena serangan semacam ini seringkali datang berulang begitu pelaku tahu targetnya rentan.