Defacing

Definisi

Defacing (web defacement) adalah tindakan mengubah tampilan atau konten sebuah website secara ilegal, tanpa izin pemilik atau pengelola website tersebut. Pelaku biasanya mengganti halaman depan website dengan pesan, gambar, atau konten tertentu — bisa berupa vandalisme digital, protes politik, unjuk kemampuan hacking, atau kadang sekadar iseng menguji celah keamanan.

Meski terkesan “hanya mengubah tampilan” dan tidak selalu bermotif finansial, defacing tetap merupakan tindak pidana serius di mata hukum Indonesia karena melibatkan dua pelanggaran sekaligus: akses tanpa izin ke sistem orang lain, dan pengubahan data/informasi milik orang lain tanpa hak.

Unsur-Unsur Delik

Agar suatu perbuatan bisa dijerat sebagai defacing menurut UU ITE, umumnya harus memenuhi unsur-unsur berikut:

1. Kesengajaan — dilakukan dengan sengaja, bukan kesalahan teknis atau kecelakaan sistem.
2. Tanpa hak atau melawan hukum — pelaku tidak memiliki izin sah dari pemilik sistem untuk mengaksesnya.
3. Menerobos sistem pengamanan — untuk Pasal 30 ayat (3), harus ada unsur melanggar, menerobos, melampaui, atau menjebol sistem pengamanan yang ada.
4. Mengubah informasi elektronik — untuk Pasal 32 ayat (1), harus ada tindakan mengubah, menambah, mengurangi, merusak, atau menghilangkan informasi/dokumen elektronik milik orang lain atau publik.

Kedua pasal ini sering dikenakan bersamaan (juncto) karena defacing pada praktiknya melibatkan akses ilegal terlebih dahulu, baru kemudian pengubahan tampilan halaman.

Dasar Hukum

UU ITE (awalnya UU No. 11 Tahun 2008, diubah UU No. 19 Tahun 2016, dan terakhir UU No. 1 Tahun 2024) menjadi dasar hukum utama penindakan defacing. Pasal 30 ayat (3) mengatur akses ilegal dengan menerobos sistem pengamanan. Pasal 32 ayat (1) mengatur pengubahan informasi elektronik milik orang lain tanpa hak. Keduanya diancam pidana dalam Pasal 46 dan Pasal 48 UU ITE.

Selain UU ITE, jika defacing menyebabkan kerugian materiil bagi korban — misalnya toko online yang tampilannya diretas sehingga kehilangan penjualan — korban juga bisa mengajukan gugatan perdata perbuatan melawan hukum untuk menuntut ganti rugi, terpisah dari proses pidananya.

Sanksi

Pelanggaran Pasal 30 ayat (3) diancam pidana penjara paling lama 8 tahun dan/atau denda paling banyak Rp800 juta. Pelanggaran Pasal 32 ayat (1) diancam pidana penjara paling lama 8 tahun dan/atau denda paling banyak Rp2 miliar. Karena kedua pasal ini kerap dikenakan sekaligus (juncto) terhadap satu perbuatan defacing, pelaku menghadapi jerat hukum berlapis dengan ancaman kumulatif yang berat.

Jika defacing dilakukan terhadap website pemerintah, infrastruktur kritis, atau sistem yang menyangkut kepentingan publik dan keamanan negara, penanganannya menjadi prioritas dan melibatkan Badan Siber dan Sandi Negara (BSSN) di samping kepolisian, mengingat dampaknya dianggap lebih serius terhadap keamanan siber nasional.

Contoh Kasus

Website resmi sebuah kementerian pemerintah mengalami defacing oleh peretas yang mengganti halaman depan dengan pesan protes politik. Tim BSSN dan kepolisian melakukan investigasi digital forensik dan berhasil mengidentifikasi pelaku, yang kemudian dijerat Pasal 30 ayat (3) juncto Pasal 46 ayat (3) dan Pasal 32 ayat (1) juncto Pasal 48 ayat (1) UU ITE.

Seorang remaja melakukan defacing terhadap puluhan website sekolah dan universitas untuk memamerkan kemampuan hackingnya di forum komunitas peretas. Meskipun tidak ada motif finansial dan pelaku beralasan hanya “iseng menguji keamanan”, ia tetap dijerat UU ITE karena unsur akses ilegal dan pengubahan konten tanpa izin sudah terpenuhi, terlepas dari niat awalnya.

Sebuah toko online kecil mengalami defacing yang mengganti seluruh halaman produknya dengan pesan pemerasan, meminta pembayaran agar situs dikembalikan seperti semula. Pemilik toko melapor ke kepolisian dan kasus ini ditangani sebagai gabungan tindak pidana akses ilegal, pengubahan data, dan pemerasan, karena ada unsur ancaman untuk memperoleh keuntungan.

Cara Melapor

Korban defacing sebaiknya segera mengambil langkah berikut sebelum melapor:

1. Amankan bukti — screenshot tampilan yang sudah diubah, catat waktu kejadian, dan simpan log server bila masih tersedia sebelum ditimpa aktivitas baru.
2. Jangan buru-buru membersihkan sistem — pembersihan terburu-buru bisa menghilangkan jejak digital yang dibutuhkan penyidik untuk melacak pelaku.
3. Lapor ke Direktorat Tindak Pidana Siber Bareskrim Polri atau unit siber kepolisian daerah setempat, dengan membawa bukti-bukti yang sudah dikumpulkan.
4. Untuk website instansi pemerintah atau infrastruktur kritis, laporan juga bisa disampaikan ke BSSN melalui kanal pengaduan insiden siber resminya.
5. Konsultasi hukum bila ingin menuntut ganti rugi perdata di samping proses pidana, terutama jika defacing menimbulkan kerugian usaha yang nyata.

Pertanyaan yang Sering Diajukan

Apakah defacing yang dilakukan untuk “menguji keamanan” sebelum melapor ke pemilik situs tetap dianggap kejahatan? Ya, kalau dilakukan tanpa izin tertulis dari pemilik sistem sebelumnya. Praktik keamanan siber yang sah, seperti penetration testing, hanya legal jika ada kesepakatan atau otorisasi eksplisit dari pemilik sistem. Tanpa izin itu, sekalipun niatnya baik atau disebut sebagai “white hat”, unsur akses tanpa hak tetap terpenuhi.

Apakah pemilik website ikut bertanggung jawab kalau sistemnya diretas karena keamanannya lemah? Pemilik website tidak dipidana atas peretasan yang menimpanya, tapi bisa dianggap lalai secara administratif atau perdata jika terbukti tidak menerapkan standar keamanan minimum yang wajar, terutama bila sistem tersebut menyimpan data pengguna. Tanggung jawab pidana tetap ada di pihak pelaku defacing, bukan korban.

Berapa lama proses hukum kasus defacing biasanya berjalan? Tidak ada patokan waktu baku karena sangat tergantung kompleksitas investigasi digital forensik, terutama bila pelaku menyembunyikan jejaknya lewat VPN atau server proxy di luar negeri. Kasus dengan bukti digital yang jelas dan pelaku yang cepat teridentifikasi bisa berjalan relatif lebih cepat dibanding kasus lintas yurisdiksi.

Apakah defacing terhadap akun media sosial termasuk kategori yang sama dengan defacing website? Secara prinsip serupa — mengubah tampilan atau konten akun media sosial orang lain tanpa izin juga bisa dijerat pasal akses ilegal dan pengubahan informasi elektronik dalam UU ITE, meskipun objeknya bukan website melainkan akun pada platform pihak ketiga.