Definisi
Hacking atau peretasan adalah perbuatan mengakses komputer, sistem elektronik, atau akun milik orang lain tanpa hak. Inti persoalannya bukan pada tingkat kecanggihan tekniknya, melainkan pada satu kata: hak. Menebak kata sandi pasangan lalu membuka surelnya sama-sama peretasan dengan menerobos server perusahaan, meskipun kesulitan teknisnya jauh berbeda.
UU ITE membagi peretasan menjadi tiga tingkat. Tingkat paling dasar adalah mengakses saja. Tingkat kedua, mengakses dengan tujuan mengambil informasi. Tingkat ketiga, mengakses dengan menjebol sistem pengamanan. Semakin ke bawah, ancaman pidananya semakin berat.
Peretasan jarang berdiri sendiri sebagai satu-satunya delik. Setelah masuk, pelaku biasanya melakukan sesuatu — mengambil data, mengubah tampilan situs, menghapus berkas, atau mengunci sistem. Perbuatan lanjutan itu punya rumusan pidananya sendiri, sehingga dakwaannya menjadi berlapis.
Unsur-Unsur yang Harus Terpenuhi
Agar suatu perbuatan dapat dijerat sebagai akses ilegal, empat hal perlu terbukti:
- Adanya akses. Sistem benar-benar terbuka bagi pelaku, bukan sekadar dicoba dan gagal. Percobaan yang gagal dinilai dengan aturan percobaan tindak pidana, bukan sebagai delik selesai.
- Objeknya komputer atau sistem elektronik milik orang lain. Membuka sistem milik sendiri, sekalipun dengan cara aneh, tidak masuk rumusan ini.
- Tanpa hak atau melawan hukum. Inilah unsur yang paling sering diperdebatkan. Karyawan yang punya akun sah tetapi memakainya di luar kewenangan tetap dapat dinilai bertindak tanpa hak.
- Kesengajaan. Masuk karena tautan yang keliru, atau karena sistem memang terbuka tanpa pengamanan sama sekali, melemahkan unsur ini.
Untuk tingkat terberat, ditambah satu unsur lagi: adanya sistem pengamanan yang ditembus. Sistem yang dibiarkan tanpa kata sandi sulit dianggap “dijebol”, meskipun aksesnya tetap tanpa hak.
Dasar Hukum
Aturan pokoknya ada di UU No. 11 Tahun 2008 tentang ITE, yang telah diubah dengan UU No. 19 Tahun 2016 dan UU No. 1 Tahun 2024. Rumusan akses ilegal berada di Pasal 30, dengan ancaman pidananya di Pasal 46 — berjenjang dari 6 tahun, 7 tahun, sampai 8 tahun penjara sesuai tingkat perbuatannya.
Kalau setelah masuk pelaku mengubah, merusak, atau memindahkan data, berlaku Pasal 32 dengan ancaman yang lebih berat lagi. Kalau data yang diambil berupa data pribadi, UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi ikut berlaku dengan rezim pidananya sendiri.
Sejak 2 Januari 2026, KUHP baru berdasarkan UU No. 1 Tahun 2023 berlaku penuh. UU ITE tetap menjadi aturan khusus untuk delik siber, sehingga peretasan tetap diproses dengannya, sementara KUHP baru menjadi rujukan asas umum pemidanaan.
Yang perlu diperhatikan, UU ITE punya jangkauan ekstrateritorial. Peretas yang beroperasi dari luar negeri tetap dapat dijerat sepanjang akibat perbuatannya dirasakan di Indonesia.
Ilustrasi
Seorang mantan staf teknologi informasi sebuah perusahaan distribusi berhenti bekerja, tetapi akun administratornya tidak pernah dinonaktifkan. Dua bulan kemudian ia masuk kembali ke sistem, mengunduh daftar pelanggan, lalu menghapus beberapa berkas laporan penjualan.
Perbuatannya terurai menjadi tiga. Masuk ke sistem yang bukan haknya lagi adalah akses ilegal. Mengunduh daftar pelanggan menambah unsur tujuan memperoleh informasi, sekaligus menyentuh larangan pengumpulan data pribadi. Menghapus berkas laporan adalah perbuatan terhadap informasi elektronik milik orang lain, dengan ancaman pidana lebih berat.
Yang membuat perkaranya kuat adalah catatan log sistem: waktu masuk, alamat IP, dan berkas yang diakses. Tanpa log itu, pembuktian menjadi sangat sulit. Karena itu, langkah pertama korban peretasan bukan memperbaiki sistem, melainkan mengamankan salinan lognya lebih dulu.
Perbedaan Peretas Jahat dan Peretas Etis
Istilah “hacker” di media selalu berkonotasi kejahatan, padahal pengujian keamanan adalah profesi yang sah. Pembedanya satu: izin tertulis.
| Aspek | Peretasan melawan hukum | Pengujian keamanan yang sah |
|---|---|---|
| Dasar masuk | Tidak ada izin pemilik sistem | Perjanjian tertulis atau program bug bounty |
| Batas kerja | Tidak ada, sesuka pelaku | Ditentukan lingkupnya: sistem mana, kapan, sejauh apa |
| Perlakuan atas data | Diambil, dijual, atau disebar | Tidak diunduh; kalaupun perlu, dimusnahkan setelah dilaporkan |
| Setelah temuan | Dipakai untuk memeras atau dijual | Dilaporkan kepada pemilik sistem |
| Akibat hukum | Pidana | Tidak dipidana sepanjang tetap di dalam lingkup izin |
Yang sering terlewat: izin lisan tidak cukup, dan keluar dari lingkup yang disepakati mengembalikan perbuatan itu ke wilayah pidana. Menemukan celah tanpa diminta lalu memberi tahu pemiliknya pun tetap berisiko, apalagi kalau disertai permintaan imbalan — permintaan itu bisa dinilai sebagai pemerasan.
Kesalahpahaman Umum
“Saya cuma iseng masuk, tidak mengambil apa-apa.” Mengakses saja sudah merupakan delik selesai. Tidak mengambil data hanya menempatkan perbuatan pada tingkat ancaman yang paling ringan.
“Sistemnya memang tidak dikunci, jadi bukan salah saya.” Ketiadaan pengaman menghapus unsur “menjebol”, tetapi tidak menghapus unsur “tanpa hak”.
“Saya tahu kata sandinya karena diberi tahu dulu.” Izin yang sudah berakhir bukan izin. Akun yang lupa dicabut tidak berarti akses masih sah.
“Membuka akun pasangan bukan peretasan karena kami satu rumah.” Hubungan pribadi tidak memberi hak akses. Perkara seperti ini rutin masuk pengadilan, biasanya bersamaan dengan sengketa perceraian.
“Kalau pelakunya di luar negeri, tidak bisa diapa-apakan.” Tidak selalu. UU ITE berlaku juga atas perbuatan dari luar wilayah Indonesia yang akibatnya dirasakan di dalam negeri, dan penelusurannya ditempuh lewat kerja sama penegakan hukum antarnegara.