Tanpa otorisasi tertulis, jangan uji sistem orang lain; “niat baik” dan “melapor belakangan” bukan alasan bebas dalam ketentuan hukum

Ketentuan hukum melihat ada tidaknya otorisasi dan berapa banyak yang diambil, bukan apa niatmu. Mendapat 500 pasangan akun-sandi biasa, atau menghasilkan 5000 yuan, atau menyebabkan kerugian pihak lain 10000 yuan, sudah cukup untuk hukuman hingga 3 tahun. Demi membuktikan kerentanan lalu mengekspor satu tabel pengguna, sering sekali sudah lewat 500 pasangan. Memiliki akun dan sandi lalu memakainya di luar lingkup otorisasi juga dihitung penyusupan.

Biaya

Tanpa biaya. Sebelum ikut SRC vendor atau pengujian massal, dapatkan dulu dokumen yang menulis lingkup otorisasi, daftar target, dan jendela waktu uji. SRC adalah pusat respons keamanan darurat yang dijalankan vendor sendiri untuk menerima laporan kerentanan dari luar. Begitu terbukti kerentanan ada, berhenti. Yang sulit: melepas dorongan “sekalian dicoba sebentar”.

Manfaat

Sistem perusahaan dan individu biasa termasuk sistem informasi komputer di luar urusan negara, pertahanan nasional, dan sains-teknologi mutakhir. Menyusup ke sistem semacam itu, atau dengan cara teknis lain mengambil data yang disimpan, diproses, atau dikirim di dalamnya. Jika keadaan serius, dihukum penjara hingga 3 tahun atau kurungan, disertai denda atau denda saja. Yang sangat berat 3 sampai 7 tahun sekaligus denda. “Keadaan serius” punya beberapa ambang: mendapat informasi autentikasi identitas layanan keuangan jaringan (akun-sandi dan sejenisnya) untuk pembayaran, perdagangan efek, atau berjangka sebanyak 10 pasangan atau lebih; mendapat informasi autentikasi identitas lain 500 pasangan atau lebih; mengendalikan secara ilegal 20 sistem komputer atau lebih; hasil ilegal 5000 yuan atau lebih, atau kerugian ekonomi 10000 yuan atau lebih. Lima kali angka di atas adalah “keadaan sangat serius”. Kasus resmi: kasus pedoman kejaksaan nomor 36 menetapkan satu kalimat — “memakai akun dan sandi di luar lingkup otorisasi untuk masuk ke sistem informasi komputer termasuk perbuatan menyusup sistem informasi komputer”. Artinya, kamu memang punya akun dan sandi, tetapi memakainya di luar otorisasi; perbuatan itu sendiri dihitung penyusupan. Dalam kasus itu tiga orang memakai akun, sandi, dan token yang dikuasai di tempat kerja untuk masuk dari lokasi lain ke sistem internal perusahaan. Mereka mengunduh data di luar lingkup kerja dan menjualnya online, hasil ilegal 37000 yuan. Ketiganya dihukum masing-masing 4 tahun, 3 tahun 9 bulan, dan 4 tahun, masing-masing denda 40000 yuan (nasional).

Catatan

Kasus pedoman nomor 36 itu sendiri adalah kasus menjual data demi untung. Mengutipnya hanya untuk kalimat “login di luar otorisasi juga dihitung penyusupan”, bukan berarti pengujian dengan niat baik akan dihukum sama berat. Pasal 285 hukum pidana dan tafsiran tahun 2011 tidak menulis niat baik atau melapor belakangan sebagai alasan bukan kejahatan. Dari situ penulis menyimpulkan: niatmu dan apakah kamu melapor belakangan tidak menghapus delik; paling-paling memengaruhi berat hukuman atau apakah dituntut. Vendor yang terlebih dulu berterima kasih lalu belakangan melapor ke polisi tidak saling bertentangan; terima kasih bukan otorisasi. Tahun 2016, seorang peneliti keamanan yang biasa disebut “white hat” menyerahkan kerentanan situs Century Jiayuan ke platform kerentanan pihak ketiga. Kemudian Century Jiayuan melapor ke polisi dan ia ditangkap. Century Jiayuan mengatakan kepada wartawan bahwa laporan itu karena ada data yang diambil orang, dan saat itu belum diketahui bahwa yang mengambil data adalah orang yang menyerahkan kerentanan. Kasus ini hanya ada di pemberitaan media, tanpa putusan dan tanpa pengumuman resmi; bagaimana akhirnya tidak ada penjelasan resmi. Di situs Mahkamah Agung dan Kejaksaan Agung juga tidak ditemukan kasus pengujian beritikad baik yang bisa dicek kata demi kata, sehingga butir ini dinilai hanya dari ketentuan dan ambang hukuman. Jika ingin menguji, lewat SRC publik milik vendor, atau pengujian dengan surat kuasa tertulis; lingkup, target, dan jendela waktu ditulis dalam dokumen. Buktikan adanya kerentanan dengan bukti seminimal mungkin; jangan ambil data secara massal. Tingkatan yang belum sampai kejahatan tetap kena sanksi keamanan publik, plus larangan berprofesi; besaran denda dan jangka waktu sama dengan butir 8 (jangan jalankan programmu di mesin orang lain). Setelah menemukan kerentanan, bagaimana menanganinya lihat butir 10 (laporkan kerentanan sesuai aturan).

Sumber · 3

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925…
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304…（深圳市公安局转载）；最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. spp.gov.cn/spp/jczdal/201710/t20171017_202593…
3. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. m.cnr.cn/news/yctt/20160629/t20160629_5225318…（网页存档 web.archive.org/web/20261005043859/https://m.…）