Gedung Putih Libatkan Perusahaan Keamanan Siber untuk Operasi Hack-Back terhadap Penjahat Siber Asing

Gedung Putih mengeluarkan kebijakan baru yang membuka peluang bagi perusahaan keamanan siber swasta untuk terlibat dalam operasi hack-back terhadap organisasi kriminal siber asing.

Kebijakan tersebut dituangkan dalam National Security Presidential Memorandum (NSPM) yang ditandatangani Presiden Amerika Serikat Donald Trump pada Rabu. Memorandum ini menginstruksikan National Coordination Center (NCC) untuk membangun sebuah program yang memungkinkan perusahaan keamanan swasta mengajukan diri untuk melakukan operasi siber terhadap organisasi kriminal transnasional dengan persetujuan dan kendali pemerintah Amerika Serikat.

Langkah tersebut menjadi perubahan signifikan dalam peran sektor swasta pada operasi siber ofensif, karena perusahaan keamanan yang sebelumnya berfokus pada pertahanan kini dapat memperoleh kewenangan untuk membantu melakukan tindakan terhadap infrastruktur milik kelompok kriminal di luar negeri.

Operasi Tetap Berada di Bawah Kendali Pemerintah AS

Program tersebut akan memungkinkan perusahaan swasta mengusulkan dan menjalankan operasi siber tertentu untuk mengganggu aktivitas organisasi kriminal transnasional atau Transnational Criminal Organizations (TCO).

Namun, perusahaan tidak akan memperoleh kebebasan untuk melakukan serangan secara mandiri.

Gedung Putih menyatakan bahwa operasi akan dilakukan berdasarkan prosedur yang ketat, termasuk proses peninjauan dan persetujuan sebelum operasi dijalankan. Seluruh aktivitas harus berada di bawah arahan pemerintah Amerika Serikat serta mematuhi Konstitusi AS, hukum federal, dan kewajiban internasional yang berlaku.

Program tersebut akan diawasi oleh executive director yang ditunjuk oleh Departemen Kehakiman dan Departemen Keamanan Dalam Negeri.

Perusahaan keamanan siber yang ingin berpartisipasi juga akan menjalani proses pemeriksaan sebelum dapat membuat kontrak dengan salah satu dari kedua departemen tersebut.

Perusahaan Dapat Mengusulkan Operasi Siber

Dalam kerangka baru tersebut, perusahaan swasta yang berpartisipasi dapat bekerja sama dengan entitas swasta lainnya maupun lembaga pemerintah di tingkat federal, negara bagian, lokal, tribal, dan teritorial.

Kerja sama tersebut dapat digunakan untuk mengumpulkan informasi mengenai ancaman yang berasal dari organisasi kriminal transnasional.

Berdasarkan informasi yang diperoleh, perusahaan dapat mengajukan proposal operasi siber untuk mengatasi ancaman tersebut.

Dengan mekanisme ini, pemerintah AS mencoba memanfaatkan kemampuan teknis sektor swasta yang memiliki pengalaman dalam melacak infrastruktur kriminal, mengidentifikasi operator, serta memahami pola serangan siber.

Namun, keputusan mengenai apakah sebuah operasi dapat dilakukan tetap berada dalam kerangka kewenangan pemerintah.

Ada Sanksi Finansial bagi Perusahaan

Perusahaan yang berpartisipasi diwajibkan mempertahankan bond atau escrow minimal US$1 juta.

Dana tersebut dapat disita apabila perusahaan terbukti tidak memenuhi kewajiban yang ditetapkan dalam kontrak.

Ketentuan tersebut dirancang sebagai salah satu mekanisme untuk memastikan perusahaan tetap mematuhi batas operasi yang telah ditentukan dan tidak mengambil tindakan di luar kewenangan yang diberikan.

Perusahaan juga diwajibkan menghentikan operasi secara langsung jika menemukan aktivitas yang melampaui batas yang telah disetujui.

Salah satu kondisi yang secara khusus disebutkan adalah ketika operasi berpotensi menargetkan warga negara Amerika Serikat atau sistem yang berada di wilayah AS secara tidak sengaja.

Dalam situasi tersebut, perusahaan harus menghentikan operasi dan segera memberi tahu National Coordination Center.

Menargetkan Ransomware hingga Penipuan Finansial

Gedung Putih menyatakan bahwa program ini ditujukan untuk mengganggu aktivitas organisasi kriminal asing yang terlibat dalam berbagai bentuk kejahatan siber.

Target yang disebut mencakup kelompok yang menjalankan:

• Serangan ransomware
• Kampanye phishing
• Penipuan finansial
• Sextortion
• Impersonation scam

Pemerintah AS mengatakan konsumen di Amerika Serikat melaporkan kerugian lebih dari US$20,8 miliar akibat kejahatan yang menggunakan teknologi siber sepanjang 2025.

Besarnya kerugian tersebut menjadi salah satu alasan pemerintah memperluas kemampuan untuk menghadapi organisasi kriminal yang beroperasi lintas negara.

Perubahan Besar dalam Kebijakan Siber AS

Kebijakan tersebut mendapat perhatian dari sejumlah tokoh industri keamanan siber.

Chris Wysopal, co-founder Veracode, menilai memorandum tersebut sebagai perubahan besar dalam kebijakan siber Amerika Serikat dan perluasan signifikan terhadap peran sektor swasta dalam operasi siber ofensif.

Sementara itu, Jason Kikta, mantan pemimpin Cyber National Mission Force dan CTO Automox, memberikan pandangan yang lebih kritis. Ia menggambarkan kebijakan tersebut sebagai mekanisme yang berpotensi menciptakan insentif berkelanjutan bagi perusahaan untuk melakukan operasi siber yang dapat ditagihkan kepada pemerintah.

Perbedaan pandangan tersebut mencerminkan salah satu pertanyaan utama dari kebijakan baru ini: seberapa jauh perusahaan swasta dapat dilibatkan dalam operasi ofensif tanpa menciptakan risiko eskalasi, salah sasaran, maupun persoalan hukum lintas negara.

Risiko Salah Sasaran Tetap Menjadi Perhatian

Operasi hack-back memiliki risiko yang berbeda dibandingkan operasi pertahanan biasa.

Infrastruktur yang digunakan kelompok kriminal dapat berada pada server yang telah disusupi, layanan cloud pihak ketiga, VPN, proxy, atau sistem milik organisasi lain yang tidak terkait langsung dengan serangan.

Karena itu, tindakan terhadap infrastruktur kriminal berpotensi mengenai sistem yang sebenarnya bukan milik pelaku.

Ketentuan yang mewajibkan perusahaan menghentikan operasi jika menemukan aktivitas di luar batas yang disetujui menunjukkan bahwa pemerintah AS menyadari adanya risiko tersebut.

Program baru ini pada akhirnya akan bergantung pada seberapa ketat proses vetting, persetujuan target, pengawasan operasi, serta mekanisme penghentian diterapkan dalam praktik.

Jika dijalankan sesuai kerangka yang ditetapkan, pemerintah AS dapat memanfaatkan kemampuan sektor swasta untuk mengganggu organisasi kriminal transnasional. Namun, perluasan peran perusahaan keamanan ke operasi siber ofensif juga membawa konsekuensi hukum, teknis, dan geopolitik yang jauh lebih besar dibandingkan aktivitas cybersecurity konvensional.

Sumber: White House