Nge-hack Bukalapak dan Tokopedia, Cowok Ini Dapat Hadiah Jutaan Rupiah

Kalo biasanya nge-hack bisa dihukum, cowok ini malah dapat hadiah jutaan rupiah dari Bukalapak dan Tokopedia. Kok bisa sih?

Gini, Herdian Nugraha lagi iseng-iseng aja pengen belanja di Bukalapak. Eh, dia malah berhasil membobol keamanan situs e-commerce Bukalapak, Tokopedia, dan Sribu. Pembobolan dilakukan melalui fitur upload gambar dalam ketiga situs tersebut.

Namun pembobolan tersebut, seperti diakui dalam blog pribadi yang beralamat di blog.hrdn.us, bukanlah untuk tindakan merusak lho. Setelah menemukan celah, menjajal membobolnya dan berhasil, dia hanya mendokumentasikan berbagai hal terkait kelemahan itu.

Celah keamanan yang berada di fitur upload itu terkait dengan alat pemrosesan gambar bernama ImageMagick. Seperti diketahui, beberapa bulan lalu seorang bernama Nikolay Ermishkin menemukan sejumlah cacat pada alat pemrosesan tersebut dan menamainya sebagai ImageTragick.

"ImageMagick" memungkinkan seseorang mendapatkan hak akses penuh ke server, misalnya melihat informasi penting, seperti akun dan password pengguna. Dokumentasi celah keamanan itu pun akhirnya diserahkan Herdian pada Tokopedia, Bukalapak, dan Sribu pada Juni lalu dan langsung mendapat respon dari masing-masing situs.

Berdasarkan informasi tersebut, ketiga situs tersebut langsung menutup celah keamanan yang dilaporkan Herdian. Doi pun dapet hadiah puluhan juta rupiah!

Dikutip KompasTekno, Rabu (20/7) dari blog Herdian, Bukalapak juga merespon laporan dengan memberi ucapan terima kasih ke Herdian berupa uang Rp 15 juta, Tokopedia memberikan sertifikat dan uang Rp 10 juta, sedangkan Sribu mengucapkan terima kasih.

Soal keberadaan hadiah seperti ini dibenarkan oleh CEO Tokopedia William Tanuwijaya dan CEO Bukalapak Achmad Zaky. Menurut mereka, laporan terkait celah kemanan memang memiliki penghargaan tersendiri.

“Kami memang menghargai laporan yang sifatnya vulnerability bug. (Rewards yang diberikan) bervariasi, sesuai dengan tingkat vulnerability yang dilaporkan,” ujar William saat dihubungi KompasTekno.

Sedangkan Zaky, saat dihubungi terpisah, mengakui keberadaan celah keamanan yang ditemukan oleh Herdian. Celah tersebut pun sudah ditutup dan cowok yang menemukannya diganjar hadiah sekaligus direkrut menjadi karyawan Bukalapak.

“Benar (ada vulnerability dan hadiah untuk pelapornya). Bahkan Google dan Facebook juga punya vulnerability juga kan, kadang-kadang. Ya hacker kan ada yang baik dan jahat, kalau yang baik tentu laporan,” ujarnya.