AS Izinkan Serangan Siber Ofensif oleh Perusahaan Swasta

Pemerintah Amerika Serikat mengambil langkah kontroversial dengan mengesahkan memorandum keamanan nasional yang mengizinkan perusahaan swasta melakukan serangan siber ofensif terhadap kelompok kriminal internasional. Kebijakan yang diumumkan Gedung Putih pada Rabu kemarin ini menandai perubahan radikal dari posisi pemerintah AS selama puluhan tahun, yang selama ini melarang perusahaan swasta terlibat dalam operasi peretasan aktif di bawah Undang-Undang Penipuan dan Penyalahgunaan Komputer (Computer Fraud and Abuse Act).

Memorandum yang ditandatangani Presiden Donald Trump tersebut memungkinkan perusahaan keamanan siber terpilih untuk menjalankan dua jenis operasi: pengawasan intelijen menggunakan perangkat mata-mata digital, dan serangan disruptif yang bertujuan menghancurkan data atau sistem milik penjahat siber. Target operasi ini mencakup pelaku ransomware, penipuan finansial, pemerasan seksual, hingga serangan phishing — ancaman yang dalam beberapa tahun terakhir semakin meresahkan infrastruktur kritis AS. Menariknya, kebijakan ini muncul sebagai respons langsung terhadap gelombang serangan siber terhadap fasilitas air minum di Minnesota dan Michigan yang kini dikaitkan dengan aktor dari Iran.

Mekanisme Pengawasan dan Syarat Ketat bagi Perusahaan Peserta

Meski memberikan kewenangan besar, pemerintah AS menegaskan bahwa seluruh operasi akan berjalan di bawah kendali ketat Departemen Kehakiman dan Departemen Keamanan Dalam Negeri. Setiap rencana serangan wajib mendapat persetujuan resmi dari perwakilan kedua lembaga tersebut sebelum dieksekusi. Memorandum juga menetapkan prosedur untuk mencegah operasi menyasar warga AS atau sistem berbasis di Amerika Serikat, sementara target yang merupakan bagian institusional dari pemerintah asing atau beroperasi penuh di bawah arahan negara asing juga dilarang.

Perusahaan yang ingin bergabung dalam program ini harus memenuhi standar teknis yang ketat, termasuk membuktikan keahlian dalam operasi siber, keamanan fasilitas, dan rekam jejak kinerja yang solid. Tak hanya itu, setiap peserta diwajibkan menyetor dana jaminan sebesar 1 juta dolar AS dalam bentuk obligasi atau escrow — dana yang akan disita pemerintah jika perusahaan tersebut melanggar ketentuan kontrak. Pemerintah berjanji akan merilis panduan lengkap mengenai standar operasional dan persyaratan kelayakan dalam 60 hari ke depan, dengan membuka kesempatan bagi perusahaan dari berbagai skala, termasuk firma kecil yang mungkin lebih cocok untuk operasi khusus.

Risiko Hukum Internasional dan Kekhawatiran Pakar Keamanan

Di balik ambisi pemerintah memanfaatkan “kapabilitas inovatif sektor swasta”, kebijakan ini memicu kekhawatiran serius di kalangan pakar keamanan siber. Jake Williams, wakil presiden riset dan pengembangan di Hunter Strategy, memperingatkan bahwa warga AS yang terlibat dalam operasi semacam ini berisiko diklasifikasikan sebagai kombatan tak berseragam ketika bepergian ke luar negeri — status yang bisa berujung pada penangkapan atau tuntutan hukum di negara asing. Sementara itu, Jason Healey, peneliti senior konflik siber di Columbia University, menekankan bahwa siapa pun yang menjalankan operasi ini menghadapi risiko hukum personal yang substansial, mengingat sulitnya mengidentifikasi apakah kelompok kriminal tertentu berafiliasi dengan pemerintah asing atau tidak.

Ben Bernstein, manajer tim penasihat keamanan siber di Huntress, menambahkan dimensi teknis yang tak kalah meresahkan. “Pelaku ancaman tidak meluncurkan serangan dari server berlabel di Moskow; mereka merutekan lalu lintas melalui infrastruktur yang disusupi dan tidak bersalah, seperti router rentan di klinik gigi Ohio atau jaringan rumah sakit,” jelasnya. Kondisi ini, menurut Bernstein, membuat hampir mustahil untuk “menyerang balik” tanpa mengenai pihak tak bersalah yang sistemnya dibajak oleh peretas.

Pergeseran Paradigma dalam Perang Siber

Kebijakan baru ini mencerminkan pergeseran paradigma dalam pendekatan AS terhadap ancaman siber. Jika sebelumnya pemerintah melalui berbagai administrasi konsisten mempertahankan posisi bahwa sektor swasta hanya boleh bertahan dari serangan siber tanpa melancarkan operasi ofensif, kini pintu tersebut resmi dibuka. Pada 2022, Departemen Kehakiman memang telah mengumumkan tidak akan lagi menuntut peretas “topi putih” yang melakukan peretasan untuk riset keamanan, namun memorandum Trump ini memperluas secara dramatis jenis aktivitas siber yang tidak akan dituntut oleh pemerintah.

Memorandum tersebut juga mewajibkan perusahaan peserta untuk segera melaporkan kepada pemerintah jika menemukan ancaman serangan siber yang akan datang terhadap infrastruktur kritis AS, seperti jaringan listrik atau penyedia air. Meski demikian, kebijakan ini tetap melarang keras aksi peretasan balasan mandiri tanpa kendali pemerintah — sebuah upaya untuk mencegah vigilantisme digital yang bisa memicu eskalasi konflik siber tak terkendali.

Dengan rincian operasional yang masih dalam tahap penyusunan dan potensi tantangan hukum yang mengintai, program kontroversial ini akan menjadi ujian nyata bagi kemampuan AS menyeimbangkan inovasi keamanan siber dengan tanggung jawab hukum internasional. Sementara pemerintah belum mengonfirmasi apakah ada perusahaan yang telah bergabung dalam program ini, juru bicara Gedung Putih hanya merujuk pada lembar fakta resmi tanpa memberikan detail lebih lanjut. Ke depan, efektivitas dan implikasi jangka panjang dari kebijakan ini akan sangat bergantung pada seberapa ketat pemerintah menerapkan mekanisme pengawasan dan seberapa cermat perusahaan swasta menjalankan operasi di medan siber yang penuh risiko.