Siswa SD Boyolali Temukan 4 Celah Keamanan di Domain NASA dan Dapat Letter of Recognition

Seorang siswa kelas 6 SD asal Boyolali, Jawa Tengah, berhasil mendapatkan apresiasi resmi dari NASA setelah menemukan empat celah keamanan di domain publik milik lembaga antariksa Amerika Serikat itu. Prestasi Ibrahim Al Abrar ini menjadi bukti bahwa peneliti keamanan siber bisa datang dari mana saja, tanpa memandang usia atau latar belakang pendidikan formal.

Penghargaan dalam bentuk Letter of Recognition (LOR) itu dikirimkan langsung melalui email pada 9 Juli 2026 setelah laporan kerentanan yang ia kirimkan diverifikasi dan dikonfirmasi oleh tim keamanan NASA.

Siapa Ibrahim Al Abrar?

Ibrahim Al Abrar, atau yang akrab disapa Ibra, adalah siswa kelas 6 SDN 3 Genengsari di Kecamatan Kemusu, Kabupaten Boyolali. Ia baru akan berusia 12 tahun pada 25 Juli 2026.

Ketertarikannya pada dunia teknologi berawal dari kebiasaan bermain game di ponsel. Sang ayah, Aminuddin Salas, yang berprofesi sebagai guru Teknik Komputer dan Jaringan (TKJ), mengarahkannya untuk belajar membuat game sendiri. Dari situlah Ibra mulai belajar coding secara otodidak sejak kelas 4 SD.

Enam bulan terakhir, ia mulai fokus mendalami bidang keamanan siber dengan belajar melalui YouTube dan memanfaatkan kecerdasan buatan (AI) untuk memahami konsep-konsep teknis. Ibra mengaku terinspirasi dari kisah siswa asal Riau yang berhasil menemukan bug di sistem NASA.

Proses penemuan bug dilakukan secara mandiri. Ibra merancang sistem pemindaian (scanning) sendiri untuk mendeteksi kerentanan di domain publik NASA. Dari April hingga Mei 2026, ia berhasil menemukan empat celah keamanan tipe broken link hijacking. Tidak semua laporannya langsung diterima – ia sempat beberapa kali ditolak sebelum akhirnya dinyatakan valid.

Apa Itu Broken Link Hijacking?

Broken link hijacking adalah jenis kerentanan yang memanfaatkan tautan eksternal yang sudah mati atau kedaluwarsa, tetapi masih terpasang aktif di situs web target. Dalam konteks temuan Ibra, tautan-tautan usang yang masih tertanam di domain NASA bisa diambil alih oleh pihak tidak bertanggung jawab.

“Itu kayak link mati yang ditautin di link-nya NASA. Itu kan udah mati, bisa dihidupkan lagi dan bisa diambil alih untuk perbuatan jahat seperti phishing, informasi palsu, dan mengatasnamakan NASA,” jelas Ibra kepada Kompas.com.

Kerentanan ini masuk dalam kategori yang cukup sering ditemukan di organisasi besar karena banyaknya halaman web yang sudah tidak aktif namun masih dirujuk oleh halaman lain. Jika domain yang mati itu didaftarkan ulang oleh penyerang, maka pengunjung yang mengklik tautan tersebut bisa diarahkan ke situs berbahaya.

Apa Itu NASA Vulnerability Disclosure Policy (VDP)?

NASA Vulnerability Disclosure Policy (VDP) adalah kebijakan resmi yang memungkinkan peneliti keamanan dari luar organisasi untuk melaporkan kerentanan yang mereka temukan di sistem NASA. Kebijakan ini pertama kali diterbitkan untuk memberikan panduan jelas bagi para peneliti agar merasa aman melaporkan temuan mereka tanpa takut menghadapi tuntutan hukum.

NASA mengelola VDP ini melalui platform Bugcrowd di alamat bugcrowd.com/engagements/nasa-vdp dan secara tegas meminta agar semua laporan kerentanan disampaikan melalui kanal resmi tersebut.

Bagaimana Cara Kerja NASA VDP?

Laporan yang masuk akan melalui proses triase oleh tim keamanan NASA. Jika kerentanan terbukti valid dan berhasil diperbaiki, peneliti bisa mendapatkan Letter of Recognition. LOR ini hanya diberikan untuk laporan yang masuk dalam prioritas P1 sampai P4 – bukan untuk laporan duplikat atau yang sudah diketahui sebelumnya.

Salah satu poin penting dalam kebijakan ini adalah perlindungan hukum bagi peneliti yang bertindak dengan itikad baik. NASA secara eksplisit menyatakan tidak akan merekomendasikan atau mengambil tindakan hukum terhadap peneliti yang mematuhi kebijakan VDP. Ini menjadi jaminan penting yang mendorong partisipasi peneliti dari seluruh dunia, termasuk dari Indonesia.

“If a security researcher makes a good faith effort to comply with this policy during security research, NASA will consider that research to be authorized, and will work with them to understand and resolve the issue quickly.”

– NASA Vulnerability Disclosure Policy v1.6.2 (30 April 2026)

Jenis Pengujian yang Tidak Diizinkan

NASA VDP juga menetapkan batasan yang jelas tentang jenis pengujian yang tidak boleh dilakukan oleh peneliti. Beberapa di antaranya:

• Social engineering – Serangan yang melibatkan manipulasi manusia, bukan sistem teknis
• Denial of Service – Serangan yang membuat sistem tidak bisa diakses
• Clickjacking – Pada halaman tanpa tindakan sensitif
• Attacks requiring physical access – Serangan yang membutuhkan akses fisik ke perangkat

Pelaporan kerentanan melalui NASA VDP tidak memberikan kompensasi finansial langsung dari NASA. Namun platform Bugcrowd yang menjadi mitra NASA menawarkan bounty hingga USD 2.000 untuk laporan yang valid tergantung tingkat keparahan temuan. Selain itu, Letter of Recognition dari NASA memiliki nilai prestise yang tinggi, terutama bagi peneliti muda yang sedang membangun karier di bidang keamanan siber.

Fenomena Peneliti Muda Indonesia di NASA VDP

Ibrahim bukanlah siswa Indonesia pertama yang mendapatkan apresiasi dari NASA melalui program VDP. Sebelumnya, pada April 2026, Firoos Ghathfaan Ramadhan asal Subang dan Rehan asal Pinrang juga berhasil mendapatkan Letter of Recognition dari NASA atas temuan kerentanan mereka. Kisah mereka bahkan sempat diliput oleh Kompas.id edisi bahasa Inggris.

Yang menarik, semua peneliti muda ini belajar secara otodidak – melalui YouTube, AI, dan forum-forum diskusi online. Ibra misalnya, meluangkan waktu sekitar dua jam setiap hari di luar jam sekolah untuk mempelajari berbagai kerentanan situs web. Ia mengaku aktivitasnya di depan laptop tidak mengganggu pelajaran sekolah karena ia membagi waktu: siang untuk belajar keamanan siber, malam untuk pelajaran sekolah.

Pemerintah Kabupaten Boyolali pun turut memberikan apresiasi. Wakil Bupati Boyolali datang langsung ke sekolah Ibra untuk memberikan dukungan moril atas prestasi yang diraihnya.

Mengapa Ini Penting untuk Ekosistem Keamanan Siber Indonesia?

Kisah Ibra, Firoos, dan Rehan menunjukkan bahwa bakat keamanan siber di Indonesia tidak terbatas pada kota-kota besar atau institusi pendidikan formal. Seorang anak dari desa di Boyolali bisa bersaing di panggung internasional hanya dengan bermodal laptop, koneksi internet, dan rasa ingin tahu yang besar.

Program VDP seperti yang dijalankan NASA menjadi pintu masuk yang aman bagi peneliti muda untuk menguji kemampuan mereka di dunia nyata. Dengan adanya perlindungan hukum dan panduan yang jelas, peneliti pemula bisa belajar sambil berkontribusi pada keamanan siber global.

Sayangnya, program VDP di Indonesia sendiri masih terbatas. Beberapa instansi pemerintah dan perusahaan swasta memang sudah mulai membuka program bug bounty, tetapi skalanya masih jauh dari negara-negara maju. Kisah seperti Ibra bisa menjadi momentum untuk mendorong lebih banyak organisasi di Indonesia membuka program VDP mereka sendiri.

Di sisi lain, prestasi ini juga menunjukkan pentingnya literasi keamanan siber sejak dini. Semakin banyak anak muda yang tertarik pada cybersecurity sejak bangku sekolah, semakin kuat pula ekosistem pertahanan siber Indonesia di masa depan.