Kepolisian Inggris menjatuhkan hukuman penjara lima tahun enam bulan kepada Owen Flowers (18) dan Thalha Jubair (20) pada Kamis pekan ini atas serangan siber ke Transport for London (TfL) pada 2024. Penahanan dua peretas muda itu disebut otoritas setempat telah menghancurkan sebagian besar operasi kelompok kriminal siber Scattered Spider yang selama ini menjadi ancaman terbesar di Inggris.
Flowers dan Jubair mengaku bersalah atas pembobolan sistem milik badan pengelola transportasi publik ibu kota Inggris tersebut. Serangan yang terjadi pada musim panas 2024 itu melumpuhkan infrastruktur TfL, termasuk sistem tiket dan layanan informasi kedatangan kereta secara langsung. Gangguan berlangsung berminggu-minggu dan memakan kerugian sekitar 29 juta poundsterling atau setara Rp 730 miliar.
Kasus ini menunjukkan wajah baru ancaman siber global. Pelaku bukan agen negara dengan anggaran miliaran dolar, melainkan remaja yang digerakkan oleh uang dan nama di komunitas peretas. Scattered Spider serta kelompok serupa seperti ShinyHunters kerap menyasar karyawan dan individu lewat rekayasa sosial, bukan langsung menyerang sistem komputer yang terlindungi ketat.
Metode ini terbukti efektif dan sulit dibendung karena memanfaatkan kelemahan manusia. Jubair sebelumnya dituduh FBI terlibat dalam serangan terhadap lebih dari 120 perusahaan menggunakan taktik manipulasi psikologis. Akses yang mereka dapatkan dari TfL begitu dalam hingga disebut sebagai 'kunci kerajaan' yang bisa mematikan seluruh operasional perusahaan.
Scattered Spider sendiri merupakan kelompok tanpa struktur tetap yang telah dikaitkan dengan puluhan serangan besar. Beberapa target mereka meliputi perusahaan kasino MGM, maskapai WestJet, hingga firma keamanan Okta. Melalui pembobolan tersebut, peretas kerap mendapat akses ke data pelanggan perusahaan yang diserang.
Bagi Indonesia, pola serangan rekayasa sosial ini sangat relevan. Badan Siber dan Sandi Negara (BSSN) beberapa kali memperingatkan lonjakan phishing dan vishing yang menargetkan aparatur sipil negara serta perbankan lokal. Kerugian sektor keuangan akibat kejahatan siber di Tanah Air pada 2024 lalu diperkirakan menembus triliunan rupiah.
Perbedaannya, Indonesia belum banyak menghadapi kelompok terorganisir ala Scattered Spider, namun ancaman peretas muda secara individu terus meningkat. Komunitas peretas lokal kerap muncul dari forum daring dan media sosial dengan motivasi eksistensi. Ketiadaan sistem peradilan khusus siber yang cepat membuat banyak kasus hanya berujung pada pemblokiran akun.
Paul Foster, Kepala Unit Kejahatan Siber Nasional National Crime Agency (NCA) Inggris, menyatakan Scattered Spider adalah ancaman kejahatan siber paling signifikan bagi negaranya dalam beberapa tahun terakhir. 'Lewat penyelidikan ini, kami telah menghancurkan ancaman tersebut secara drastis dan membawa pelaku utama ke pengadilan,' ujarnya.
Meski anggota kelompok siber datang dan pergi, Foster yakin vonis terhadap Flowers dan Jubair memberikan pukulan telak. Namun sejarah menunjukkan kelompok seperti ini kerap berganti nama dan bangkit dengan personel baru. Keberlanjutan operasi Scattered Spider ke depan akan bergantung pada seberapa cepat mereka merekrut pengganti.
Di sisi lain, kasus ini menjadi pelajaran bahwa penegakan hukum lintas negara tetap bisa menjerat pelaku muda berbakat yang disalahgunakan. Kerja sama FBI dan NCA menunjukkan pelacakan identitas digital sudah mencapai level presisi tinggi. Negara lain, termasuk Indonesia, perlu memperkuat saluran intelijen siber agar tak menjadi surga bagi pelaku serupa.
Tren ke depan menunjukkan peretas remaja akan tetap menjadi ancaman utama karena kemudahan akses alat bantu AI dan forum bawah tanah. Pendidikan keamanan siber di sekolah serta pengawasan orang tua terhadap aktivitas daring anak dinilai krusial. Tanpa pencegahan dini, lebih banyak remaja berpotensi masuk ke jaringan kriminal global.
Perspektif Indonesia: Ancaman serupa sudah menyentuh layanan publik di dalam negeri. Pada 2023, sistem milik BPJS Kesehatan sempat terganggu akibat serangan yang diduga berasal dari eksploitasi kredensial lemah. Kementerian Komunikasi dan Informatika juga mencatat ribuan insiden phishing mengatasnamakan instansi negara setiap bulan. Kejadian di Inggris mengingatkan bahwa investasi pada pelatihan SDM keamanan dan audit rekayasa sosial tak boleh lagi dianggap optional bagi operator infrastruktur kritis Indonesia.