Pakar Keamanan Siber Mengulas Dua Jam Kritis Saat Sistem Risk Control Kuaishou “Ditembus”

Sebagai praktisi senior di bidang keamanan siber dan mekanisme pengendalian risiko, Lu Shenglong mengetahui insiden siaran langsung Kuaishou lebih cepat dibanding kebanyakan orang.

Pada 22 Desember, tak lama setelah pukul 22.00, grup obrolan internal komunitas keamanan siber tempat ia bergabung mulai dipenuhi tangkapan layar—menunjukkan konten yang jelas melanggar aturan muncul di antarmuka live Kuaishou. Tidak lama kemudian, pesan serupa juga muncul di grup “Pusat Respons Darurat” milik Kuaishou sendiri. Lu dan para ahli teknis sempat menduga ada modul moderasi yang “sementara down”. Namun, ketika tangkapan layar dan rekaman layar kian membanjir dan penyebarannya meluas dengan cepat, ia menyadari: ini bukan sekadar gangguan teknis biasa.

Malam itu, banyak ruang siaran langsung secara serentak menampilkan konten pornografi, vulgar, serta kekerasan berdarah. Sebagian live bahkan nyaris menyentuh 100.000 penonton. Gambar dan video menyebar seperti virus di berbagai platform sosial dan grup privat. Setelah langkah seperti pembatasan jangkauan dan pemblokiran akun dilakukan, Kuaishou pada akhirnya baru bisa mengendalikan situasi dengan cara paling tegas: menurunkan (take down) pintu masuk fitur live secara langsung. Fungsi siaran langsung pada dasarnya pulih sekitar pukul 00.45.

Seluruh kejadian berlangsung kira-kira dua jam. Kuaishou kemudian merilis pengumuman yang menyebut insiden tersebut sebagai serangan “black & gray industry”.

Lu telah berkecimpung di keamanan siber selama 13 tahun dan kini memimpin laboratorium ofensif-defensif di sebuah perusahaan keamanan siber. Salah satu pekerjaannya adalah bertindak sebagai peretas berizin (authorized hacker) untuk menguji tingkat keamanan organisasi atau perusahaan—dengan izin resmi.

Menurutnya, pembahasan di industri pasca-insiden bukan terutama soal teknik serangan, melainkan mengapa sistem risk control Kuaishou bisa “ditembus”, serta mengapa dalam jendela anomali sekitar dua jam, platform tidak segera beralih ke mode darurat.

“Bug ini bisa muncul karena kegagalan algoritma. Bisa juga terjadi saat pembaruan bertahap (gray release) pada algoritma risk control, atau karena ada kelemahan pada arsitektur high availability internal yang seharusnya digunakan untuk isolasi gangguan dan pemulihan cepat. Dari awal kejadian sampai benar-benar terkendali, butuh hampir dua jam—itu terlalu lambat. Ini mengindikasikan adanya celah pada prosedur penanganan darurat, deteksi gangguan, dan mekanisme failover,” ujar Lu.

Bagi Lu, insiden ini seperti cermin—memantulkan tarik-menarik jangka panjang antara pertumbuhan bisnis dan investasi keamanan, sekaligus “utang keamanan” yang menumpuk saat industri internet terus berlari kencang.

“Dua jam dari kejadian sampai benar-benar terkendali itu terlalu lama—pasti ada yang tidak beres.”

Jingxiang Studio: Bagaimana Anda pertama kali mengetahui “insiden live Kuaishou”?

Lu Shenglong: Saya melihatnya di beberapa grup yang terkait forum keamanan siber. Kuaishou juga punya grup “Pusat Respons Darurat” untuk berkomunikasi dengan peneliti keamanan eksternal soal informasi kerentanan.

Sekitar pukul 22.00, ada yang mulai bilang platform moderasi dan risk control Kuaishou seperti “mati”. Di awal, tidak ada yang langsung mengarah ke “serangan”. Kami semua mengira itu masalah internal.

Jingxiang Studio: Jadi awalnya Anda tidak menilai ini sebagai serangan peretas?

Lu Shenglong: Betul. Kalau serangan peretas yang “tipikal”, biasanya fokus pada penolakan layanan (misalnya DDoS—serangan yang membanjiri server atau infrastruktur di sekitarnya dengan lalu lintas masif untuk mengganggu layanan), atau intrusi tersembunyi untuk mengambil alih kendali.

Pada DDoS, biasanya ada anomali trafik yang jelas terlihat, dan platform umumnya menjelaskan kategori serangannya. Targetnya membuat layanan lumpuh, bukan membypass moderasi dengan presisi lalu membuka banyak live ilegal secara massal.

Karena itu, banyak orang di industri justru cenderung menilai ada masalah pada sistem risk control itu sendiri—bisa karena algoritmanya gagal, pembaruan bertahap yang bermasalah, atau bug sementara. Apalagi pukul 22.00 adalah jam puncak live, beban sistem tinggi, dan sering kali itu momen paling rapuh.

Jingxiang Studio: Bagaimana Anda menilai respons Kuaishou?

Lu Shenglong: Dua jam sampai benar-benar terkendali itu terlalu lama. Minimal ini menunjukkan ada masalah pada desain high availability internal dan mekanisme respons darurat.

Untuk platform sebesar Kuaishou, jika sistem risk control inti gagal, secara teori harus ada pemantauan dan alarm dalam hitungan detik. Rantai respons yang ideal kira-kira begini: risk control gagal → alarm detik-level → bisnis otomatis beralih ke antrean review manual atau mode pembatasan ketat → tim keamanan dan operasi melakukan penanganan darurat/perbaikan → pemulihan sistem.

Melihat hasil akhirnya, durasi dua jam mengarah pada beberapa kemungkinan: masalahnya tidak terdeteksi, alarm tidak ditindaklanjuti, atau mekanisme failover darurat tidak benar-benar bekerja.

Normalnya, ketika risk control down, sisi bisnis masih bisa mengaktifkan review manual untuk mencegat permohonan live yang tidak patuh. Namun dari hasil yang terlihat, pencegatan review manual yang seharusnya aktif tidak memberikan efek yang semestinya. Ini juga bisa terkait arsitektur: jika kontinuitas bisnis ditempatkan lebih tinggi dari keamanan, maka saat risk control gagal, sistem bisnis demi menjaga layanan tidak terputus bisa saja default ke “izinkan konten”.

Dampak kejadian ini sangat besar, dan penyebarannya juga sangat cepat. Tapi sampai sekarang belum ada kesimpulan penyebab yang definitif; banyak analisis dari luar juga masih spekulatif.

Kuaishou kemungkinan akan segera merilis laporan yang lebih rinci. Untuk insiden besar terkait keamanan konten publik, regulator biasanya meminta perusahaan menyerahkan laporan lengkap, dan publik juga berhak mengetahui apa yang sebenarnya terjadi. Bisa jadi saat ini masih berada pada tahap investigasi dan komunikasi internal.

Jingxiang Studio: Tanggung jawab apa yang mungkin harus dipikul platform dalam kasus seperti ini?

Lu Shenglong: Jika pada akhirnya diklasifikasikan sebagai insiden keamanan siber, platform bisa menghadapi sanksi berdasarkan UU Keamanan Siber dan UU Keamanan Data—misalnya denda, kewajiban perbaikan, bahkan penghentian layanan sementara. Jika melibatkan kebocoran data pengguna, bisa juga terkait UU Perlindungan Informasi Pribadi. Selain itu, jika kewajiban tanggung jawab keamanan konten tidak dijalankan memadai, platform bisa dipanggil regulator dan diminta melakukan pembenahan.

Black/gray industry tidak selalu “mencuri akun”—seringnya “memakai akun”

Jingxiang Studio: Ada media yang menyebut lebih dari 10.000 akun terlibat live ilegal malam itu. Berdasarkan informasi saat ini, bisakah diperkirakan asal akun-akun tersebut?

Lu Shenglong: Belum ada bukti bahwa akun-akun itu berasal dari akun pengguna biasa yang dicuri. Kemungkinan lebih besar, itu adalah “akun stok” milik pelaku black/gray industry. Kalau memang mereka menyerang platform risk control, mereka tidak butuh “skala puluhan juta” seperti yang dibayangkan orang. Kuncinya adalah titik serangan yang presisi.

Jingxiang Studio: Jadi bukan “pencurian akun”, melainkan “pemakaian akun”?

Lu Shenglong: Ya. Banyak platform memiliki kumpulan akun yang didaftarkan massal atau dibeli. Biasanya akun-akun itu diam, tetapi ketika muncul celah risk control, mereka diaktifkan sekaligus.

Jingxiang Studio: Dibanding insiden kebocoran data di perusahaan internet besar sebelumnya, apa yang berbeda kali ini?

Lu Shenglong: Ada dua sisi.

Pertama, jika kita mengikuti pernyataan Kuaishou bahwa risk control atau sistem bisnis diserang, maka pada dasarnya ini mirip kasus-kasus yang kami temui sehari-hari. Tekniknya bukan “serangan baru” di komunitas keamanan, tetapi teknik-teknik tersebut dikombinasikan lalu diarahkan secara presisi ke logika bisnis khas live—misalnya moderasi berkonkurensi tinggi—sehingga dampaknya sangat besar.

Kedua, perilaku setelah sistem “terbuka”—munculnya live pornografi massal—jelas berbeda dari kebocoran data biasa.

Pada banyak kebocoran data, motif pelaku lebih “terarah”: mengambil informasi, mencuri rahasia dagang, menambang kripto, pemerasan, atau pencurian data. Pada kasus ini, tujuan pelaku tampak mengarah pada pembukaan live dalam skala besar—mungkin untuk mengalihkan trafik, memasang tautan, memanfaatkan celah demi keuntungan, atau melakukan penipuan.

Rantai pasokan black/gray industry: terstruktur, cepat, dan murah

Jingxiang Studio: Kuaishou menyebut insiden ini akibat serangan black/gray industry. Bagaimana ekosistem ini bekerja?

Lu Shenglong: Black/gray industry sudah membentuk rantai pasokan yang terhubung rapat—hulu, tengah, hilir.

Bagian hulu adalah pengembang alat, layanan pemecah captcha, dan pedagang data. Mereka menyediakan skrip otomatis yang bisa membypass risk control.

Bagian tengah adalah “pedagang akun”. Mereka membeli, mendaftarkan, dan memelihara banyak akun platform, lalu memberi harga bertingkat berdasarkan jumlah pengikut dan tingkat aktivitas—mirip “pasar berjangka akun”. Mereka memasok banyak akun terverifikasi maupun tidak terverifikasi.

Bagian hilir adalah eksekutor serangan. Mereka menyewa atau membeli alat dan akun, lalu melakukan siaran serentak selama jendela kelemahan risk control, dengan tujuan mengalihkan trafik, menipu, atau mempromosikan hal-hal berbahaya.

Biaya serangan semacam ini tidak harus tinggi, tetapi potensi imbalannya besar. Dengan sistem kontrol massal perangkat dan “akun zombie” murah, meski sebagian besar akun diblokir, cukup ada sedikit yang bertahan dan berhasil mengalihkan trafik—keuntungan sudah bisa menutup biaya.

Jingxiang Studio: Dengan perkembangan teknologi, apa perubahan utama pada serangan black/gray industry?

Lu Shenglong: Pertama, ambang untuk berbuat jahat semakin rendah. Beberapa kelompok sudah memakai AI untuk mengaitkan dan menganalisis data—misalnya memberi label target dan menyusun skenario penipuan. Jika mereka memiliki data wajah seseorang plus data tambahan yang cukup, mereka bisa membuat video atau audio palsu yang sangat meyakinkan untuk penipuan.

Kedua, skala dampaknya semakin besar. Lewat live, dalam waktu singkat bisa memengaruhi ribuan bahkan puluhan ribu orang.

Dan pada dasarnya, perang ofensif-defensif adalah perang biaya. Penyerang bisa berinvestasi: membeli akun dalam jumlah besar, membayar layanan captcha untuk menghindari pemantauan, mendaftarkan akun massal memakai identitas palsu. Sementara pihak bertahan memiliki sumber daya yang terbatas. Jika investasi penyerang berlipat-lipat dibanding kapasitas pertahanan perusahaan, sistem memang bisa ditembus.

Keamanan bukan “biaya yang bisa ditawar”

Jingxiang Studio: Dari sudut pandang industri, apa pelajaran penting dari insiden ini?

Lu Shenglong: Risiko itu bersifat umum. Masalah Kuaishou bukan kasus tunggal; ini mencerminkan persoalan lama: keamanan diperlakukan sebagai pusat biaya, bukan pusat keuntungan. Dalam laporan keuangan, investasi keamanan terlihat sebagai pengeluaran murni—tidak langsung menambah pengguna, menaikkan engagement, atau meningkatkan pendapatan. Akibatnya, dalam alokasi sumber daya, persetujuan proyek, hingga pengaruh internal, tim keamanan sering berada di posisi lemah.

Secara praktik, banyak tim keamanan kekurangan orang dan harus menangani banyak ranah sekaligus—sulit membangun kedalaman dan ketuntasan.

Di bawah tekanan bisnis, keamanan sering dianggap bagian yang bisa “mengalah sementara”. Banyak pembangunan keamanan didorong oleh kepatuhan dan insiden. Saat tidak terjadi apa-apa, anggaran ketat dan prioritas turun; ketika insiden terjadi, perhatian naik sebentar lalu mereda lagi. Siklus ini membuat keamanan menjadi reaktif, bukan sistematis dan visioner.

Jingxiang Studio: Berapa proporsi investasi keamanan yang ideal?

Lu Shenglong: Tidak ada angka tunggal. Itu harus sesuai dengan skala bisnis dan tingkat risikonya. Namun, pada banyak perusahaan domestik, porsi investasi IT untuk keamanan masih rendah dibanding sistem bisnis. Keamanan bukan “dipasang lalu selesai”—ini adalah rekayasa sistem yang perlu dioperasikan dan diiterasi terus-menerus.

Kini, teknik ofensif-defensif bisa memanfaatkan risk control cerdas dan strategi segmentasi pengguna untuk mengelola perilaku berisiko tinggi tanpa mengganggu mayoritas pengguna. Di saat yang sama, mekanisme penanganan darurat wajib benar-benar kokoh.

Jingxiang Studio: Ada yang menilai inti masalahnya adalah ketimpangan antara “serangan otomatis” dan “pertahanan manual”. Jika membangun pertahanan otomatis berbasis AI, pola serangan baru apa yang perlu dilatih untuk dikenali?

Lu Shenglong: Setiap skenario AI membutuhkan model yang berbeda. Untuk moderasi risk control, itu adalah model keamanan konten. Serangan pada model keamanan konten sering berupa penambahan gangguan kecil (noise) pada gambar terlarang—gangguan yang tidak terlihat oleh mata manusia—yang bisa menipu model deep learning tradisional agar salah mengklasifikasikan.

Sementara untuk serangan keamanan siber “klasik”, fokusnya harus pada perilaku serangan dan otomasi internal: alarm, triase, dan respons—membangun sistem yang dapat mendeteksi, menilai, lalu bertindak cepat.

Jingxiang Studio: AI kini juga dipakai luas oleh pelaku black/gray industry. Bagaimana Anda melihat perubahan ini?

Lu Shenglong: Benar, serangan menjadi lebih mudah. Tapi teknologi pertahanan juga maju. AI bisa dipakai menyerang, tetapi juga bisa membantu melatih model risk control dan mengenali anomali. Kesenjangan sebenarnya bukan pada teknologi, melainkan pada sumber daya dan prioritas: penyerang bisa memusatkan tenaga pada satu titik, sementara pihak bertahan harus menjaga seluruh permukaan. Dalam jangka panjang, yang menentukan adalah apakah perusahaan terus berinvestasi pada sistem keamanannya.

Jingxiang Studio: Dampak apa yang mungkin muncul bagi industri?

Lu Shenglong: Dampaknya sangat besar. Regulasi—UU Keamanan Siber, UU Keamanan Data, UU Perlindungan Informasi Pribadi, serta aturan tata kelola konten—sedang memperketat tanggung jawab platform. Otoritas bisa memperkuat inspeksi terhadap pemenuhan kewajiban keamanan, dan platform kemungkinan akan makin serius membangun redundansi serta desain high availability untuk sistem risk control.

Secara pribadi, saya paling memantau dua hal: apakah akar penyebab akhirnya akan dipublikasikan secara transparan, dan apakah platform akan menyeimbangkan ulang bobot prioritas bisnis versus keamanan. Jika hanya menambal sisi teknis sementara mekanisme dan insentifnya tidak berubah, masalah serupa bisa terjadi lagi.