Kota Columbus Menggugat Pakar yang Mengungkap Skala Serangan Siber

• Kota Columbus, Ohio, mengajukan gugatan terhadap pakar keamanan siber Connor Goodwolf, yang telah memublikasikan jenis dan skala data yang bocor, dan pengadilan mengabulkan permintaan kota untuk perintah larangan sementara
• Kasus ini mulai berkembang pada 18 Juli ketika departemen teknologi kota menemukan tanda-tanda anomali pada sistem lalu memutus koneksi internet, sementara kelompok peretas Rhysida mengklaim memiliki data 6,5TB dan merilis 45% di antaranya
• Wali Kota Andrew Ginther pada 13 Agustus mengatakan data yang dicuri kemungkinan besar rusak atau terenkripsi sehingga tidak berguna, tetapi pada hari yang sama Goodwolf membantahnya dengan menunjukkan kepada 10TV contoh informasi pribadi yang dapat diakses
• Informasi yang kemudian dipublikasikan juga mencakup bahwa Columbus police crime matrix, yang berisi informasi saksi, korban, dan tersangka dari laporan polisi selama 10 tahun terakhir serta laporan polisi penyamaran, dapat diunduh
• Berdasarkan perintah pengadilan, Goodwolf tidak boleh mengakses, mengunduh, atau mendistribusikan data curian milik kota, sementara kota mengajukan klaim ganti rugi minimal 25.000 dolar AS serta pelanggaran privasi, kelalaian, dan konversi perdata

---

Gugatan dan perintah larangan sementara terhadap Goodwolf

• Hakim Franklin County menyetujui permintaan Kota Columbus untuk menerbitkan perintah larangan sementara terhadap pakar keamanan siber Connor Goodwolf
• Dalam beberapa pekan terakhir, Goodwolf telah memberi tahu 10TV dan media lain tentang jenis informasi yang muncul di dark web, dan nama yang ia gunakan dalam wawancara bukanlah nama hukumnya
• Berdasarkan perintah tersebut, Goodwolf harus menghentikan tindakan mengakses, mengunduh, dan mendistribusikan data curian milik kota
• Kota menuntut ganti rugi minimal 25.000 dolar AS, dengan jumlah akhir akan ditentukan dalam persidangan
• Dalam gugatannya, kota menyatakan bahwa tindakan Goodwolf menimbulkan “kerugian yang tidak dapat dipulihkan” dan “kekhawatiran luas di seluruh wilayah Central Ohio”
• Klaim kota terdiri dari empat hal: ganti rugi akibat tindakan kriminal, pelanggaran privasi, kelalaian, dan konversi perdata
• Berdasarkan catatan Franklin County Common Pleas Court, konferensi praperadilan terakhir dijadwalkan pada 18 September 2025
• 10TV meminta komentar kepada Goodwolf, tetapi ia menolak untuk memberikan jawaban

Kronologi kebocoran data dan informasi yang saling bertentangan

• Kota Columbus mengatakan masalah ini pertama kali diketahui pada 18 Juli, ketika departemen teknologi kota menemukan “bukti tanda-tanda anomali” dalam sistem
• Setelah itu, kota memutus koneksi internet
• Dua pekan kemudian, kelompok peretas Rhysida mengaku bertanggung jawab atas serangan tersebut dan mengatakan memiliki data 6,5TB, lalu kemudian merilis 45% dari data yang dicuri
• Pada 13 Agustus, Wali Kota Andrew Ginther mengatakan data yang dicuri peretas kemungkinan besar rusak atau terenkripsi sehingga tidak berguna
• Pada hari yang sama, Goodwolf mengatakan kepada 10TV bahwa pernyataan itu tidak benar dan menunjukkan jenis informasi pribadi yang dapat diakses
• Setelah itu, Goodwolf terus melaporkan situasi data kota yang diposting di dark web, dan baru-baru ini mengungkap bahwa Columbus police crime matrix dapat diunduh
  • Basis data tersebut berisi informasi saksi, korban, dan tersangka dari laporan polisi selama 10 tahun terakhir
  • Laporan polisi penyamaran juga termasuk di dalamnya

Argumen keselamatan publik yang diajukan kota

• City Attorney Zach Klein mengatakan tindakan ini bukan untuk membungkam hak First Amendment Goodwolf
• Klein mengatakan masalahnya bukan pada ucapannya, melainkan tindakan masuk ke dark web untuk mengumpulkan dan mengunduh informasi lalu mendistribusikannya kepada media atau orang lain
• Mengenai alasan mengapa tindakan tidak diambil lebih awal, ia menjelaskan bahwa jenis data telah berkembang ke tingkat yang mengancam penyelidikan kriminal
• Klein mengatakan informasi yang diunduh dan dibagikan Goodwolf merupakan ancaman terhadap keselamatan publik, dan tindakan ini bertujuan melindungi petugas polisi, korban, dan saksi
• Kota mengklaim Goodwolf mengancam akan memublikasikan data curian melalui situs web yang akan ia buat sendiri
• Goodwolf sebelumnya mengatakan kepada 10TV bahwa ia memang berencana membuat situs web, tetapi hanya agar pengguna dapat memeriksa apakah nama mereka termasuk dalam kebocoran data

[GN⁺]

Opini Hacker News

• Sebagai mantan penetration tester, saya umumnya bersimpati pada Goodwolf, tetapi membuka data asli hampir selalu merupakan ide buruk. Itu juga alasan program bug bounty memiliki batasan cakupan.
  Kota tampaknya marah karena ia membagikan data terkait penyelidikan yang sedang berjalan dan laporan polisi yang menyamar; tergantung persis apa yang ia bagikan, mungkin sulit menyalahkan pihak kota. Terlepas dari di mana data itu sudah berada, mengambilnya lalu menyerahkannya kepada orang lain jelas bukan hal yang baik.
  Jika tujuannya adalah membuktikan kepada para reporter bahwa data semacam itu ada dan bisa diunduh, ada banyak cara untuk melakukannya tanpa mengakses data asli, seperti tangkapan layar posting forum, mengirimkan tautan, atau menjelaskan jenis datanya. Jika hanya sebatas itu yang ia lakukan dan kota bereaksi seperti ini, maka jelas itu penyalahgunaan, tetapi perintah untuk tidak menyebarkan data penyelidikan yang sedang berjalan kepada reporter itu sendiri tidak aneh.
  Saya bersimpati karena ini adalah kesalahan yang mudah dilakukan, sampai-sampai sebelum masuk ke industri ini saya mungkin menganggap hal seperti itu sebagai white-hat hacking. Memberi tahu adanya pelanggaran itu baik, tetapi cara memberi tahunya sangat penting.
  Namun, pengalaman saya hanya sekitar satu tahun pada 2016, jadi mungkin sekarang sudah berbeda. Meski begitu, bahkan hari ini saya akan cukup terkejut jika ada penetration tester yang membenarkan distribusi nyata data hasil pelanggaran apa pun.
  Menurut pihak kota, Goodwolf mengancam akan membuat situs web sendiri untuk mempublikasikan data curian milik kota, tetapi Goodwolf pernah mengatakan kepada 10TV bahwa ia berencana membuat situs yang hanya bisa memeriksa apakah sebuah nama termasuk dalam kebocoran data. Ini berbeda dari situs pengecekan kebocoran kata sandi, dan bisa memungkinkan siapa pun memasukkan nama seseorang untuk memastikan apakah orang itu saksi dalam penyelidikan kriminal.

  • Persis apa dan bagaimana ia membagikannya agak tidak jelas. Dalam artikel tentang kebocoran data yang ditautkan dari artikel ini, tampaknya Goodwolf mengunduh data untuk memeriksa isinya dan menunjukkannya kepada reporter, tetapi tidak benar-benar mempublikasikan data itu atau mendistribusikannya agar reporter menyimpannya secara permanen.
    Ini mirip dengan Boeing yang mengatakan “kami tidak tahu soal masalah 737 MAX”, lalu seorang karyawan menunjukkan tangkapan layar memo rahasia kepada media sambil berkata “kalian tahu, ini kebenarannya”.
    Saya setuju membuat situs web untuk mencari nama dan memeriksa keterkaitan dengan penyelidikan polisi adalah ide buruk, tetapi ia sebenarnya belum melakukannya; ia hanya punya rencana.
  • Dari artikel yang saya baca, Goodwolf tidak mempublikasikan data. Para peretaslah yang mempublikasikan data, pihak kota berbohong, dan Goodwolf hanya mengambil data yang dapat diakses publik lalu membuktikan kebohongan kota kepada para reporter.
    Jika artikel itu tidak memutarbalikkan situasi secara parah, ini hanya terlihat seperti pelanggaran besar terhadap kebebasan sipil, dengan kota menjadikan Goodwolf sebagai kambing hitam. Semua kerugian yang mereka sebutkan adalah akibat kelalaian mereka sendiri.
  • Ini bukan “mempublikasikan” informasi; informasinya sudah dipublikasikan. Dark web bukan tempat yang membutuhkan koneksi khusus berbasis undangan, melainkan kumpulan situs web biasa yang bisa diakses siapa saja jika tahu harus melihat ke mana. Bahkan kalau memakai TOR pun sama saja.
  • Tidak sulit menyalahkan pihak kota. Para pengambil keputusan seperti ini melakukan kekerasan yang mematahkan kemauan orang-orang yang ingin membantu mengatasi masalah keamanan siber yang sangat buruk. Masalah seperti itu ada di mana-mana.
    Dalam masyarakat yang sehat, orang yang memutuskan penuntutan ini akan dijadikan persembahan ke gunung berapi—tentu saja secara kiasan.
  • Ini adalah data yang sudah dirilis secara publik oleh para kriminal.

• Pernyataan Klein bahwa “Ini bukan masalah ekspresi. Bukan. Ini masalah tindakan nyata: masuk lewat keyboard ke dark web, mengumpulkan informasi, mengunduhnya ke komputer, lalu mendistribusikannya kepada media atau orang lain” itu keliru.
  Ini adalah masalah membohongi warga tentang sifat dan format data yang gagal mereka lindungi.

  • Lucu melihat politisi menggambarkan dark web seperti monster yang bersembunyi di malam hari untuk memangsa anak kecil. Secara harfiah itu hanya sekumpulan situs web.

• Ini tidak masuk akal. Para peneliti hanya menunjukkan betapa buruknya sistem keamanan Kota Columbus, Ohio.
  Pada 13 Agustus, Wali Kota Andrew Ginther mengatakan data yang dicuri peretas rusak atau terenkripsi sehingga mungkin tidak berguna. Beberapa jam kemudian, Goodwolf memberi tahu 10TV bahwa itu tidak benar, dan menunjukkan jenis informasi pribadi yang bisa ia akses.
  Seluruh jajaran pemimpin kota harus menghadapi pemungutan suara recall. Mereka dipermalukan karena tidak punya keamanan, berbohong kepada warga dengan gaya “sudah terenkripsi, bro! Percaya saja, saya politisi!”, lalu ketahuan secara sah, dan sekarang menyiram bensin ke api dengan gugatan bodoh ini memakai uang pajak.

  • Setuju. Jika di kota yang sangat besar tidak ada orang yang bisa memberikan cerita berbeda, sepertinya begitulah cara pemerintah daerah umumnya berjalan. Semua orang hidup di atas asumsi “kami sudah melakukan yang terbaik sejauh yang kami tahu”, dan kalimat itu tampaknya membuat mereka bebas dari tanggung jawab.
    Selama bertahun-tahun saya melihat banyak hal aneh, dan membebaskan pihak terkait dari tanggung jawab hanya berdasarkan penjelasan mereka tentang cara kerja keamanan adalah ketidaktahuan yang disengaja, paling tidak. Jika pemerintah daerah ingin menyimpan data pribadi, mereka harus bertanggung jawab atas data itu. Pada 2024, “kami tidak tahu” tidak bisa diterima, dan sebenarnya sejak setidaknya 10 tahun lalu pun sudah begitu.

• Kota yang panik menggugat orang menyebalkan yang memberi tahu semua orang betapa ngawurnya omong kosong mereka.
  Menggugat peneliti keamanan yang memeriksa isi informasi yang sudah dipublikasikan tidak melindungi siapa pun.

  • Saya teringat salah satu episode Dark Net Diaries. Para peneliti dipekerjakan oleh suatu pemerintah negara bagian untuk melakukan uji penetrasi fisik di gedung pengadilan terpencil, lalu tertangkap. Para penetration tester bekerja sama dengan petugas keamanan dan polisi setempat untuk menjelaskan situasinya.
    Namun seseorang lain muncul di lokasi sambil mengklaim yurisdiksi, membuat keributan, lalu setelah menelepon entah ke mana, menangkap para penetration tester di tempat atas tuduhan masuk tanpa izin.
    Pemerintah negara bagian membiarkan mereka di sebuah rutan county, dan pada akhirnya, setelah pemerintah negara bagian dipermalukan, tampaknya mereka mencoba mengajukan ganti rugi perdata dan tuntutan pidana terhadap perusahaan serta para penetration tester.
    Pada akhirnya dakwaan dicabut, tetapi reputasi para penetration tester sempat rusak untuk beberapa waktu.

• Ini kasus yang sangat cocok bagi EFF atau ACLU untuk membantu pembelaan melawan perintah penahanan yang bodoh dan dipersenjatai seperti ini.

• Rangkuman yang ini tampaknya lebih baik.
  https://arstechnica.com/security/2024/08/city-of-columbus-su...

• Kelompok peretas: tidak digugat.
  Situs web publik yang meng-host catatan yang diretas: tidak digugat.
  Pejabat yang berbohong: tidak digugat.
  Orang biasa yang menunjukkan ketiganya: digugat.

• https://archive.is/dEBJT
  Diblokir di Uni Eropa.

• Saya tinggal di Columbus selama bertahun-tahun, dan ini benar-benar terdengar masuk akal. Posisi sebagai kota Demokrat di negara bagian yang condong Republik membuat pemerintahnya cukup tidak tahu malu dalam melindungi diri sendiri.

• Jika pernyataan “Ini bukan masalah ekspresi. Ini masalah tindakan nyata: masuk dengan keyboard ke dark web, mengumpulkan informasi, mengunduhnya ke komputer, lalu mendistribusikannya kepada media atau orang lain” benar, maka kecuali ada sesuatu yang hilang dari artikel ini, fitur Chrome atau Firefox yang memberi tahu kemungkinan kebocoran kata sandi juga akan menjadi ilegal.
  Kenyataannya adalah kota ini keliru.