OSINT dalam Pentest: Apa yang Bisa Ditemukan Sebelum Menyentuh Sistem

Pendahuluan

Sebelum satu paket pun dikirim ke jaringan target, sebelum satu port pun dipindai, sebelum satu request pun dikirimkan ke aplikasi web, attacker yang berpengalaman sudah mengumpulkan informasi dalam jumlah yang mengejutkan melalui sumber yang sepenuhnya publik.

Open-Source Intelligence (OSINT) adalah praktik mengumpulkan dan menganalisis informasi dari sumber yang tersedia secara publik: situs web, media sosial, registrasi domain, repositori kode, dokumen yang bocor, dan berbagai sumber lainnya, sebagaimana dipetakan secara sistematis dalam OSINT Framework.^[10] Dalam konteks penetration testing, OSINT adalah fase pertama yang menentukan kualitas seluruh engagement.

Nilai OSINT tidak berhenti di fase reconnaissance teknis. Laporan Data Breach Investigations Report (DBIR) 2026 dari Verizon, yang menganalisis puluhan ribu insiden keamanan, secara konsisten menunjukkan bahwa elemen manusia dan social engineering tetap menjadi vektor dominan di balik breach nyata.^[20] Informasi yang dikumpulkan melalui OSINT, seperti struktur organisasi, nama karyawan, dan tech stack yang digunakan, adalah bahan baku utama yang membuat serangan social engineering jauh lebih meyakinkan.

Artikel ini menunjukkan apa yang sebenarnya bisa ditemukan tentang sebuah organisasi dari sumber publik, dan mengapa informasi tersebut berbahaya di tangan yang salah.

Mengapa OSINT Penting dalam Konteks Pentest

Nilai OSINT bagi attacker terletak pada kenyataan bahwa informasi dikumpulkan tanpa meninggalkan jejak apa pun di sistem target. Tidak ada log yang mencatat bahwa seseorang sedang mengumpulkan informasi tentang infrastruktur organisasi melalui Google, LinkedIn, atau Shodan.

Bagi tim penetration testing, OSINT yang komprehensif menentukan kualitas engagement secara keseluruhan. Semakin banyak yang diketahui tentang target sebelum fase aktif dimulai, semakin terarah dan efisien pengujiannya. OWASP Web Security Testing Guide memasukkan reconnaissance berbasis search engine sebagai langkah formal pertama dalam fase Information Gathering.^[8]

Infrastruktur dan Domain

Enumerasi Subdomain

Satu domain yang terdaftar bisa memiliki puluhan atau ratusan subdomain, masing-masing merepresentasikan layanan yang berbeda. Banyak dari subdomain ini yang mungkin tidak dimonitor dengan ketat atau masih menjalankan software versi lama.

Sumber pasif untuk enumerasi subdomain mencakup Certificate Transparency logs yang bisa diakses melalui crt.sh,^[1] hasil crawling dari Wayback Machine,^[2] data DNS yang tersimpan di berbagai layanan seperti SecurityTrails, dan hasil pencarian Google dengan operator site:. Tool seperti OWASP Amass mengotomasi dan menggabungkan seluruh sumber ini sekaligus, memadukan brute force DNS dengan puluhan integrasi OSINT API untuk memetakan attack surface domain secara jauh lebih menyeluruh dibanding pencarian manual satu per satu.^[14]

theHarvester adalah tool pelengkap yang berguna pada tahap ini, mengumpulkan email, subdomain, dan nama karyawan sekaligus dari lebih dari 40 sumber publik dalam satu kali eksekusi, sehingga hasil dari fase infrastruktur dan fase manusia dalam OSINT bisa saling melengkapi sejak awal.^[11]

Shodan dan Censys

Shodan^[3] dan Censys^[4] adalah search engine untuk internet-connected devices. Keduanya secara rutin melakukan scanning terhadap seluruh internet dan mengindeks hasilnya, termasuk banner service, sertifikat SSL, dan response dari berbagai protokol.

Dari Shodan, bisa ditemukan port yang terbuka di IP milik organisasi, versi software yang diekspos, konfigurasi yang berpotensi bermasalah, bahkan device IoT yang terkoneksi internet tanpa disadari.

Cloud Asset Discovery: Bucket Storage yang Terekspos

Selain infrastruktur tradisional, aset di layanan cloud storage sering menjadi titik buta yang signifikan. Bucket penyimpanan seperti Amazon S3 yang salah konfigurasi permission-nya bisa membocorkan seluruh isinya ke publik, mulai dari backup database, dokumen internal, hingga source code. AWS sendiri secara eksplisit mendokumentasikan risiko ini dan menyediakan kontrol Block Public Access untuk mencegahnya, namun implementasinya sangat bergantung pada kedisiplinan tim yang mengelola bucket tersebut.^[15]

Dalam praktiknya, penamaan bucket sering mengikuti pola yang mudah ditebak, misalnya kombinasi nama perusahaan dengan kata backup, assets, atau internal, sehingga enumerasi bucket menjadi teknik OSINT yang relatif sederhana namun kerap menghasilkan temuan bernilai tinggi.

Credential dan Data yang Bocor

Have I Been Pwned dan Database Breach

Salah satu informasi paling berharga yang bisa ditemukan melalui OSINT adalah credential karyawan yang sudah bocor dalam data breach sebelumnya. Platform seperti Have I Been Pwned memungkinkan pengecekan apakah alamat email terdaftar dalam breach yang diketahui.^[5]

Di luar layanan publik ini, ada ekosistem yang lebih luas: forum underground dan marketplace yang memperjualbelikan database credential. Layanan monitoring dark web komersial secara rutin memantau ribuan forum underground dan leak site semacam ini untuk mendeteksi penyebutan domain organisasi atau kredensial yang bocor jauh lebih dini dibanding metode pemantauan konvensional.^[18] Dalam engagement threat intelligence, pemantauan terhadap penyebutan nama domain organisasi di platform-platform ini memberikan early warning yang sangat berharga.

Repositori Kode Publik

GitHub, GitLab, dan repositori publik lainnya adalah sumber informasi yang sangat kaya dan sering diabaikan. Developer yang tidak sengaja melakukan commit credential, API key, atau konfigurasi internal ke repositori publik adalah skenario yang lebih sering terjadi dari yang diperkirakan.

Pencarian di GitHub dengan operator seperti org:namaorganisasi password, org:namaorganisasi secret, atau org:namaorganisasi internal sering menghasilkan temuan yang mengejutkan, sebagaimana didokumentasikan dalam teknik GitDorking pada OWASP WSTG.^[8] Pendekatan dorking serupa juga berlaku untuk pencarian di search engine secara umum, dikatalogkan secara komprehensif dalam Google Hacking Database yang dikelola Exploit-DB, berisi ribuan pola pencarian untuk menemukan file kredensial, portal login, dan dokumen yang tidak sengaja terindeks ke publik.^[19] Tools seperti truffleHog^[6] atau gitleaks^[7] bisa mengotomasi pencarian ini dengan lebih sistematis.

Informasi tentang Karyawan dan Struktur Organisasi

LinkedIn sebagai Sumber Intelijen

LinkedIn adalah salah satu sumber OSINT paling produktif untuk memahami struktur internal sebuah organisasi. Dari profil karyawan, bisa dikumpulkan teknologi dan tools yang digunakan (dari skill yang dicantumkan), struktur tim dan hierarki, vendor dan partner yang bekerja sama, serta informasi tentang proyek yang sedang berjalan.

Informasi ini berguna untuk social engineering dalam konteks phishing simulation, memahami tech stack yang digunakan, dan mengidentifikasi individu yang menjadi target bernilai tinggi.

Sherlock dan Maltego: Menelusuri Jejak Digital Individu

Setelah nama karyawan teridentifikasi dari LinkedIn atau lowongan pekerjaan, tool seperti Sherlock memungkinkan pencarian keberadaan username yang sama di lebih dari 400 platform media sosial dan layanan online lainnya tanpa memerlukan API key, sehingga membantu memetakan jejak digital seorang individu secara luas.^[12] Untuk memvisualisasikan hubungan antar entitas yang ditemukan, mulai dari domain, alamat email, hingga akun media sosial, platform seperti Maltego menyediakan kerangka link-analysis grafis yang memudahkan analis melihat pola dan koneksi yang tidak terlihat jika data hanya disajikan sebagai daftar mentah.^[13]

Lowongan Pekerjaan sebagai Sumber Intelijen Teknis

Lowongan pekerjaan yang dipublikasikan oleh sebuah organisasi sering mengandung informasi yang sangat spesifik tentang teknologi yang digunakan. Kalimat seperti “kami mencari kandidat dengan pengalaman di Kubernetes, AWS EKS, dan Terraform” memberikan gambaran yang jelas tentang infrastruktur yang dimiliki.

Metadata Dokumen

Dokumen yang dipublikasikan di situs web organisasi, termasuk PDF laporan tahunan, presentasi, dan dokumen kebijakan, sering mengandung metadata yang menyimpan informasi tentang software yang digunakan untuk membuat dokumen, nama pengguna yang membuat atau memodifikasi dokumen, dan kadang path internal sistem tempat file tersebut disimpan.

Tools seperti ExifTool bisa mengekstrak metadata ini,^[9] dan informasi yang didapat bisa sangat berguna untuk memahami environment internal organisasi.

Dari OSINT Manual ke Continuous Attack Surface Management

Pengumpulan OSINT secara manual, meski efektif untuk engagement satu kali, punya keterbatasan. Aset baru bisa muncul kapan saja, subdomain baru bisa dideploy tim development tanpa sepengetahuan tim security, dan bucket cloud baru bisa dibuat serta salah konfigurasi hanya dalam hitungan menit. Kategori Attack Surface Management (ASM), sebagaimana didefinisikan Gartner, hadir untuk menjawab keterbatasan ini melalui discovery dan monitoring berkelanjutan terhadap aset yang terekspos ke internet, dilihat dari sudut pandang attacker.^[16]

Bagi organisasi dengan kematangan keamanan yang lebih tinggi, ASM bukan pengganti OSINT manual dalam engagement pentest, melainkan lapisan yang memastikan gambaran attack surface tetap akurat di antara satu engagement dan engagement berikutnya, mengingat infrastruktur modern berubah jauh lebih cepat dibanding siklus pentest tahunan.

Batasan Etis dan Legal OSINT dalam Pentest

OSINT dalam konteks penetration testing harus tetap berada dalam batasan yang disepakati dalam ruang lingkup engagement. Beberapa hal yang perlu diperhatikan berikut ini.

Pengumpulan informasi dari sumber publik adalah legal, tetapi penggunaannya harus sesuai dengan tujuan engagement yang disepakati. Informasi tentang individu karyawan yang dikumpulkan hanya boleh digunakan dalam konteks yang relevan dengan ruang lingkup. Di Indonesia, pengumpulan dan pemrosesan data pribadi, termasuk data yang bersumber dari platform publik seperti media sosial, tetap tunduk pada Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi, yang mengatur batasan tujuan pemrosesan serta kewajiban keamanan atas data yang dikumpulkan.^[17]

Beberapa layanan memiliki Terms of Service yang membatasi automated scraping, meski data yang diakses bersifat publik. Penting memahami batasan ini sebelum menggunakan tools automasi.

Kesimpulan

OSINT bukan sekadar fase formalitas sebelum masuk ke pengujian yang sesungguhnya. Dalam banyak engagement, OSINT menghasilkan temuan yang langsung actionable dan memberikan konteks yang membuat seluruh engagement jauh lebih efektif, dan data industri seperti DBIR terus menegaskan bahwa informasi yang dikumpulkan lewat OSINT adalah bahan bakar utama serangan berbasis manusia.

Yang lebih penting, OSINT menunjukkan kepada klien bahwa informasi tentang mereka sudah tersebar luas di ruang publik, dan attacker yang bermotivasi tidak perlu menyentuh sistem mereka sama sekali untuk mengumpulkan informasi yang cukup untuk merencanakan serangan yang terarah.

Jika Anda ingin mengetahui apa yang bisa ditemukan tentang organisasi Anda dari sumber publik, tim Security Squad LOGIQUE siap membantu.

Daftar Referensi

1. crt.sh. Certificate Transparency log search engine. https://crt.sh/
2. Internet Archive. “Wayback Machine.” https://web.archive.org/
3. Shodan. https://www.shodan.io/
4. Censys. “Censys Search.” https://search.censys.io/
5. Have I Been Pwned. https://haveibeenpwned.com/
6. Truffle Security. “trufflehog.” GitHub repository. https://github.com/trufflesecurity/trufflehog
7. Gitleaks. GitHub repository. https://github.com/gitleaks/gitleaks
8. OWASP Foundation. “Conduct Search Engine Discovery and Reconnaissance for Information Leakage.” OWASP WSTG. https://owasp.org/www-project-web-security-testing-guide/latest/4-Web_Application_Security_Testing/01-Information_Gathering/01-Conduct_Search_Engine_Discovery_Reconnaissance_for_Information_Leakage
9. Harvey, Phil. “ExifTool.” https://exiftool.org/
10. OSINT Framework. https://osintframework.com/
11. Martorella, Christian / Edge-Security. “theHarvester.” GitHub repository. https://github.com/laramies/theHarvester
12. Sherlock Project. GitHub repository. https://github.com/sherlock-project/sherlock
13. Maltego. https://www.maltego.com/
14. OWASP Amass. GitHub repository. https://github.com/owasp-amass/amass
15. Amazon Web Services. “Security best practices for Amazon S3.” https://docs.aws.amazon.com/AmazonS3/latest/userguide/security-best-practices.html
16. Gartner. “Innovation Insight: Attack Surface Management.” https://www.gartner.com/en/documents/5341663
17. Peraturan.go.id. Undang-Undang Nomor 27 Tahun 2022 Tentang Pelindungan Data Pribadi. https://peraturan.go.id/id/uu-no-27-tahun-2022
18. Bitsight. “What Is Dark Web Threat Intelligence?” https://www.bitsight.com/learn/cti/what-is-dark-web-threat-intelligence
19. Exploit-DB (Offensive Security). “Google Hacking Database (GHDB).” https://www.exploit-db.com/google-hacking-database
20. Verizon. “2026 Data Breach Investigations Report (DBIR).” https://www.verizon.com/business/resources/reports/dbir/