Ekosistem kompetisi keamanan siber atau Capture The Flag (CTF) di Indonesia yang seharusnya menjadi ajang adu mekanik dan unjuk kepintaran teknis kini sedang tercoreng parah. Alih-alih mengandalkan kemampuan eksploitasi murni, segelintir oknum peserta hingga penyelenggara justru memilih jalan pintas yang memalukan demi memburu piala dan validasi semu.

Semua kebobrokan ini akhirnya terbuka secara terang-terangan berkat kerja keras para penyidik independen dari komunitas, tim problem setter TCP1P, serta dokumentasi investigasi dari Dimas Maulana (dimas0305) yang dipublikasikan secara transparan melalui laman daftar hitam resmi komunitas di https://ban.1pc.tf/ (TCP1P Wall of Shame). Bukan sekadar tuduhan kosong di tongkrongan, laporan investigasi ini membeberkan bukti forensik digital, log server, hingga tangkapan layar yang membuat para pelaku tidak lagi punya ruang untuk mengelak. Berikut adalah bedah tuntas tiga skandal kecurangan paling mencolok yang merusak integritas skena CTF tanah air.

1. Skandal NCS 2025 dan 2026: Ketika Kompetisi Nasional Berubah Jadi Ajang Konflik Kepentingan

Kasus pertama datang dari ajang Nusantara Cyber Security (NCS) yang diselenggarakan oleh APTIKOM. Bukan hanya pesertanya yang masuk daftar hitam di https://ban.1pc.tf/, melainkan seluruh event NCS itu sendiri resmi dijatuhi status Event Ban oleh TCP1P. Alasannya sangat fatal, yakni kombinasi antara dugaan kebocoran soal dari orang dalam, konflik kepentingan struktural, serta sikap panitia yang menutup-nutupi insiden integritas hingga acara selesai.

Pada edisi NCS 2025, tiga tim dari Universitas Indo Global Mandiri (UIGM) yaitu Pempek Panggang, 404 Team Found, dan Cyber Celimpungan sukses menyapu bersih gelar juara nasional dan regional Sumatera. Namun, kemenangan ini langsung memicu kecurigaan besar ketika muncul tuduhan bahwa dosen pembimbing mereka merangkap jabatan sebagai juri dan pembuat soal. Berdasarkan arsip bukti yang dikumpulkan penyidik, akun Instagram resmi himpunan kampus tersebut mencantumkan nama Ferdiansyah, M.Kom., Ph.D. sebagai salah satu dosen pembimbing tim. Ironisnya, jejak digital di grup kompetisi pada 20 September 2025 menunjukkan nomor telepon berakhiran 3788 yang teridentifikasi milik dosen tersebut justru sibuk mengumumkan rilis soal baru sekaligus memperbaiki file soal bernama sukuna.pdf saat dikomplain peserta.

Memasuki edisi NCS 2026, kejanggalan semakin menjadi-jadi. Sistem mencatat adanya anomali selisih waktu penyelesaian soal hampir tiga jam pada rekor tim UIGM yang mengindikasikan kejanggalan waktu akses soal dibandingkan peserta lain. Bukannya bersikap transparan, pihak penyelenggara justru membiarkan masalah ini tertutup rapat sampai kompetisi berakhir. Akibat insiden tersebut, dua anggota tim UIGM yakni Muhammad Ardiansyah dan Muhammad Roby resmi dijatuhi sanksi larangan bertanding.

Lebih parahnya lagi, penyidik menemukan tumpang tindih jabatan yang sangat kental. Banyak staf dan pimpinan Fakultas Ilmu Komputer UIGM ternyata menjabat sebagai pengurus APTIKOM Wilayah Sumatera Selatan periode 2024 sampai 2028, termasuk Wakil Rektor II UIGM Assoc. Prof. Dr. Herri Setiawan yang menjabat sebagai Ketua APTIKOM Sumsel. Saat dikonfirmasi lewat sambungan telepon pada 30 September 2026, salah satu anggota tim UIGM bahkan tidak bisa memberikan pembelaan teknis yang masuk akal dan malah mengklaim bahwa Wakil Rektor I dan II UIGM sudah mengetahui masalah ini serta membebaskan mereka untuk lanjut bertanding.

2. Drama Cyber Jawara 2025 Quals: Submit Flag Gaib Tanpa Server hingga Blunder Paraphrase AI

Bergeser ke ajang bergengsi Cyber Jawara 2025 Quals, tim penyidik kompetisi berhasil menangkap basah praktik kolaborasi ilegal lintas tim dan aksi bagi-bagi solver yang melibatkan pemain dari berbagai kampus ternama. Lima tim langsung didiskualifikasi dan empat pemain utamanya dipajang di https://ban.1pc.tf/, yaitu Praditya Fajar Ramadhan (pajarori dari STIKOM), Ruben Albion Yobel (hoho dari BINUS), Daniel Dhaniswara (roxasz_ dari ITS), serta Muhammad Haidar Wijaya (qiuqiuqiu1234 dari PSSN).

Konyolnya modus mereka terlihat jelas dari log server. Tim bernama kata paul kalo medan (dengan akun archtsx) tercatat baru bergabung ke kompetisi pada pukul 18.07, lalu hanya dalam waktu sekitar satu jam langsung berhasil mengumpulkan flag untuk soal Babynote dan 5-lpt. Masalahnya, log server membuktikan bahwa tim ini sama sekali tidak pernah menekan tombol Create Instance untuk menyalakan mesin soal tersebut. Hal serupa dilakukan oleh Praditya Fajar Ramadhan dari tim Sotong so sad yang men-submit flag Babynote tepat sepuluh menit sebelum lomba berakhir tanpa menyalakan instance soal sejak pagi. Saat diinterogasi panitia, ia berdalih baru menyelesaikan soal itu pada malam hari. Pengakuan ini justru menjadi senjata makan tuan karena mustahil mengeksploitasi soal di malam hari tanpa menyalakan server soalnya.

Pada soal web not-so-nice-html-viewer, tim Sotong so sad juga menyerahkan script solver di writeup yang sama sekali tidak bisa berjalan karena salah menggunakan tipe data string yang terpotong batas 256 karakter serta lupa menambahkan atribut allow-top-navigation untuk menembus sandbox iframe. Ajaibnya, saat sesi klarifikasi, mereka tiba-tiba bisa menyodorkan script versi baru yang sudah diperbaiki secara sempurna.

Blunder paling menggelikan terjadi pada soal Binary Exploitation yang melibatkan empat tim sekaligus, termasuk Petir - asep said na, anak didik coach waw (Daniel Dhaniswara), dan Petir - bebas (Ruben Albion Yobel). Keempat tim ini memiliki urutan alokasi heap chunk yang seratus persen identik di dalam script mereka: alokasi awal 0x18, perulangan tepat 6 kali dengan ukuran 0xf8, lalu menimpa ukuran chunk menjadi tepat 0x501 untuk mendapatkan leak libc dengan perhitungan offset yang sama persis.

Demi menyamarkan script hasil curian dari tim Petir - asep said na (yang belakangan mengaku telah membagikan solver mereka sebelum batas pengumpulan writeup), Ruben dari tim Petir - bebas mencoba memodifikasi kode tersebut menggunakan bantuan AI. Sialnya, ia mengubah ukuran alokasi dari 0x18 menjadi 0x16 dan 0xf8 menjadi 0xf0 sehingga susunan heap menjadi berantakan dan script di writeup mereka rusak total. Lebih parah lagi, penyidik menemukan kata Paraphrased yang tertinggal di dalam dokumen writeup dan komentar kode milik Petir - bebas, sebuah bukti telak bahwa mereka menyalin mentah-mentah hasil prompt AI untuk memparafrase exploit orang lain. Di sisi lain, Muhammad Haidar Wijaya dari tim Registrasi tahun 202 juga tertangkap basah menyalin langsung string output IV offset 1410219 P1 !h0peth3r3xxxx pada soal Bad OPSEC dari hasil cetakan script milik tim Gov-CSIRT tanpa bisa menunjukkan script pembuatnya sama sekali.

3. Pengkhianatan di TECHOMFEST 2026 Quals: Ketika Probset Dalam Membocorkan Repo Private ke Peserta

Seolah tidak kapok setelah tertangkap di Cyber Jawara 2025, dua nama yang sama yakni Daniel Dhaniswara (roxasz_ dari ITS) dan Ruben Albion Yobel (hoho dari BINUS) kembali berulah di ajang TECHOMFEST 2026 Quals. Kali ini mereka beraksi sebagai satu komplotan bersama Zahir Hadi Athallah (kurokaze dari PNJ) dan seorang oknum problem setter internal bernama Robby Abdillah Zam Zami (replicant atau repl dari BINUS).

Sepak terjang grup ini terbongkar lewat jebakan soal honeypot tak disengaja pada kategori Reverse Engineering berjudul Akane. Karena tim panitia menggunakan tool automasi gzcli milik Dimas (dimas0305) dan tidak mencantumkan key provide pada file konfigurasi, file lampiran soal Akane tidak pernah terunggah ke server kompetisi. Artinya, bagi peserta jujur, soal ini seratus persen mustahil dikerjakan karena tidak ada file binary yang bisa diunduh.

Namun, log server justru merekam pemandangan konyol. Ketiga tim komplotan ini, yaitu HCS - manarul ilmi e (Daniel), Kita udah usaha sisa (Zahir), dan nano nano (Ruben), secara bergantian mencoba memasukkan flag versi lama TCF{S1mpl3_B4ckd00r_F0r_4_S1mpl3_W3b_S3rv3r} yang sebenarnya hanya ada di dalam source code mentah sebelum diperbarui oleh pembuat soal Aimar Sechan Adhitya. Bahkan akun milik Daniel sempat terekam menyertakan karakter tanda kutip di ujung flag akibat terburu-buru melakukan salin tempel dari file konfigurasi. Begitu sang pembuat soal memperbarui flag di sistem menjadi TCF{yes-there-is-no-backdoor-just-a-simple-reversing}, ketiga tim ini langsung kompak berhasil menyelesaikan soal tersebut dalam hitungan menit meskipun soal di website tetap kosong melompong tanpa attachment.

Kecurigaan penyidik bahwa komplotan ini memegang akses ke repositori internal panitia akhirnya terbukti secara konyol lewat file PDF writeup yang dikumpulkan sendiri oleh tim HCS - manarul ilmi enjoyer milik Daniel. Di dalam tangkapan layar terminalnya, terlihat jelas path direktori lokal mereka bernama /home/roxasz/tmp/gg/TECHCOMPFEST-CTF-2026-Quals/Pwn/httpwn/dist/dist/httpwn.cgi lengkap dengan keberadaan folder .git di dalamnya.

Letak komedinya ada pada penulisan kata TECHCOMPFEST yang menggunakan huruf P. Itu adalah salah ketik (typo) yang dibuat oleh panitia saat menamai git repository private mereka di server internal, sedangkan nama resmi acaranya adalah TECHCOMFEST tanpa huruf P. Struktur folder yang identik beserta typo yang sama persis membuktikan bahwa mereka tidak mengunduh soal dari web, melainkan melakukan clone langsung dari repositori rahasia milik panitia yang berisi seluruh source code, solver, dan flag dari semua kategori soal.

Setelah didesak dalam sesi interogasi, salah satu pelaku akhirnya bernyanyi dan membongkar bahwa seluruh isi git repository private TECHCOMPFEST-2026-Quals tersebut dibagikan secara ilegal oleh Robby Abdillah Zam Zami (repl), seorang anggota problem setter baru yang masuk ke lingkaran probset TCP1P sejak ajang Intechfest 2025. Pihak penyidik dan tim probset TCP1P yang merasa dikhianati dari dalam segera mengambil tindakan tegas dengan menjatuhkan sanksi larangan permanen kepada Robby dari seluruh kegiatan CTF maupun kepanitiaan, sekaligus menyampaikan permintaan maaf terbuka kepada publik.

Rentetan kasus yang diungkap oleh para penyidik komunitas dan diarsipkan secara rapi di https://ban.1pc.tf/ ini menjadi peringatan keras bagi siapa saja di ekosistem keamanan siber Indonesia. Sepintar apa pun seseorang memodifikasi kode dengan AI atau serapi apa pun oknum orang dalam membocorkan soal di balik layar, jejak log dan anomali teknis tidak pernah bisa berbohong. Fair play adalah harga mati, dan bagi mereka yang memilih jalan curang, tembok rasa malu di https://ban.1pc.tf/ selalu punya ruang kosong untuk memajang nama mereka secara permanen.