Entri Jurnal
Broken Access Control adalah kegagalan sistem dalam memastikan bahwa pengguna hanya dapat melakukan tindakan dan mengakses data yang memang diizinkan untuk mereka. Ketika kontrol akses gagal — baik karena tidak ada, tidak konsisten diterapkan, atau dapat di-bypass — penyerang dapat bertindak di luar batas otorisasi yang seharusnya berlaku.
Dalam bahasa bisnis: ini adalah kondisi di mana seseorang dapat melihat, mengubah, atau menghapus data dan fungsi yang bukan haknya — mulai dari mengintip data pelanggan lain, hingga mengakses panel administrasi tanpa izin, hingga mengambil alih seluruh sistem.
Dalam edisi OWASP Top 10:2025, Broken Access Control mempertahankan posisi pertamanya dengan data yang tidak terbantahkan:
94,55% aplikasi yang masuk dalam dataset OWASP memiliki setidaknya satu bentuk kerentanan akses kontrol
Lebih dari 318.000 CVE selama satu dekade terakhir terpetakan ke kategori ini
Mencakup 34 jenis CWE yang berbeda — mulai dari IDOR, path traversal, privilege escalation, CORS misconfiguration, hingga force browsing
Di edisi 2025, kategori ini diperluas untuk menyerap SSRF (Server-Side Request Forgery) yang sebelumnya berdiri sendiri
Posisi 1 bukan hanya soal frekuensi — ini adalah pernyataan bahwa kegagalan akses kontrol adalah masalah sistemik industri, bukan sekadar bug individual yang terlewat.
Mengakses resource milik pengguna lain dengan memanipulasi identifier (ID, nomor pesanan, nama file) dalam URL atau parameter. Salah satu teknik paling sederhana namun paling umum ditemukan.
Horizontal: Mengakses data pengguna lain dengan level yang sama
Vertical: Mendapatkan hak akses yang lebih tinggi dari yang seharusnya (user biasa → admin)
Menggunakan karakter ../ untuk keluar dari direktori yang diizinkan dan mengakses file sistem, konfigurasi, atau kode sumber yang sensitif.
Kebijakan Cross-Origin Resource Sharing yang salah dikonfigurasi memungkinkan situs berbahaya membaca respons API yang dilindungi atas nama pengguna yang sedang login.
Mengakses langsung URL atau endpoint yang tidak ditampilkan di antarmuka — panel admin, halaman debug, file backup — tanpa kontrol otorisasi di sisi server.
Web server yang menampilkan isi direktori secara publik, mengekspos struktur file, dokumen sensitif, dan potensi jalur serangan lanjutan.
Kegagalan akses kontrol dapat mengakibatkan:
Kebocoran Data — Data pelanggan, data keuangan, data medis, atau dokumen bisnis rahasia terekspos kepada pihak yang tidak berhak. Dalam konteks UU PDP Indonesia, ini berpotensi menghasilkan sanksi hingga 2% dari pendapatan tahunan dan kewajiban notifikasi dalam 14 hari kerja.
Manipulasi Transaksi — Penyerang dapat memodifikasi pesanan, mengubah harga, atau melakukan transaksi atas nama pengguna lain jika kontrol akses pada fungsi bisnis kritis tidak diimplementasikan dengan benar.
Kompromi Sistem Penuh — Vertical privilege escalation yang berhasil dapat memberikan penyerang akses admin penuh — kendali atas seluruh aplikasi, data semua pengguna, dan fungsi kritis sistem.
Kerugian Reputasi — Kepercayaan yang dibangun bertahun-tahun dapat runtuh dalam hitungan jam ketika pelanggan mengetahui data mereka dapat diakses oleh pihak lain.
Optus Australia (2022) — API endpoint tanpa autentikasi mengekspos data 9,8 juta pelanggan termasuk nomor paspor. Akar masalah: akses kontrol tidak diterapkan pada satu endpoint API. Dampak: investigasi regulatoris, gugatan class action, penggantian dokumen identitas jutaan pelanggan.
Twitter (2020) — Penyerang mendapatkan akses ke panel administrasi internal melalui social engineering, kemudian mengambil alih akun tokoh-tokoh terkemuka dunia. Contoh klasik vertical privilege escalation ke level admin.
Parkmobile (2021) — IDOR pada endpoint profil pengguna mengekspos data 21 juta pengguna karena server tidak memvalidasi kepemilikan data yang diminta.
Deny by Default — Tolak semua akses kecuali ada izin eksplisit. Jangan pernah "izinkan semua kecuali yang diblokir."
Server-Side Authorization — Setiap pemeriksaan otorisasi harus dilakukan di sisi server, bukan di level UI atau JavaScript sisi klien yang dapat dimanipulasi.
Least Privilege — Setiap pengguna, proses, dan komponen hanya mendapat hak minimum yang diperlukan.
Object-Level Authorization — Setiap kali mengambil objek berdasarkan input pengguna, selalu verifikasi bahwa pengguna berhak atas objek tersebut — bukan hanya bahwa mereka sudah login.
Centralized Access Control — Implementasikan kontrol akses di satu tempat yang konsisten, bukan tersebar di setiap bagian kode.
Regular Access Review — Tinjau hak akses secara berkala; cabut akses yang tidak lagi relevan.
Model | Deskripsi Singkat | Cocok Untuk |
|---|---|---|
RBAC | Hak akses berdasarkan peran pengguna | Sebagian besar aplikasi enterprise |
ABAC | Keputusan akses berdasarkan atribut multi-dimensi | Kebijakan akses yang kompleks dan dinamis |
ReBAC | Akses berdasarkan hubungan antar objek | Aplikasi kolaboratif, social platform |
PAM | Kontrol khusus untuk akun istimewa | Akun admin, DBA, service account kritis |
Kategori | Vendor | Kehadiran Indonesia |
|---|---|---|
IAM / Access Management | Microsoft Entra ID | ✅ Tier 1 |
IAM / Access Management | IBM Security Verify | ✅ Tier 1 |
IAM / Access Management | Okta | ⚠️ Tier 3 |
IGA | SailPoint | ⚠️ Tier 3 |
IGA | Saviynt | ❌ Belum ada |
PAM | CyberArk | ⚠️ Tier 2 |
Policy Engine (Open-Source) | OPA, Casbin, Keycloak | Self-managed |
DAST Testing | OWASP ZAP | Open-source |
AppSec Platform | Palo Alto (Cortex) | ✅ Tier 1 |
Entri Jurnal
Broken Access Control adalah kegagalan sistem dalam memastikan bahwa pengguna hanya dapat melakukan tindakan dan mengakses data yang memang diizinkan untuk mereka. Ketika kontrol akses gagal — baik karena tidak ada, tidak konsisten diterapkan, atau dapat di-bypass — penyerang dapat bertindak di luar batas otorisasi yang seharusnya berlaku.
Dalam bahasa bisnis: ini adalah kondisi di mana seseorang dapat melihat, mengubah, atau menghapus data dan fungsi yang bukan haknya — mulai dari mengintip data pelanggan lain, hingga mengakses panel administrasi tanpa izin, hingga mengambil alih seluruh sistem.
Dalam edisi OWASP Top 10:2025, Broken Access Control mempertahankan posisi pertamanya dengan data yang tidak terbantahkan:
94,55% aplikasi yang masuk dalam dataset OWASP memiliki setidaknya satu bentuk kerentanan akses kontrol
Lebih dari 318.000 CVE selama satu dekade terakhir terpetakan ke kategori ini
Mencakup 34 jenis CWE yang berbeda — mulai dari IDOR, path traversal, privilege escalation, CORS misconfiguration, hingga force browsing
Di edisi 2025, kategori ini diperluas untuk menyerap SSRF (Server-Side Request Forgery) yang sebelumnya berdiri sendiri
Posisi 1 bukan hanya soal frekuensi — ini adalah pernyataan bahwa kegagalan akses kontrol adalah masalah sistemik industri, bukan sekadar bug individual yang terlewat.
Mengakses resource milik pengguna lain dengan memanipulasi identifier (ID, nomor pesanan, nama file) dalam URL atau parameter. Salah satu teknik paling sederhana namun paling umum ditemukan.
Horizontal: Mengakses data pengguna lain dengan level yang sama
Vertical: Mendapatkan hak akses yang lebih tinggi dari yang seharusnya (user biasa → admin)
Menggunakan karakter ../ untuk keluar dari direktori yang diizinkan dan mengakses file sistem, konfigurasi, atau kode sumber yang sensitif.
Kebijakan Cross-Origin Resource Sharing yang salah dikonfigurasi memungkinkan situs berbahaya membaca respons API yang dilindungi atas nama pengguna yang sedang login.
Mengakses langsung URL atau endpoint yang tidak ditampilkan di antarmuka — panel admin, halaman debug, file backup — tanpa kontrol otorisasi di sisi server.
Web server yang menampilkan isi direktori secara publik, mengekspos struktur file, dokumen sensitif, dan potensi jalur serangan lanjutan.
Kegagalan akses kontrol dapat mengakibatkan:
Kebocoran Data — Data pelanggan, data keuangan, data medis, atau dokumen bisnis rahasia terekspos kepada pihak yang tidak berhak. Dalam konteks UU PDP Indonesia, ini berpotensi menghasilkan sanksi hingga 2% dari pendapatan tahunan dan kewajiban notifikasi dalam 14 hari kerja.
Manipulasi Transaksi — Penyerang dapat memodifikasi pesanan, mengubah harga, atau melakukan transaksi atas nama pengguna lain jika kontrol akses pada fungsi bisnis kritis tidak diimplementasikan dengan benar.
Kompromi Sistem Penuh — Vertical privilege escalation yang berhasil dapat memberikan penyerang akses admin penuh — kendali atas seluruh aplikasi, data semua pengguna, dan fungsi kritis sistem.
Kerugian Reputasi — Kepercayaan yang dibangun bertahun-tahun dapat runtuh dalam hitungan jam ketika pelanggan mengetahui data mereka dapat diakses oleh pihak lain.
Optus Australia (2022) — API endpoint tanpa autentikasi mengekspos data 9,8 juta pelanggan termasuk nomor paspor. Akar masalah: akses kontrol tidak diterapkan pada satu endpoint API. Dampak: investigasi regulatoris, gugatan class action, penggantian dokumen identitas jutaan pelanggan.
Twitter (2020) — Penyerang mendapatkan akses ke panel administrasi internal melalui social engineering, kemudian mengambil alih akun tokoh-tokoh terkemuka dunia. Contoh klasik vertical privilege escalation ke level admin.
Parkmobile (2021) — IDOR pada endpoint profil pengguna mengekspos data 21 juta pengguna karena server tidak memvalidasi kepemilikan data yang diminta.
Deny by Default — Tolak semua akses kecuali ada izin eksplisit. Jangan pernah "izinkan semua kecuali yang diblokir."
Server-Side Authorization — Setiap pemeriksaan otorisasi harus dilakukan di sisi server, bukan di level UI atau JavaScript sisi klien yang dapat dimanipulasi.
Least Privilege — Setiap pengguna, proses, dan komponen hanya mendapat hak minimum yang diperlukan.
Object-Level Authorization — Setiap kali mengambil objek berdasarkan input pengguna, selalu verifikasi bahwa pengguna berhak atas objek tersebut — bukan hanya bahwa mereka sudah login.
Centralized Access Control — Implementasikan kontrol akses di satu tempat yang konsisten, bukan tersebar di setiap bagian kode.
Regular Access Review — Tinjau hak akses secara berkala; cabut akses yang tidak lagi relevan.
Model | Deskripsi Singkat | Cocok Untuk |
|---|---|---|
RBAC | Hak akses berdasarkan peran pengguna | Sebagian besar aplikasi enterprise |
ABAC | Keputusan akses berdasarkan atribut multi-dimensi | Kebijakan akses yang kompleks dan dinamis |
ReBAC | Akses berdasarkan hubungan antar objek | Aplikasi kolaboratif, social platform |
PAM | Kontrol khusus untuk akun istimewa | Akun admin, DBA, service account kritis |
Kategori | Vendor | Kehadiran Indonesia |
|---|---|---|
IAM / Access Management | Microsoft Entra ID | ✅ Tier 1 |
IAM / Access Management | IBM Security Verify | ✅ Tier 1 |
IAM / Access Management | Okta | ⚠️ Tier 3 |
IGA | SailPoint | ⚠️ Tier 3 |
IGA | Saviynt | ❌ Belum ada |
PAM | CyberArk | ⚠️ Tier 2 |
Policy Engine (Open-Source) | OPA, Casbin, Keycloak | Self-managed |
DAST Testing | OWASP ZAP | Open-source |
AppSec Platform | Palo Alto (Cortex) | ✅ Tier 1 |