Ada ironi yang terlalu on the nose bahkan untuk standar satir keamanan informasi: pada pekan yang sama ketika OpenSSL mengakui bahwa 11 byte data TLS bisa melumpuhkan memori server—sebuah rasio payload-to-damage yang mengingatkan pada Log4Shell—Ernst & Young, salah satu dari Big Four akuntansi global, mengonfirmasi bahwa seorang attacker telah duduk diam di dalam third-party IT platform mereka selama 15 hari, mengunduh dokumen pajak klien tanpa satu pun alert yang terpicu. Dalam arsitektur sistem, ini bukan dua insiden terpisah. Ini adalah gejala dari kerentanan yang sama pada layer yang berbeda: trust sebagai shared dependency yang tidak pernah di-audit secara paralel.
Arsitektur HollowByte — 11 Byte sebagai Vektor Denial-of-Service
HollowByte bukanlah buffer overflow klasik. Ini adalah resource leak yang dieksploitasi melalui TLS handshake yang sengaja dibiarkan menggantung. Sebelas byte—ukuran yang lebih kecil dari rata-rata HTTP cookie—sudah cukup untuk membuat glibc di sistem 64-bit Unix mengalokasikan memori yang tidak pernah dibebaskan. Dalam istilah infrastruktur, ini adalah fork bomb dalam bentuk kriptografis: input minimal, state explosion di sisi penerima, dan recovery yang hanya bisa dilakukan melalui reboot.
Yang membedakan HollowByte dari kerentanan TLS sebelumnya adalah silence treatment-nya. TechCrunch mencatat bahwa tidak ada CVE, advisory, atau bahkan changelog entry yang diterbitkan bersamaan dengan fix —sebuah praktik security through obscurity yang mengingatkan pada era patch management pra-Heartbleed. Dari lokalitas terbatas, praktik semacam ini terasa semakin problematik ketika 5,5 miliar serangan siber tercatat di Indonesia sepanjang 2025 dan infrastruktur kritis masih bergantung pada stack enkripsi yang pengelolaannya dilakukan dengan opacity tinggi. Ketika sebuah vulnerability tidak diberi CVE, blast radius-nya menjadi tidak terukur—dan risk assessment berubah dari latihan aktuaria menjadi tebakan.
Biaya Inferensi Third-Party — Trust sebagai Middleware yang Tak Terkelola
Dua hari setelah disclosure HollowByte, EY mengonfirmasi bahwa seorang unauthorized party telah mengakses vendor-managed IT service platform mereka antara 28 Maret hingga 12 April 2026. Dokumen pajak klien—dengan sensitivitas yang sulit di-overstate—telah di-exfiltrate. Ini bukan zero-day pada sistem internal EY, melainkan compromise pada third-party platform yang digunakan untuk IT support. Dalam arsitektur sistem, ini adalah supply chain attack: dependency yang dipercaya tanpa runtime verification bahwa dependency tersebut masih aman.
EY baru mendeteksi anomali pada 23 April—11 hari setelah periode exfiltration berakhir. Mean time to detection (MTTD) selama hampir tiga pekan untuk breach yang melibatkan Big Four akuntansi adalah angka yang sulit dibela, namun juga tidak mengejutkan. Menurut laporan IBM Cost of a Data Breach 2025—yang dikutip Forbes—rata-rata MTTD global masih berkisar di 197 hari. EY, dengan mendeteksi dalam 11 hari, sebenarnya berada di atas rata-rata. Ironisnya, ini bukan pencapaian; ini adalah indikator seberapa rendah baseline industri.
Dalam arsitektur sistem, trust adalah middleware yang berjalan di antara setiap layer organisasi. Ketika EY mendelegasikan IT operations ke vendor eksternal, mereka juga mendelegasikan trust surface-nya tanpa audit yang cukup terhadap supply chain security vendor tersebut. Harvard Business Review telah memperingatkan tren ini sejak 2023, menyebutnya sebagai “arus utama risk transfer tanpa risk measurement”—sebuah praktik di mana liability dipindahkan secara legal namun security exposure tetap berada di tangan entitas asal.
Surface Area Serangan Nasional — dari Protokol hingga Regulasi
Indonesia berada di peringkat ke-8 global dalam jumlah data breach pada 2023, dan angka serangan siber mencapai 5,5 miliar pada 2025. Dalam arsitektur sistem, surface area serangan sebuah negara tidak hanya diukur dari jumlah endpoint yang terpapar internet, melainkan dari kualitas middleware regulasi yang menghubungkan policy dengan implementation. UU PDP telah disahkan, namun mekanisme penegakannya—seperti audit berkala, penalty yang proporsional, dan incident response yang terstandarisasi—masih dalam tahap overprovisioning dokumen tanpa vertical pod autoscaling eksekusi.
PDNS yang lumpuh oleh serangan ransomware di 2024 mengajarkan bahwa cascading failure pada infrastruktur publik memiliki cost yang tidak linier. Bukan hanya data yang hilang, melainkan puluhan ribu man-hours operasional yang harus dialokasikan ulang untuk disaster recovery manual—sebuah warm-up latency yang biayanya tidak muncul di budget tahunan. HollowByte dan EY memperluas pelajaran ini ke sektor privat dan layer protokol: tidak ada layer yang terlalu rendah atau terlalu tinggi untuk luput dari fragmentasi trust.
Economies of Scale pada Kerentanan — Compounding Cost of Inference
Bloomberg melaporkan bahwa biaya rata-rata data breach pada 2026 telah mencapai $4,88 juta per insiden. Namun angka itu hanya menghitung direct cost: forensic investigation, notification, legal fee. Tidak ada line item untuk cost of inference—biaya yang muncul ketika trust harus dihitung ulang dari nol. Setiap breach memaksa organisasi untuk mengulang handshake kepercayaan dengan setiap stakeholder: klien, regulator, publik. Setiap pengulangan handshake ini memiliki latency dan overhead yang bersifat compounding.
Inilah economies of scale pada kerentanan: semakin besar organisasi, semakin banyak dependency yang harus diverifikasi ulang, semakin mahal cost of inference-nya. Untuk negara dengan lanskap digital yang tumbuh cepat seperti Indonesia, cost ini tidak hanya ditanggung oleh korporasi besar, melainkan juga oleh UMKM yang database-nya ikut terbocor ketika platform pemerintah atau third-party vendor diretas. Biaya inference ini tidak dianggarkan APBN—dan tidak akan pernah dianggarkan, karena gejalanya tidak muncul di dashboard mana pun.
Signal-to-Noise Ratio yang Terdepresiasi
Ketika 11 byte cukup untuk melumpuhkan server dan celah di third-party platform cukup untuk membocorkan dokumen pajak Big Four, pertanyaannya bukan lagi “apakah kita aman?” melainkan “berapa banyak signal yang hilang di tengah noise?” HollowByte memperlihatkan bahwa protocol-level vulnerability masih ada dan dapat dieksploitasi dengan resource minimal. EY menunjukkan bahwa organizational trust memiliki surface area yang jauh lebih besar dari yang diperkirakan risk register mana pun.
Dalam istilah infrastruktur, ini adalah signal-to-noise ratio yang terus terdepresiasi. Semakin banyak stack yang ditumpuk—TLS, third-party platform, regulasi, kontrak—semakin besar noise yang harus difilter untuk menemukan signal kerentanan yang sebenarnya. Dan ketika deteksi memakan waktu 11 hari untuk breach yang melibatkan Big Four, SNR-nya sudah berada di titik di mana monitoring lebih merupakan teater ketimbang deteksi.
Log ditutup di sini. Handshake yang tak selesai masih menggantung di memori—menunggu garbage collector yang tidak ada dalam roadmap siapa pun. Fragmentasi trust stack tidak akan selesai dengan satu patch, karena stack-nya sendiri adalah middleware yang tidak dikelola oleh entitas mana pun. Keamanan bukanlah feature, melainkan arsitektur.