Amartha: Bug Bounty Berhadiah Saldo Poket

Amartha resmi rilis program bug bounty publik buat nguji keamanan platform mereka. Scope pengujian mencakup aplikasi mobile AmarthaFin di Android/iOS dan situs web utama. Reward per temuan valid dibayar sampai Rp3.000.000 dalam bentuk Saldo Poket AmarthaFin. Cocok buat security researcher atau bug hunter yang mau riset celah keamanan legal.

Mengenal Layanan & Gambaran Teknis

Bug bounty adalah program resmi perusahaan teknologi yang ngasih hadiah uang atau saldo ke ethical hacker yang nemuin dan ngelaporin celah keamanan (vulnerability) sebelum dimanfaatin penjahat siber.

Panduan Langkah Demi Langkah

1. Langkah 1: Buka situs amartha.com/security di browser untuk baca detail scope target, aturan disclosure, dan batasan pengujian.
2. Langkah 2: Download aplikasi AmarthaFin versi terbaru di Play Store atau App Store, atau jadikan domain amartha.com sebagai target pengujian web.
3. Langkah 3: Lakukan security testing hanya pada aset in-scope (fitur AmarthaFin dan domain utama), jangan serang subdomain internal atau layanan pihak ketiga.
4. Langkah 4: Siapkan laporan proof-of-concept (POC) lengkap berisi langkah reproduksi celah, dampak teknis, dan saran perbaikan.
5. Langkah 5: Klik tombol Laporkan Temuan di halaman amartha.com/security lalu kirim form laporan sesuai instruksi tim security Amartha.

Persyaratan & Kesiapan

• Temuan harus asli dan pelapor harus jadi orang pertama yang submit isu tersebut (no duplicate).
• Laporan wajib menyertakan detail langkah reproduksi celah secara jelas.
• Pengujian aplikasi mobile wajib memakai build AmarthaFin versi paling baru.
• Hanya menargetkan aset in-scope: domain utama amartha.com serta app AmarthaFin Android dan iOS.

Tips Optimalisasi

• Fokus ke business logic flaw dan otorisasi API di aplikasi AmarthaFin buat nemu celah berdampak tinggi.
• Simpan log HTTP request/response saat testing biar reproduksi POC gampang disusun.
• Hindari serangan DoS/DDoS atau automated scanner agresif biar akun testing gak diblokir.

Mitigasi Risiko & Keamanan

• Reward cuma dikasih ke pelapor pertama; isu duplikat gak dapet reward sama sekali.
• Reward dikirim dalam bentuk Saldo Poket AmarthaFin, bukan transfer tunai langsung ke rekening bank luar.
• Pengujian di luar scope (subdomain internal, third party) berisiko dianggap pelanggaran hukum.

Kesimpulan & Catatan Penting

Program bug bounty resmi Amartha ini peluang bagus buat uji penetrasi aplikasi fintech lokal secara legal. Pastikan laporan POC jelas dan patuhi aturan main supaya temuan divalidasi dan dapet reward saldo.