Tumar.One: Platform Bug Bounty Target Asia Tengah

Tumar.One hadir sebagai platform bug bounty resmi yang fokus menggarap target di kawasan Asia Tengah, mulai dari bank besar (Kaspi, MBank), telco (Kcell), sampai layanan pemerintah (eGov). Platform ini mengklaim rata-rata payout 30 hari terakhir mencapai $1.840 dan sudah menampung 800+ hunter dari 38 negara. Siapa pun yang punya keahlian uji keamanan bisa daftar langsung tanpa biaya registrasi. Buat yang punya skill infosec, platform ini layak dijajal mumpung tingkat kompetisinya belum sepadat platform global raksasa.

Mengenal Layanan & Gambaran Teknis

Bug bounty adalah program sayembara resmi di mana institusi membayar peneliti keamanan independen (hunter) untuk mencari celah kelemahan sistem secara legal. Tumar.One berperan sebagai perantara yang menyaring target, menetapkan batas wilayah uji yang diizinkan (scope — daftar domain atau aplikasi legal untuk dites), memverifikasi laporan (triage), dan menyalurkan pembayaran. Bayaran dihitung berdasarkan tingkat keparahan celah (severity), mulai dari Low, Medium, High, hingga Critical. Selama pengujian mematuhi aturan platform, seluruh aktivitas peretasan etis ini dilindungi kontrak legal.

Panduan Langkah Demi Langkah

1. Langkah 1: Buka tumar.one di browser desktop kamu, lalu pilih jalur hunter dengan mengeklik tombol 'Become researcher' atau 'Start research'.
2. Langkah 2: Klik menu 'Login' di sudut kanan atas dan pilih menu pendaftaran untuk membuat akun researcher baru menggunakan email aktif dan password yang kuat.
3. Langkah 3: Setelah berhasil login ke dashboard, navigasi ke tab 'Programs' untuk melihat direktori program bug bounty publik yang aktif.
4. Langkah 4: Pilih target yang diminati (seperti Kaspi, eGov, MBank, atau Kcell) dan pelajari bagian 'Scope' dengan cermat guna mengetahui daftar subdomain, endpoint API, serta jenis kerentanan yang diterima atau ditolak.
5. Langkah 5: Mulai pengujian keamanan menggunakan web browser proxy (seperti Burp Suite atau OWASP ZAP) secara hati-hati, hanya pada endpoint yang terdaftar di dalam scope.
6. Langkah 6: Susun laporan kerentanan jika menemukan celah valid, lengkap dengan ringkasan masalah, langkah reproduksi detail langkah demi langkah, bukti kerja (PoC — Proof of Concept), serta penjelasan dampak risiko terhadap sistem.
7. Langkah 7: Kirim laporan melalui portal penyerahan Tumar.One, pantau status verifikasi dari tim triage internal, dan terima reward yang dikirimkan setelah temuan berstatus valid serta disetujui oleh pihak perusahaan.

Persyaratan & Kesiapan

• Keahlian teknis dasar terkait keamanan aplikasi web/mobile (pemahaman HTTP, manipulasi parameter, otentikasi, serta OWASP Top 10).
• Akun email aktif untuk verifikasi identitas dan pendaftaran akun di platform Tumar.One.
• Software interception proxy lokal (seperti Burp Suite Community Edition atau OWASP ZAP).
• Kepatuhan mutlak terhadap batasan pengetesan resmi (Rules of Engagement) tanpa mengakses data sensitif pengguna asli.
• Kemampuan menulis laporan teknis terstruktur yang mudah dipahami dan direproduksi oleh tim verifikator.

Tips Optimalisasi

• Targetkan celah berkategori High dan Critical karena statistik platform mencatat 71% temuan berada di level High dengan bayaran paling tinggi.
• Kuasai satu jenis kelemahan spesifik secara mendalam (misalnya IDOR pada REST API atau bypass rate-limit) daripada menguji semua celah secara dangkal.
• Sertakan video PoC atau file HTTP request mentah di setiap submission agar proses triage berjalan cepat tanpa banyak klarifikasi berulang.
• Pantau menu 'Leaderboard' untuk melihat pola temuan yang sedang aktif dan mempelajari jenis kerentanan yang berhasil lolos validasi.
• Fokus pada program yang baru diluncurkan karena permukaan serangannya masih segar dan belum banyak disisir oleh pemburu lain.

Mitigasi Risiko & Keamanan

• Menyerang target di luar scope resmi merupakan pelanggaran hukum berat yang dapat dipidanakan sebagai kejahatan siber.
• Laporan yang masuk setelah peneliti lain mengirimkan celah yang sama (duplikat) tidak akan mendapatkan reward finansial apa pun.
• Tingkat pendapatan tidak tetap karena bergantung penuh pada validitas temuan, tingkat keparahan, dan persetujuan perusahaan target.
• Pelanggaran kerahasiaan seperti membeberkan bug ke publik sebelum waktu rilis resmi dapat mengakibatkan pemblokiran akun permanen.

Kesimpulan & Catatan Penting

Tumar.One memberikan arena berburu legal yang menarik untuk mengeksplorasi infrastruktur perbankan, telekomunikasi, dan instansi penting di Asia Tengah. Selama disiplin mengikuti batasan scope serta konsisten menyajikan laporan berkualitas, platform ini menjadi alternatif berharga untuk menambah portofolio dan penghasilan infosec.