Gaspol banget nih cerita dari Ian Carroll, seorang security researcher yang berhasil menemukan celah keamanan fatal di Front Gate Tickets—platform yang literally handle ticketing buat hampir semua festival musik gede di AS, dari Lollapalooza, Bonnaroo, sampai SXSW dan Austin City Limits.
Gimana Ceritanya Bisa Bobol?
Jadi gini, Carroll lagi mau nonton Electric Daisy Carnival di Las Vegas dan nemuin kalo ticketing-nya pake Front Gate. Nah, dia penasaran dan mulai nyari-nyari bug di website-nya. Dia nemuin潜在 SQL injection vulnerability—macam celah yang memungkinkan hacker input perintah ke database website. Tapi sayangnya ada Web Application Firewall (WAF) yang nge-blok eksploitasinya.
Disinilah AI masuk. Carroll minta tolong ke Claude Opus 4.7 (model AI paling advanced dari Anthropic yang доступен ke publik saat itu) buat nemuin cara bypass firewall itu. Dan langsung aja, Claude coded sesuatu yang namanya nested SQL query—artinya SQL query di dalam SQL query lain yang bisa evade deteksi firewall.
"Ini pertama kalinya gue punya vulnerability yang nggak gue ngerti sepenuhnya," kata Carroll. "Gue harus balik baca apa yang ditulis Claude buat ngerti bypass-nya, karena gue nggak nulis itu. Claude yang bikin sendiri."
Akses Super-Admin dan Tiket Gratis
Setelah bypass firewall, Claude membantu Carroll nulis script yang bisa nunjukin sample data dari 500 database yang terekpos—包含 jutaan customer info kayak nama, email, alamat mailing. Tapi yang lebih gila lagi, Carroll juga bisa takeover staff accounts.
Dia cari akun super administrator, klik "reset password," dan boom—reset code yang dikirim ke email admin masih kesimpan di backend website. Dia pake code itu buat reset password dan BAM, dapat akses penuh ke akun admin.
"Lihat dongket yang harganya $4.000, gue bisa langsung pencet tombol dan generate sebanyak yang gue mau," kata Carroll. "Gue bisa ke setiap event tanpa batasan: backstage pass, super VIP, sold out tickets—all bisa."
Dia bahkan berhasil add tiket "Platinum" Bonnaroo yang paling mahal ke shopping cart sebagai comp ticket—tanpa bayar sepeser pun.
Front Gate Bilang Apa?
Untungnya Carroll nggak misuse penemuannya. Dia laporan ke Front Gate dan mereka bilang udah patch dalam 24 jam.
"Tidak ada bukti eksploitasi, dampak tiket, atau kompromi data customer," begitu pernyataan resmi Front Gate. Mereka juga klaim tickets yang di-issue secara fraud bakal ke-detect dan di-cancel sebelum bisa dipake.
Tapi Carroll nggak sepenuhnya setuju sama klaim tersebut. Dia bilang dia dapat super-admin privileges tanpa ada response dari sistem security mereka—tidak ada two-factor authentication yang nge-stop takeover-nya.
"Ini kayak Ticketmaster tapi buat festival musik," celetuk Carroll. "Mereka basically punya monopoly."
Geek Opinion: AI Hacking is Getting Real
Ini yang bikin merinding sih. Carroll merupakan bagian dari Anthropic's Cyber Verification Program—program yang kasih akses ke tools AI buat security research yang sah. Dan响应 dari Anthropic menunjukkan kalo AI hacking tools emang udah jadi real deal.
Yang bikin concerned tuh bukan cuma bug ini doang—tapi gimana AI sekarang bisa nemuin security vulnerabilities yang sebelumnya butuh waktu berminggu-minggu buat ditemukan manual. Carroll bilang:
"Ada kemungkinan bagus banget Claude bisa nemuin exploit ini end-to-end tanpa gue ngapa-ngapain."
Dan ironisnya, Front Gate—yang handle ticketing untuk event2 besar dengan budget jutaan dolar—nggak apparently punya proper security audit. Carroll nyindir:
"Lo pikir festival profesional sama website profesional tuh well-run. Tapi begitu lo dapet akses, lo sadar semuanya diikat sama duct tape dan prayers."
Jadi next time lo beli tiket festival dan ternyata sold out dalam 3 detik? Mungkin bukan cuma karena scalper—tapi bisa jadi karena ada yang bisa generate unlimited tickets pake AI. 👀
