Gaji Bug Hunter dan Alasan Laporan Bug Bisa Tidak Dibayar

Gaji bug hunter pada dasarnya tidak ada, karena bug hunter bukan karyawan yang menerima upah tetap, melainkan peneliti lepas yang dibayar per temuan valid dalam program bug bounty. Penghasilannya karena itu sangat bervariasi, dan sebagian laporan bahkan berakhir tanpa imbalan sama sekali.

Apakah Bug Hunter Punya Gaji Tetap?

Tidak. Dalam program bug bounty, peneliti hanya dibayar ketika laporannya divalidasi sebagai kerentanan yang masuk ruang lingkup dan belum pernah dilaporkan. Dokumentasi HackerOne menyebut sebagian besar program mengaitkan imbalan dengan tingkat keparahan temuan yang sudah divalidasi, dan jumlahnya ditentukan masing-masing organisasi. Artinya, dua bulan dengan jumlah jam kerja yang sama bisa menghasilkan penghasilan yang sangat berbeda: satu bulan tanpa laporan diterima, bulan berikutnya satu temuan besar.

Gambaran penuhnya ada di bug bounty: pengertian, jenis program, dan cara kerjanya.

Berapa Penghasilan Bug Hunter?

Tidak ada satu angka resmi yang mewakili semua peneliti, sehingga angka rata-rata yang beredar di internet sebaiknya dibaca dengan hati-hati. Data yang dapat dirujuk dari sumber yang jelas hanya menggambarkan skala pasar dan sebarannya.

• HackerOne: menurut laporan tahunannya yang diberitakan BleepingComputer pada Oktober 2025, bug bounty di platform itu membayar total sekitar 81 juta dolar AS untuk periode 1 Juli 2024 sampai 30 Juni 2025. Seratus program teratas membayar sekitar 51 juta dolar AS dari total itu, dan sepuluh teratas sekitar 21,6 juta dolar AS. Rata-rata pembayaran per program sekitar 42.000 dolar AS per tahun, tetapi itu angka per program, bukan penghasilan seorang peneliti.
• Peneliti teratas: laporan yang sama mencatat seratus penghasil terbesar sepanjang masa menerima gabungan sekitar 31,8 juta dolar AS, dan menyebut sebagian peneliti kini rutin melampaui enam digit dolar per tahun.
• Google: menurut BleepingComputer, Vulnerability Reward Program Google membayar sekitar 17,1 juta dolar AS kepada 747 peneliti sepanjang 2025, dengan imbalan tunggal tertinggi 250.000 dolar AS.

Kesimpulannya: total uang yang beredar besar, tetapi tersebar tidak merata. Sedikit peneliti dan program menyerap porsi besar, sementara banyak peneliti pemula menerima sedikit atau tidak sama sekali di tahun-tahun awal. Angka di atas bersifat historis dan dapat berubah setiap tahun. Untuk perbandingan dengan pekerjaan penuh waktu, baca gaji ethical hacker di Indonesia dan faktor yang memengaruhinya.

Faktor yang Memengaruhi Besar Imbalan

• Tingkat keparahan dan dampak: celah yang membuka data banyak pengguna biasanya dihargai lebih tinggi dibanding kelemahan konfigurasi kecil.
• Kebijakan program: tiap organisasi menetapkan tabel imbalan sendiri, dan sebagian program hanya berupa VDP tanpa uang.
• Kualitas laporan: laporan yang jelas dan mudah direproduksi lebih cepat divalidasi.
• Kecepatan dan keunikan: peneliti pertama yang melaporkan menang. Laporan berikutnya untuk masalah yang sama dianggap duplikat.
• Keahlian dan fokus: peneliti yang menguasai satu area mendalam sering menemukan masalah yang tidak terjamah pemburu umum.

Mengapa Laporan Bug Bisa Tidak Dibayar?

Salah satu hal yang paling mengecewakan pemula adalah laporan yang ditutup tanpa imbalan. Dokumentasi HackerOne tentang status laporan menjelaskan alasan-alasan resminya:

• Duplicate: masalah itu sudah dilaporkan sebelumnya atau sudah diketahui tim. Satu perbaikan juga dapat menutup beberapa laporan berakar sama.
• Informative: laporan akurat, tetapi tidak memerlukan tindakan. Sering terjadi pada hal di luar ruang lingkup, masalah yang sudah tercantum di halaman keamanan program, atau risiko yang diterima organisasi.
• Not Applicable: laporan tidak menggambarkan masalah yang dapat direproduksi, atau dampak keamanannya tidak ditunjukkan.
• Spam: kiriman yang bukan kerentanan sah, misalnya tidak dapat dipahami, bersifat melecehkan, atau berisi iklan.
• Tidak ada imbalan uang: program yang berformat VDP memang tidak membayar, hanya memberi pengakuan.

Alasan lain yang umum: pelanggaran aturan program, misalnya menguji aset di luar ruang lingkup atau memakai metode yang dilarang, serta kebijakan imbalan yang tidak jelas sehingga harapan peneliti berbeda dari organisasi.

Cara Mengurangi Risiko Laporan Tidak Dibayar

1. Baca kebijakan program sampai tuntas sebelum menguji: ruang lingkup, jenis kerentanan yang dikecualikan, dan tabel imbalan.
2. Pastikan benar-benar ada dampak keamanan yang bisa Anda jelaskan, bukan sekadar perilaku yang tampak aneh.
3. Periksa halaman keamanan dan laporan yang sudah diungkap publik untuk menghindari duplikat.
4. Tulis laporan yang singkat, jelas, dengan langkah reproduksi dan bukti yang aman.
5. Bersabar dalam proses validasi dan tanggapi pertanyaan tim triase dengan sopan.

Kebiasaan melapor dengan etis dijelaskan di responsible disclosure: cara melaporkan kerentanan dengan benar. Jika Anda baru mulai, jalurnya ada di cara menjadi bug hunter untuk pemula.

Alternatif: Karier Keamanan dengan Gaji Tetap

Bagi yang membutuhkan penghasilan stabil, bug hunting lebih tepat dijadikan pelengkap. Keterampilan yang sama dipakai di pekerjaan penuh waktu seperti penetration tester, analis keamanan aplikasi, atau SOC analyst. Banyak peneliti memakai bug bounty sebagai latihan dan portofolio, lalu berpindah ke peran dengan gaji tetap yang menawarkan jenjang karier, tunjangan, dan penghasilan yang dapat diprediksi.

Baca juga: Cara Membangun Karier dan Penghasilan dari Skill Cyber Security.

Pertanyaan yang Sering Diajukan

Berapa gaji bug hunter per bulan?

Tidak ada angka tetap, karena imbalan dibayar per temuan valid. Sebagian peneliti menerima sangat sedikit, sementara peneliti teratas dilaporkan dapat melampaui enam digit dolar per tahun. Jangan menjadikannya satu-satunya sumber penghasilan di awal.

Mengapa laporan saya ditutup sebagai duplicate?

Berarti ada orang lain yang melaporkan masalah yang sama lebih dulu, atau tim sudah mengetahuinya. Biasanya imbalan hanya diberikan kepada pelapor pertama.

Apakah laporan yang ditutup Informative berarti saya salah?

Tidak selalu. Artinya laporan Anda akurat tetapi tidak memerlukan tindakan menurut penilaian organisasi, misalnya karena di luar ruang lingkup atau risikonya sudah diterima.

Apakah bug hunter dikenai pajak?

Imbalan adalah penghasilan, sehingga kewajiban perpajakannya mengikuti aturan yang berlaku di tempat Anda tinggal. Konsultasikan dengan konsultan pajak atau kantor pajak setempat untuk kasus Anda.

Kesimpulan

Bug hunting menawarkan peluang penghasilan nyata, tetapi tidak berbentuk gaji dan tidak dapat diprediksi, terutama bagi pemula. Fokuslah membangun keterampilan, disiplin pada aturan program, dan kualitas laporan. Jika Anda ingin mengembangkan kemampuan tersebut secara terarah, kunjungi kursus di Linuxhackingid.

Referensi: BleepingComputer tentang laporan HackerOne, BleepingComputer tentang Google VRP 2025, dan HackerOne: status laporan.