Seorang pengembang solo, Charles Jones, mendadak menerima tagihan Google Cloud senilai US$11.089,77 atau sekitar Rp197 juta dalam waktu 48 jam. Biaya itu tercatat pada periode 7 hingga 8 Juni dan sebagian besar dikaitkan dengan penggunaan model generator gambar berbasis AI milik Google, Gemini.
Yang membuat kasus ini mencolok, Jones mengaku tidak menjalankan alur kerja yang seharusnya memproduksi gambar AI. Ia juga menyebut tidak ada sistem di akunnya yang semestinya menimbulkan beban pemakaian sebesar itu.
Akun dibekukan di tengah lonjakan biaya
Situasi Jones menjadi semakin rumit ketika Google membekukan akunnya pada 7 Juni. Dalam pemberitahuan suspensi, akun tersebut disebut terdeteksi melakukan aktivitas penyalahgunaan yang mengarah pada eksploitasi sumber daya pihak ketiga secara ilegal.
Jones sehari-hari mengelola situs optimasi mesin pencari secara mandiri dan juga platform asuransi. Ia lalu segera menghubungi dukungan Google Cloud karena khawatir ada pihak luar yang masuk ke sistemnya.
Menurut laporan investigasi yang dikutip The Register, akar masalahnya diduga berasal dari kompromi pada kunci akun layanan firebase-adminsdk. Dari titik itulah, Jones menduga ada akses yang tidak semestinya ke lingkungan miliknya.
Pemulihan dilakukan, tagihan tetap dipersoalkan
Jones mengatakan telah mengikuti prosedur pemulihan akun sesuai arahan resmi Google. Ia menonaktifkan akun layanan terkait dan mencabut kunci akses yang diduga terekspos untuk menghentikan kebocoran lebih lanjut.
Namun, langkah pengamanan itu tidak otomatis menghentikan persoalan biaya. Tim penagihan Google Cloud disebut berulang kali menolak membatalkan tagihan yang sudah tercatat, meski tindakan pengamanan telah ditempuh.
Jones juga menyoroti minimnya informasi teknis yang diberikan. Ia menyebut tim Trust & Safety memang cepat mengirim peringatan soal kunci yang bocor, tetapi tidak memberi akses ke jalur forensik yang bisa menunjukkan bagaimana atau di mana kebocoran terjadi.
“Tidak ada jejak, tidak ada jalur log, maupun detail forensik yang disediakan,” ujar Jones, dikutip dari laporan tersebut. Ia menilai kondisi itu membuat pengguna sulit membuktikan sumber masalah secara independen.
Perdebatan soal tanggung jawab keamanan cloud
Jones mengaku hanya dirinya yang memiliki akses ke mesin virtual tempat kunci itu disimpan. Dari sisi prosedur, ia menyatakan sudah menjalankan protokol keamanan sesuai standar platform.
Ia mempertanyakan bagaimana kebocoran bisa terjadi jika akses ke mesin virtual itu hanya dimiliki satu orang. Menurut dia, Google justru meminta beban pembuktian ditanggung pengguna untuk menjelaskan kegagalan yang tidak ditunjukkan secara konkret.
Poin ini memicu kritik lebih luas terhadap shared responsibility model. Dalam model itu, penyedia layanan dan pengguna sama-sama memikul tanggung jawab atas keamanan sistem, tetapi kasus Jones dinilai memperlihatkan bahwa posisi pengguna kecil bisa sangat rentan saat terjadi sengketa.
Bukan kasus tunggal di ekosistem cloud
Sengketa biaya akibat kebocoran kunci API ternyata bukan peristiwa yang berdiri sendiri. Pada Februari lalu, seorang pengembang di Vietnam dilaporkan mengalami kerugian hingga US$82.000 hanya dalam dua hari akibat eksploitasi API Google Cloud.
Setelah itu, kasus serupa dengan kerugian di atas US$10.000 juga ramai dibahas di komunitas daring Reddit. Rangkaian peristiwa tersebut menunjukkan bahwa kebocoran akses di layanan cloud dapat menimbulkan dampak finansial besar, terutama bagi pengembang kecil atau individu.
Fitur pembatasan biaya ikut disorot
Di tengah perdebatan itu, sorotan juga mengarah pada ketiadaan pembatasan anggaran yang benar-benar solid dari Google. Hingga kini, fitur spending cap menyeluruh belum tersedia secara global untuk semua pengguna umum dan baru diuji dalam skala pratinjau terbatas.
Fitur budget alerts yang tersedia saat ini juga tidak otomatis menghentikan layanan saat ambang batas terlampaui. Artinya, beban biaya bisa terus berjalan meski pengguna sudah menerima peringatan.
Bagi Jones, kondisi tersebut terasa tidak seimbang bagi pengembang individu. Ia menilai sistem seharusnya memberi perlindungan yang lebih jelas agar satu insiden keamanan tidak berubah menjadi tagihan besar yang sulit dibatalkan.
Pada akhirnya, kasus ini menyorot risiko yang dihadapi pengguna cloud ketika kunci akses bocor atau diduga bocor. Tanpa visibilitas forensik yang memadai dan batas biaya yang lebih tegas, satu kejadian singkat bisa berubah menjadi beban finansial yang langsung menekan pengembang.
