Perusahaan Anda berhasil mengatasi serangan siber dengan memulihkan data melalui backup. Server kembali berjalan. Database pulih dan transaksi berangsur normal. Bagi Anda, tampaknya seperti happy ending.
Namun, beberapa minggu kemudian, perusahaan menerima pesan dari penyerang. Kali ini, pelaku tidak menawarkan kunci untuk membuka file. Mereka mengirim sampel dokumen internal atau data pelanggan, lalu mengancam akan memublikasikannya jika tebusan tidak dibayar.
Situasi seperti ini menunjukkan bahwa pemulihan berbasis backup tidaklah cukup. Salinan data dapat membantu mengembalikan sistem, tetapi tidak dapat menarik kembali informasi yang sudah disalin penyerang. Perusahaan mungkin sudah beroperasi lagi, sementara risiko kebocoran, penipuan terhadap pelanggan, dan kerusakan reputasi masih membayangi.
Ini bukan sekadar skenario teoretis. Dalam laporan Threat Landscape Indonesia untuk periode Desember 2025–Mei 2026, perusahaan intelijen ancaman siber CYFIRMA mencatat penggunaan taktik double extortion secara konsisten dalam aktivitas ransomware yang dipantaunya di Indonesia. Temuan tersebut mencakup aktivitas terhadap sejumlah sektor, antara lain pemerintahan, teknologi informasi, kesehatan, dan sektor material.
Double Extortion: Dua Tekanan dalam Satu Serangan
Pada serangan ransomware, penyerang biasanya berusaha membuat file atau sistem tidak dapat diakses dengan mengenkripsi data. Korban kemudian diminta membayar tebusan untuk memperoleh kunci dekripsi.
Pada skema double extortion, penyerang juga mencuri data sebelum atau selama proses enkripsi. Korban akhirnya menghadapi dua ancaman: gangguan operasional akibat file terkunci dan risiko informasi sensitif dipublikasikan.
Data yang dicuri bisa berupa informasi pelanggan, dokumen kontrak, catatan keuangan, atau data karyawan. Informasi tersebut dapat dipakai untuk memeras korban, menyusun serangan phishing yang lebih meyakinkan, atau menipu pelanggan dengan menyamar sebagai perusahaan.
Meski demikian, tidak semua insiden ransomware melibatkan pencurian data. Enkripsi dan eksfiltrasi merupakan aktivitas berbeda yang perlu diperiksa melalui investigasi. Organisasi sebaiknya tidak langsung menyimpulkan bahwa semua data telah bocor, tetapi juga tidak menganggap data aman hanya karena sistem berhasil dipulihkan.
Pelajaran dari Insiden PDNS
Serangan terhadap Pusat Data Nasional Sementara (PDNS) pada Juni 2024 menunjukkan betapa luasnya dampak ransomware ketika layanan digital saling bergantung. Gangguan tersebut memengaruhi sejumlah layanan publik, termasuk layanan imigrasi.
Pada 24 Juni 2024, pemerintah menyampaikan bahwa BSSN mengidentifikasi insiden itu sebagai serangan ransomware. Keterangan resmi juga mengungkap aktivitas yang mencakup penonaktifan Windows Defender, pemasangan file berbahaya, penghapusan komponen sistem, dan penonaktifan sejumlah layanan penyimpanan.
Kasus PDNS memperlihatkan pentingnya kesiapan pemulihan dan perlindungan infrastruktur. Namun, gangguan layanan tidak dengan sendirinya membuktikan bahwa seluruh data telah dicuri. Pelajaran yang relevan bagi organisasi adalah perlunya membedakan dua pertanyaan: bagaimana memulihkan layanan dan apakah ada data yang diakses atau disalin tanpa izin.
Backup Tetap Penting—Tetapi Ada Batasnya
Backup adalah fondasi pemulihan, bukan perlindungan menyeluruh terhadap ransomware. Panduan ransomware dari Internet Crime Complaint Center (IC3) milik FBI menyarankan organisasi membuat backup secara rutin, menguji apakah salinan dapat dipulihkan, dan melindunginya dari akses atau perubahan yang tidak sah.
Backup yang terpisah dan terlindungi dapat membantu perusahaan memulihkan file tanpa bergantung pada kunci dekripsi penyerang. Namun, jika database pelanggan telah disalin sebelum file dienkripsi, pemulihan dari backup tidak menghapus salinan yang mungkin masih dikuasai pelaku.
Karena itu, perusahaan perlu menguji proses pemulihan sekaligus memperkuat pencegahan dan deteksi. Sistem juga harus dipastikan bersih sebelum kembali beroperasi; memulihkan data ke lingkungan yang masih dikuasai penyerang dapat membuka peluang kompromi ulang.
Tiga Hal yang Perlu Disiapkan Organisasi
Ransomware perlu ditangani sebagai rangkaian risiko: mencegah akses awal, mendeteksi aktivitas penyerang, lalu memulihkan sistem sambil menyelidiki kemungkinan kebocoran. Ketiganya harus direncanakan sebelum insiden terjadi.
1. Batasi Peluang Penyerang Masuk dan Bergerak
Perbarui sistem operasi dan aplikasi, aktifkan autentikasi multifaktor untuk akses penting, batasi hak administrator, dan amankan akses jarak jauh. Tinjau pula akun layanan dan akses antarsistem agar kompromi satu perangkat tidak otomatis memberi penyerang jalan ke seluruh jaringan.
Prinsipnya adalah memberi pengguna hanya akses yang benar-benar dibutuhkan. Langkah ini tidak menghilangkan seluruh risiko, tetapi dapat mempersempit ruang gerak penyerang jika satu akun atau perangkat berhasil dikompromikan.
2. Deteksi Aktivitas Mencurigakan dan Respons dengan Cepat
Perlindungan tidak cukup hanya mencari file malware yang sudah dikenal. Aktivitas seperti perubahan file secara massal, upaya menonaktifkan kontrol keamanan, penggunaan akun yang tidak wajar, atau transfer data keluar dalam jumlah besar juga perlu diperhatikan.
Jika ada indikasi serangan, tim perlu tahu kapan mengisolasi perangkat, menonaktifkan atau mengamankan akun yang dicurigai, menjaga bukti digital, dan memeriksa apakah penyerang telah menjangkau sistem lain. Organisasi yang tidak memiliki tim keamanan 24/7 dapat mempertimbangkan layanan deteksi dan respons terkelola sesuai kebutuhan.
3. Pulihkan Sistem dan Selidiki Kemungkinan Kebocoran
Sebelum sistem kembali ke jaringan produksi, pastikan sumber kompromi sudah ditangani, kredensial yang berisiko telah diamankan, dan backup yang digunakan tidak terkontaminasi.
Investigasi juga perlu menentukan data apa yang mungkin diakses, apakah ada bukti eksfiltrasi, serta akun dan sistem mana yang terdampak. Hasilnya menjadi dasar untuk menentukan langkah berikutnya, termasuk pemberitahuan kepada pihak terdampak jika diwajibkan, koordinasi dengan otoritas, serta komunikasi kepada pelanggan dan mitra.
Organisasi di Indonesia juga perlu menilai kewajiban yang berlaku berdasarkan Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi dan peraturan terkait. Kewajiban spesifik bergantung pada fakta insiden, jenis data, dan peran organisasi.
Perlu Diingat: Membayar Tebusan Tidak Menjamin Data Dihapus
Ketika data sensitif dijadikan alat pemerasan, manajemen mungkin tergoda membayar agar ancaman segera berhenti. Namun, pembayaran tidak menjamin data akan dikembalikan, dihapus, atau tidak dipublikasikan.
FBI mengingatkan bahwa pembayaran tebusan tidak menjamin korban memperoleh kembali akses ke data. Pembayaran juga tidak memastikan informasi yang dicuri tidak akan digunakan atau disebarkan, dan dapat membuat korban kembali menjadi sasaran.
Karena tidak ada cara sederhana untuk memastikan semua salinan data dihapus, keputusan terkait tebusan perlu melibatkan manajemen, tim keamanan, penasihat hukum, dan pihak berwenang sesuai kebutuhan. Apa pun keputusan yang diambil, investigasi tetap diperlukan untuk mengetahui ruang lingkup serangan dan mengurangi risiko lanjutan.
Di Mana Teknologi Keamanan ESET Berperan?
Teknologi keamanan dapat membantu organisasi mencegah atau membatasi serangan, tetapi perlu ditempatkan sebagai bagian dari strategi yang lebih luas.
ESET Ransomware Shield dirancang untuk mendeteksi dan memblokir aplikasi mencurigakan yang menunjukkan perilaku menyerupai ransomware. Pada lingkungan bisnis yang dikelola melalui ESET PROTECT, administrator dapat mengelola perlindungan dan meninjau informasi deteksi sesuai kapabilitas produk yang digunakan. Kemampuan pemulihan file hanya berlaku pada kondisi dan konfigurasi yang didukung.
Untuk kebutuhan yang lebih kompleks, ESET PROTECT menawarkan kapabilitas berbeda tergantung paket. ESET PROTECT Advanced mencakup perlindungan endpoint terhadap ransomware dan ancaman zero-day. ESET Inspect mendukung investigasi dan respons terhadap aktivitas mencurigakan, sedangkan layanan ESET Managed Detection and Response (MDR) menyediakan pemantauan dan respons terkelola 24/7 sesuai cakupan layanan.
Ukuran Keberhasilan Bukan Hanya Waktu Pemulihan
Kecepatan memulihkan sistem tetap penting, tetapi tidak cukup untuk mengukur kesiapan menghadapi ransomware. Organisasi juga perlu mengevaluasi seberapa cepat serangan terdeteksi, seberapa jauh penyerang sempat bergerak, data apa yang terdampak, dan apakah sistem dapat kembali berjalan dengan aman.
Latihan tidak harus selalu berupa simulasi teknis berskala besar. UKM dapat memulai dengan menginventarisasi data penting, menguji backup, memeriksa hak akses, dan menetapkan siapa yang mengambil keputusan saat insiden terjadi. Perusahaan yang lebih kompleks dapat menguji koordinasi antara tim TI, keamanan, hukum, komunikasi, dan manajemen.
Tujuannya bukan sekadar memastikan bisnis bisa menyala kembali, melainkan memastikan organisasi memahami apa yang terjadi dan mampu mengendalikan dampaknya.
Konklusi
Pemerasan ganda mengubah konsekuensi ransomware: memulihkan sistem belum tentu mengakhiri krisis jika data telah disalin oleh penyerang. Backup tetap penting, tetapi harus berjalan bersama pencegahan, deteksi, respons insiden, dan investigasi.
Temuan CYFIRMA mengenai aktivitas ransomware di Indonesia pada Desember 2025–Mei 2026 menjadi pengingat bahwa organisasi perlu menyiapkan diri untuk menghadapi gangguan operasional sekaligus kemungkinan pencurian data. Solusi seperti ESET Ransomware Shield dan kapabilitas deteksi serta respons dalam ESET PROTECT dapat menjadi bagian dari pertahanan berlapis, sesuai kebutuhan dan cakupan paket.
Pada akhirnya, keberhasilan bukan hanya soal seberapa cepat server kembali aktif. Organisasi juga harus mengetahui apa yang terjadi, menutup akses penyerang, menilai dampak terhadap data, dan melindungi pihak yang mempercayakan informasi mereka.
Referensi:
- CYFIRMA — Threat Landscape Indonesia: https://www.cyfirma.com/research/threat-landscape-indonesia/
- Komdigi — BSSN identifikasi PDNS diserang ransomware: https://www.komdigi.go.id/berita/berita-pemerintahan/detail/bssn-identifikasi-pusat-data-nasional-sementara-diserang-ransomware
- FBI IC3 — Ransomware: https://www.ic3.gov/CrimeInfo/Ransomware
- FBI — Ransomware: https://www.fbi.gov/how-we-can-help-you/common-frauds-and-scams/ransomware
