Ransomware 2026: Data Dicuri, Bisnis Diperas

Senin Pagi yang Normal

Semua terlihat normal.

Server jalan. Email lancar. Database masih bisa diakses. Karyawan kerja seperti biasa. Panel monitoring IT: semua hijau.

Tapi di balik layar, selama beberapa minggu terakhir, seseorang bisa saja sudah di dalam jaringan kamu. Diam-diam. Sabar. Menyalin file satu per satu. Laporan keuangan. Database pelanggan. Email direksi. Kontrak vendor. Dokumen HR. Screenshot konfigurasi jaringan.

Kamu tidak sadar karena belum tentu ada yang berubah. Tidak harus heboh – tidak harus ada layar merah, file terkunci, atau catatan tebusan. Sistem tetap berjalan normal.

Lalu, Senin pagi itu, email masuk ke inbox CEO:

Kami memiliki 67GB data sensitif dari jaringan perusahaan Anda. Data pelanggan. Kontrak. Laporan keuangan. Kami akan mempublikasikan semuanya dalam 72 jam kecuali Anda mengirim 50 BTC ke alamat berikut.

Dilampiri: screenshot 10 dokumen internal sebagai bukti. Semuanya asli.

Ini pemerasan tanpa penguncian file – salah satu tren ransomware 2026. Bukan berarti ransomware lama hilang; penyerang makin sering mulai dari pencurian data, karena backup tidak bisa menarik kembali salinan yang sudah dicuri.

3 Tren Ransomware 2026 yang Harus Kamu Tahu

Tren 1: Salin Dulu, Ancam Publikasi – File Belum Tentu Dikunci

Ini pola pemerasan tanpa mengunci file yang disinggung di pembuka.

Ransomware tradisional bekerja seperti gembok digital: penyerang mengunci file di server kamu (secara teknis, file di-encrypt dengan kunci yang hanya mereka punya), lalu minta tebusan. Bayar → mereka kasih kunci buka gembok → file bisa dibuka lagi (decrypt).

Masalahnya (bagi penyerang): mengunci file massal itu berisik. Antivirus dan EDR bisa mendeteksi proses penguncian besar-besaran. Backup yang bagus bisa memulihkan data tanpa bayar tebusan. Banyak perusahaan pulih tanpa membayar.

Adaptasi penyerang: salin data dulu. File asli kamu bisa tetap terbuka dan normal – tidak ada yang terkunci. Setelah salinan ada di tangan mereka, mereka ancam mempublikasikan data. Baru setelah itu, mereka bisa memilih mengunci file juga, atau cukup mengancam publikasi saja. Ini efektif karena:

• Lebih sedikit sinyal yang mencolok. File disalin, bukan selalu diubah. Aktivitasnya bisa terlihat “normal” kalau monitoring lemah.
• Backup tidak menolong sepenuhnya. Data kamu masih ada di server – masalahnya bukan ketersediaan data, tapi kerahasiaan data. Restore dari backup tidak menghapus salinan yang sudah di tangan penyerang.
• Tekanan lebih tinggi. “Data pelanggan kamu akan dipublikasikan” sering lebih menakutkan bagi direksi daripada “file kamu terkunci.”

Contoh nyata: Mackay Sugar (Australia) – serangan ransomware pada Juni 2026 mengganggu operasi pabrik gula dan membuat perusahaan harus melakukan pemulihan bertahap. Kelompok ransomware mengklaim bertanggung jawab dan mengancam publikasi data, tetapi detail data yang benar-benar diakses belum sepenuhnya dikonfirmasi publik. Pelajarannya tetap jelas: gangguan operasional dan risiko kebocoran data bisa berjalan bersamaan.

Tren 2: AI-Powered Attacks – Penyerang Juga Pakai AI

Ironinya: AI yang kamu pakai untuk produktivitas, dipakai penyerang untuk mempertajam serangan.

AI Phishing: Email phishing yang ditulis AI bisa jauh lebih rapi. Typo makin jarang. Pesan bisa dipersonalisasi – menyebut nama kamu, jabatan, proyek yang sedang kamu kerjakan (dari LinkedIn). Timing juga bisa dibuat lebih meyakinkan.

Dulu, kamu bisa mendeteksi phishing dari grammar yang jelek. Sekarang? AI menulis email yang lebih rapi dari kebanyakan karyawan.

AI Reconnaissance (pengintaian awal): AI bisa membantu penyerang merangkum hasil pemindaian, memprioritaskan celah keamanan, dan menyusun jalur serangan. Hal yang dulu butuh analis berpengalaman bisa dipercepat, walaupun tetap butuh akses dan eksekusi teknis.

AI Social Engineering: Deepfake suara untuk manipulasi sosial. Voice phishing yang meniru suara bos. Video call palsu. Semua didukung AI.

Tren 3: Supply Chain Attacks – Masuk Lewat Vendor

Penyerang tidak selalu menyerang langsung. Kadang mereka masuk lewat vendor atau software yang kamu percaya – supply chain attack (serangan lewat rantai pasok).

Contoh 2026: insiden ShapedPlugin – backdoor disisipkan ke update plugin WordPress premium lewat jalur distribusi resmi vendor (Mei – Juni 2026). Penyerang tidak perlu meretas setiap website satu per satu; cukup mengompromikan pipeline update yang dipercaya pelanggan. Wordfence melacak insiden ini sebagai serangan supply chain dengan dampak kritis (CVE-2026-10735).

Kamu tidak bisa mengontrol keamanan setiap vendor – tapi kamu bisa memperketat deteksi dan akses di sisi organisasi kamu.

Indonesia: Target yang Semakin Empuk

PDN: Pelajaran yang Belum Selesai

Insiden Pusat Data Nasional (PDN) menjadi peringatan keras terbesar Indonesia soal ransomware. Serangan dimulai 20 Juni 2024 di PDNS 2 Surabaya. BSSN mengonfirmasi pada konferensi pers 24 Juni bahwa ransomware Brain Cipher (varian dari LockBit 3.0) melumpuhkan layanan publik selama berminggu-minggu. Dampaknya:

• Layanan publik terganggu – termasuk imigrasi di beberapa bandara
• Data sensitif berpotensi terekspos
• Kepercayaan publik terhadap layanan digital pemerintah terganggu
• Regulasi keamanan siber diperkuat (tapi penegakan aturan masih tertinggal di banyak instansi)

Kalau PDN – yang seharusnya punya anggaran keamanan besar – bisa kena, bagaimana dengan perusahaan menengah dengan budget IT misalnya Rp 50 – 200 juta per tahun?

Faktor yang Bikin Indonesia Rentan

Kesenjangan kesadaran. Banyak perusahaan masih berpikir: “Kita bukan target. Kita terlalu kecil.” Ini persepsi yang salah besar. Serangan ransomware yang berjalan otomatis tidak peduli ukuran perusahaan – mereka memindai IP dan mengeksploitasi yang rentan.

Kesenjangan patching. Seperti pola yang terlihat pada banyak insiden firewall di ujung jaringan, update firmware dan rotasi password sering tertunda. Di Indonesia, budaya patching masih sering “kalau sempat.”

Kesenjangan anggaran. Banyak SMB Indonesia punya budget IT terbatas, sehingga keamanan sering kalah prioritas dari kebutuhan operasional harian. Akibatnya, EDR, backup offline, dan monitoring sering tidak merata di semua perangkat.

Kesenjangan pengawasan remote. Setelah pandemi, banyak karyawan kerja dari rumah atau hybrid. Laptop di luar jaringan kantor – di luar firewall, di luar monitoring. Luasnya titik serangan melebar drastis.

Pertahanan: Lapisan yang Realistis

Lapisan 1: Cegah

Manajemen patch. Sederhana tapi sangat berdampak. Banyak serangan mengeksploitasi celah keamanan yang sudah diketahui – artinya patch atau mitigasi biasanya sudah tersedia. Yang gagal bukan teknologinya, tapi prosesnya.

Jadwalkan patching: kritis = 48 jam, penting = 1 minggu, sedang = 1 bulan.

Keamanan email. Phishing berbasis AI butuh pertahanan modern. Email security (Microsoft Defender, Barracuda, dll.) memakai AI untuk mendeteksi phishing yang ditulis AI.

MFA di mana-mana. Password bocor? MFA jadi penghalang kedua. Banyak kebocoran melibatkan penyalahgunaan kredensial; MFA yang diterapkan benar bisa mengurangi risiko akses tidak sah secara signifikan.

Lapisan 2: Deteksi

EDR (Endpoint Detection & Response). SentinelOne, CrowdStrike, Microsoft Defender for Endpoint. EDR bisa membantu mendeteksi pemerasan tanpa penguncian file – karena meskipun file tidak dikunci, EDR bisa mendeteksi:

• Pola akses file tidak biasa (banyak file dibaca dalam waktu singkat)
• Pengumpulan data sementara (file dikumpulkan ke satu folder sebelum dikirim keluar)
• Traffic jaringan mencurigakan (data besar keluar ke IP yang tidak biasa)

Tanpa EDR dan monitoring yang baik, pemerasan tanpa penguncian file bisa sulit terlihat. Dengan EDR, kamu punya peluang lebih besar mendeteksi pola akses file, pengumpulan data, dan aktivitas proses yang tidak normal di fase awal.

Monitoring jaringan. Pantau traffic keluar. Transfer data besar ke IP asing di luar jam kerja? Tanda bahaya. Beri alert ke tim keamanan atau IT.

Lapisan 3: Tanggap

Rencana tanggap insiden. Harus ada sebelum insiden terjadi. Isinya:

• Siapa yang memimpin respons? (IT Manager? CISO? Konsultan?)
• Komunikasi: siapa yang diberitahu, bagaimana, kapan?
• Isolasi: langkah demi langkah memutus sistem yang terkompromi
• Simpan bukti forensik: jangan format dulu – investigasi butuh data
• Pemulihan: restore dari backup, verifikasi integritas
• Pasca-insiden: analisis akar masalah, rencana perbaikan

Backup yang benar. Aturan 3-2-1:

• 3 salinan data
• 2 media berbeda (disk + cloud, atau disk + tape)
• 1 salinan offline/offsite (tidak bisa diakses dari jaringan – penyerang tidak bisa hapus atau kunci)

Tiga lapisan ini tidak harus sempurna sekaligus – yang penting tiap lapisan ada dan diuji.

Yang Bisa Kamu Lakukan Sekarang

Hari ini: Cek apakah kamu punya backup offline (terpisah dari jaringan). Kalau belum – ini prioritas #1.

Minggu ini: Review proteksi endpoint. Ada EDR di semua perangkat, atau masih antivirus tradisional? Kalau iya yang kedua – itu tidak cukup untuk 2026.

Bulan ini: Buat rencana tanggap insiden. Bahkan draft 1 halaman lebih baik dari tidak ada sama sekali.

Kuartal ini: Jadwalkan penilaian keamanan. Identifikasi celah. Alokasikan budget untuk menutup celah terbesar.

---

Ransomware 2026 bisa tidak terlihat sampai sudah terlambat. Mulai dari rencana tanggap insiden + proteksi endpoint; kalau akses remote masih mengandalkan VPN lebar, baca Zero Trust: kenapa VPN saja tidak cukup dan 5 tanda VPN harus diganti. Hubungi KIN untuk IR / assessment.

---

Pertanyaan yang Sering Diajukan (FAQ)

Apakah ransomware masih ancaman besar di 2026?

Ya. Banyak laporan 2026 menunjukkan ransomware dan pemerasan tetap aktif, dengan tekanan besar pada sektor kesehatan, pemerintahan, manufaktur, dan organisasi yang rugi besar kalau layanannya mati. Di Indonesia, insiden PDN menjadi pengingat bahwa dampaknya bisa langsung terasa ke layanan publik.

Apa pelajaran dari insiden PDN?

Backup saja tidak cukup. Butuh deteksi dini (EDR), segmentasi jaringan, dan rencana tanggap insiden yang sudah diuji. Mencegah lebih murah daripada memulihkan.

Solusi anti-ransomware terbaik?

Tidak ada satu solusi yang cukup sendirian. SentinelOne EDR bisa membantu deteksi dan respons endpoint, termasuk fitur rollback untuk skenario ransomware tertentu – dengan prasyarat teknis seperti snapshot/VSS aktif di endpoint. Tetap perlu backup offline, MFA, segmentasi, dan rencana tanggap insiden. KIN sebagai partner bisa demo dan implementasi.