Serangan Ransomware AS: Pelajaran Penting bagi Indonesia

Serangan Ransomware AS: Pelajaran Penting bagi Indonesia

Bagaimana Indonesia Bisa Melindungi Infrastruktur Energi dari Ransomware?

Serangan ransomware pada jaringan pipa bahan bakar AS memperlihatkan kerentanan infrastruktur energi

Baca juga: NoName057 (16): Peretas Pro-Rusia di Balik Gelombang Serangan Siber

Pada tanggal 7 Mei 2021, serangan siber menggunakan ransomware memaksa Colonial Pipeline, salah satu jaringan pipa bahan bakar utama di AS, menutup seluruh jaringannya sepanjang 8.850 kilometer yang memasok bensin dan bahan bakar lainnya dari Houston ke New York. 

Serangan yang masih dalam proses investigasi ini mengakibatkan kelangkaan bahan bakar dan kenaikan harga di beberapa negara bagian. Menurut Bloomberg News, Colonial Pipeline membayar tebusan hampir $5 juta kepada para penyerang, yang diyakini sebagai bagian dari kelompok kriminal bernama DarkSide. Belum jelas bagaimana para peretas mendapatkan akses ke sistem Colonial.

Insiden ini merupakan peringatan bagi AS dan negara-negara lain yang mengandalkan infrastruktur energi yang sudah tua dan rentan. Hal ini menunjukkan bagaimana pemerasan online dapat mengganggu layanan penting dan merugikan jutaan orang. 

Pemerintahan Biden telah mengambil langkah-langkah untuk meningkatkan keamanan siber di jaringan listrik dan sektor lainnya, tetapi belum mengeluarkan panduan yang jelas bagi para korban ransomware tentang cara merespons atau memulihkan diri dari serangan semacam itu. 

Baca juga: Bagaimana Esport Mengambil Alih Indonesia: Bangkitnya Budaya dan Industri Baru

Di Indonesia, serangan serupa dapat menimbulkan dampak yang sangat buruk bagi perekonomian dan masyarakat. Indonesia sangat bergantung pada impor minyak dan gas untuk kebutuhan energinya, dan memiliki jaringan pipa, kilang, terminal, dan fasilitas penyimpanan yang kompleks yang dapat menjadi sasaran penjahat siber. 

Indonesia juga tidak memiliki strategi dan peraturan keamanan siber yang komprehensif untuk sektor energinya, serta menghadapi tantangan dalam membangun kapasitas dan kesadaran di antara para pemangku kepentingan. Indonesia perlu belajar dari serangan Colonial Pipeline dan mengambil langkah-langkah mendesak untuk melindungi infrastruktur energinya dari ransomware dan ancaman siber lainnya.

Ransomware Menjadi Ancaman Besar di Indonesia

Ilustrasi (Bing Image Creator)

Ransomware adalah salah satu bentuk serangan siber yang semakin marak di Indonesia. Ransomware adalah perangkat lunak jahat yang mengunci data atau sistem korban dan meminta tebusan untuk membukanya. 

Data tentang seberapa sering dan seberapa besar kerugian akibat ransomware sulit didapatkan karena banyak korban yang tidak melaporkannya. Namun, berdasarkan beberapa sumber, Indonesia menjadi negara dengan kasus serangan ransomware terbanyak di Asia Tenggara dan mengalami peningkatan 30 persen pada tahun 2022. 

Salah satu kasus terbesar adalah serangan terhadap Bank Syariah Indonesia (BSI), bank syariah terbesar di Indonesia, yang diduga dilakukan oleh kelompok hacker LockBit pada bulan Mei 2023. Kelompok ini mengklaim telah mencuri data 15 juta nasabah dan karyawan bank dan meminta tebusan sebesar $50 juta. BSI menolak membayar dan mengatakan telah memulihkan layanannya.

Ransomware menjadi bisnis yang menguntungkan bagi para penjahat siber karena mereka tidak perlu mencari pembeli untuk data yang mereka curi. Mereka cukup menjualnya kembali ke korban mereka sendiri. Selain itu, mereka juga dapat menyewakan alat dan infrastruktur mereka kepada penjahat lain yang ingin melakukan serangan ransomware. Ini disebut sebagai ransomware-as-a-service. Salah satu penyedia layanan ini adalah DarkSide, yang bertanggung jawab atas serangan terhadap Colonial Pipeline di Amerika Serikat pada tahun 2022.

Faktor lain yang membuat ransomware mudah dilakukan dan sulit ditangani adalah kurangnya perlindungan data pribadi di Indonesia. Meskipun Indonesia memiliki Undang-Undang Nomor 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (UU ITE) dan perubahannya pada tahun 2016, undang-undang ini tidak memberikan definisi yang jelas tentang data pribadi, hak pemilik data, atau sanksi bagi pelanggar. Selain itu, Indonesia juga belum memiliki undang-undang perlindungan data pribadi yang komprehensif, meskipun rancangan undang-undang tersebut telah diajukan sejak tahun 2016. Hal ini menyebabkan korban ransomware tidak memiliki jalan hukum yang efektif untuk mendapatkan ganti rugi atau mencegah kebocoran data mereka.

Indonesia menghadapi peningkatan risiko serangan ransomware terhadap infrastruktur penting

Ilustrasi (Bing Image Creator)

Ransomware adalah jenis serangan siber yang mengenkripsi data korban dan meminta uang tebusan untuk membebaskannya. Ransomware telah menjadi masalah serius selama bertahun-tahun, mempengaruhi berbagai sektor seperti layanan kesehatan dan pemerintah daerah. Namun, serangan baru-baru ini terhadap Colonial Pipeline di Amerika Serikat, yang mengganggu pasokan bahan bakar untuk jutaan orang, telah menunjukkan bahwa ransomware juga dapat menargetkan infrastruktur penting, yang berarti sistem penting yang mendukung ekonomi dan masyarakat. Serangan tersebut dilaporkan dilakukan oleh kelompok kriminal yang berbasis di Rusia, yang mungkin mendapatkan perlindungan atau toleransi dari pemerintah Rusia. Hal ini menimbulkan pertanyaan apakah serangan semacam itu akan menghadapi konsekuensi atau pencegahan dari komunitas internasional. Jika tidak, lebih banyak penjahat siber yang mungkin tergoda untuk menargetkan infrastruktur penting di negara lain, terutama yang memiliki pertahanan keamanan siber yang lemah.

Salah satu negara tersebut adalah Indonesia, yang telah mengalami lonjakan serangan ransomware dalam beberapa tahun terakhir. Menurut perusahaan keamanan siber Palo Alto Networks, kasus ransomware dan pemerasan melalui platform digital di Indonesia meningkat sebesar 30 persen (year-on-year) pada tahun 2022. Terdapat 14 kasus ransomware yang menyerang berbagai sektor, menyebabkan kerugian 20 kali lipat lebih besar dibandingkan tahun 2021. Indonesia menduduki peringkat ketiga di Asia Tenggara dengan serangan ransomware terbanyak, setelah Singapura dan Thailand. Badan Siber dan Sandi Negara (BSSN) juga melaporkan bahwa ransomware setara dengan 50 persen dari kasus serangan siber yang dilaporkan di Indonesia pada tahun 2022. Serangan ini biasanya menargetkan individu tertentu melalui panggilan telepon dan email, dan meminta tebusan untuk data mereka.

Terlepas dari ancaman ransomware yang terus meningkat, Indonesia belum mengimplementasikan undang-undang perlindungan data yang komprehensif atau undang-undang keamanan siber. Yang paling dekat adalah UU No. 11 tahun 2008 tentang Informasi dan Transaksi Elektronik (ITE) dan amandemennya di tahun 2016, yang hanya secara tidak langsung membahas masalah perlindungan data. Undang-undang ini mengizinkan pemilik data untuk meminta perintah pengadilan untuk menghapus data pribadi mereka dari situs web, tetapi tidak mendefinisikan klasifikasi data pribadi atau menentukan hak dan tanggung jawab pemilik dan pemroses data. Undang-undang ini juga memberikan pemerintah wewenang untuk memblokir konten online yang melanggar hukum atau moral Indonesia, yang dapat disalahgunakan untuk tujuan penyensoran. Rancangan undang-undang perlindungan data pribadi, Undang-Undang Perlindungan Data Pribadi (UU PDP), diperkenalkan pada tahun 2016, tetapi terhenti karena ketidaksepakatan antara legislatif dan eksekutif. Saat Indonesia bersiap menjadi tuan rumah KTT G20 pada November 2023, masih belum jelas apakah Indonesia akan dapat mengesahkan RUU tersebut tepat waktu dan meningkatkan postur keamanan sibernya.

Indonesia Membutuhkan Panduan yang Jelas tentang Cara Menghadapi Serangan Ransomware

Indonesia menghadapi ancaman serangan ransomware yang semakin meningkat, yaitu serangan siber yang mengenkripsi data korban dan meminta uang tebusan untuk membebaskannya. Menurut perusahaan keamanan siber Palo Alto Networks, kasus ransomware dan pemerasan melalui platform digital di Indonesia meningkat sebesar 30 persen (tahun ke tahun) pada tahun 2022. Terdapat 14 kasus ransomware yang menyerang berbagai sektor, menyebabkan 20 kali lebih banyak kerugian dibandingkan tahun 2021. Indonesia juga mengalami lebih banyak serangan ransomware pada tahun 2021 dibandingkan negara Asia Tenggara lainnya, menurut laporan Interpol.

Namun, pemerintah Indonesia belum memberikan panduan yang jelas kepada para korban ransomware tentang cara menanggapi serangan ini. Satu-satunya undang-undang yang ada yang mencakup perlindungan data adalah UU No. 11 tahun 2008 tentang Informasi dan Transaksi Elektronik (ITE) dan amandemennya pada tahun 2016, tetapi undang-undang ini tidak jelas dan ketinggalan zaman. Undang-undang ini tidak mendefinisikan klasifikasi data pribadi, mengartikulasikan hak-hak pemilik data, atau menentukan lembaga mana yang bertanggung jawab untuk mencegah atau merespons pelanggaran data. Rancangan undang-undang perlindungan data pribadi, Undang-Undang Perlindugan Data Pribadi (UU PDP), telah terhenti di parlemen sejak tahun 2016 karena ketidaksepakatan antara legislatif dan eksekutif.

Kurangnya kebijakan yang jelas tentang serangan ransomware membuat Indonesia berisiko kehilangan kedaulatan dan keamanan datanya. Hal ini juga merusak kredibilitasnya sebagai presiden G20 pada tahun 2022. Amerika Serikat, yang baru-baru ini mengalami serangan ransomware besar pada Colonial Pipeline-nya, juga telah dikritik karena sikapnya yang ambigu mengenai apakah akan membayar uang tebusan atau tidak. Situs web FBI tentang ransomware menyatakan bahwa "FBI tidak mendukung pembayaran uang tebusan sebagai respons terhadap serangan ransomware." Tetapi juga tidak secara aktif mencegah para korban untuk melakukan pembayaran tersebut.

Indonesia perlu mengambil tindakan segera untuk mengatasi ancaman ransomware. Indonesia harus mengesahkan RUU PDP sesegera mungkin dan membuat kebijakan yang jelas dan konsisten tentang bagaimana menangani serangan ransomware. Indonesia juga harus memperkuat kemampuan keamanan sibernya dan bekerja sama dengan negara lain untuk memerangi kejahatan siber. Serangan ransomware bukan hanya masalah teknis, tetapi juga masalah strategis dan politis. Indonesia tidak bisa berpuas diri atau ragu-ragu dalam menghadapi tantangan ini.