Apa Itu Ransomware: Cara Kerjanya, Jalan Masuknya, dan Satu Hal yang Menentukan Anda Selamat atau Tidak

Bagi orang yang mengalaminya, ransomware biasanya terlihat seperti ini: pagi hari, berkas di server berganti nama dengan akhiran yang tidak dikenal, aplikasi tidak mau membuka basis datanya, dan ada satu berkas teks baru di setiap folder yang isinya alamat kontak serta tenggat pembayaran.

Yang terlihat pagi itu adalah adegan terakhir. Bagian yang menentukan sudah terjadi jauh sebelumnya — dan justru bagian itu yang jarang dibahas ketika orang menjelaskan apa itu ransomware.

Definisi singkat, lalu bagian yang lebih penting

Ransomware adalah perangkat lunak jahat yang mengunci data korban dengan enkripsi, lalu meminta tebusan sebagai syarat membukanya. Sampai di sini definisinya sederhana dan bisa ditemukan di mana saja.

Yang lebih berguna untuk diketahui adalah urutan kejadiannya, karena setiap tahap sebelum enkripsi adalah kesempatan untuk menghentikannya:

1. 01

   Masuk

   Lewat kredensial yang bocor, layanan remote yang terbuka ke internet, lampiran atau tautan yang diklik seseorang, atau celah pada perangkat tepi yang belum ditambal.

2. 02

   Diam dan mengenali medan

   Penyerang memetakan jaringan: di mana server berkas, di mana basis data, di mana sistem cadangan. Tahap ini bisa berlangsung berhari-hari sampai berminggu-minggu, dan di banyak kasus tidak menimbulkan gejala apa pun.

3. 03

   Menaikkan hak akses

   Sasarannya akun dengan wewenang luas — administrator domain atau akun layanan. Dengan itu, penyerang bisa bergerak ke hampir semua sistem tanpa memicu kecurigaan.

4. 04

   Melumpuhkan cadangan

   Sebelum mengenkripsi apa pun, cadangan yang bisa dijangkau dari jaringan dihapus atau ikut dikunci. Ini dikerjakan lebih dulu justru karena cadangan adalah satu-satunya hal yang bisa menggagalkan pemerasan.

5. 05

   Menyalin data keluar

   Data penting diunduh ke server penyerang. Salinan inilah yang nanti dipakai sebagai ancaman kedua bila korban menolak membayar.

6. 06

   Mengenkripsi

   Baru pada tahap ini enkripsi dijalankan, biasanya di luar jam kerja supaya tidak ada yang sempat memutus prosesnya di tengah jalan.

Pemerasan ganda mengubah aturan mainnya

Dulu jawaban atas ransomware cukup satu kalimat: “kami punya backup, tinggal pulihkan.” Jawaban itu kini hanya menyelesaikan separuh masalah.

Karena data sudah disalin keluar sebelum dikunci, penyerang memegang ancaman kedua yang tidak bisa dijawab oleh cadangan sebagus apa pun: membocorkannya ke publik. Untuk rumah sakit yang menyimpan rekam medis, atau lembaga keuangan yang menyimpan data nasabah, ancaman kedua ini sering lebih berat konsekuensinya daripada gangguan operasional yang pertama.

Konsekuensinya untuk perencanaan: memulihkan sistem mengembalikan operasional, tetapi tidak menghapus kewajiban pelaporan insiden dan tidak menghentikan risiko kebocoran. Keduanya perlu direncanakan terpisah.

Bagaimana mereka masuk

Pintu masuknya jarang berupa teknik eksotis. Sebagian besar kasus berawal dari salah satu dari lima hal ini:

Perhatikan bahwa tidak satu pun isi kolom kanan berbunyi “pasang antivirus yang lebih mahal”. Antivirus dan EDR tetap perlu, tetapi hampir semua jalur di atas ditutup oleh pengaturan, bukan oleh pembelian.

Baris ketiga layak digarisbawahi. Perangkat tepi — firewall, VPN gateway — sering luput dari jadwal penambalan karena tidak terasa seperti “server”. Padahal posisinya paling terbuka, dan celah pada perangkat semacam itu langsung memberi pijakan di dalam jaringan. Perangkat yang sudah melewati masa dukungan lebih rawan lagi, karena tambalannya memang tidak akan pernah terbit; soal itu dibahas terpisah di siklus hidup perangkat FortiGate.

Pelajaran dari kasus PDNS

Pada 20 Juni 2024, Pusat Data Nasional Sementara terkena ransomware Brain Cipher, varian yang dikembangkan dari LockBit 3.0. Layanan publik yang bergantung padanya ikut lumpuh, termasuk sistem keimigrasian di bandara. Penyerang meminta tebusan sekitar delapan juta dolar AS, dan pemerintah menyatakan tidak akan membayar.

Bagian yang paling banyak dibicarakan sesudahnya bukan soal ransomware-nya. Kepala BSSN saat itu menyampaikan bahwa data pada PDNS 2 sebagian besar tidak memiliki cadangan. Di situlah persoalannya berpindah: yang menentukan berat-ringannya dampak bukan seberapa canggih serangannya, melainkan ada tidaknya salinan yang tidak ikut terkena.

Cadangan yang benar-benar menyelamatkan

Karena melumpuhkan cadangan adalah langkah yang dikerjakan penyerang lebih dulu, cadangan yang berguna adalah yang tidak bisa dijangkau dari jaringan yang sedang diserang. Tiga syarat minimumnya:

• Ada salinan yang terputus dari jaringan. Bisa berupa media yang dilepas setelah proses selesai, atau penyimpanan dengan kunci tulis-sekali yang tidak bisa dihapus meski akun administrator dikuasai.
• Kredensial sistem cadangan terpisah. Bila akun administrator domain juga bisa menghapus cadangan, maka cadangan itu jatuh bersama domainnya.
• Pemulihan pernah diuji. Cadangan yang tidak pernah diuji pulih adalah asumsi, bukan cadangan. Yang perlu diketahui bukan hanya “berhasil atau tidak”, tetapi berapa jam sampai layanan benar-benar jalan lagi.

Angka dari uji pemulihan itulah yang seharusnya jadi dasar percakapan dengan manajemen. Pernyataan “kami punya backup harian” tidak memberi tahu apa pun soal berapa lama operasional berhenti. Pernyataan “kami pernah memulihkan basis data utama dalam sembilan jam” memberi tahu keduanya.

Bayar atau tidak bayar

Pertanyaan ini selalu muncul, dan jawabannya jarang sesederhana yang terdengar dari luar. Beberapa hal yang perlu masuk pertimbangan:

1. Membayar tidak menjamin pulih. Kunci yang diberikan kadang bekerja sebagian, dan proses dekripsinya sendiri bisa memakan waktu lebih lama daripada memulihkan dari cadangan yang sehat.
2. Membayar tidak menghapus data yang sudah disalin. Janji untuk menghapusnya tidak bisa diverifikasi dengan cara apa pun.
3. Membayar menandai organisasi sebagai sasaran yang mau membayar. Kelompok yang sama, atau kelompok lain yang membeli informasi itu, kerap kembali.
4. Ada konsekuensi hukum dan pelaporan. Insiden yang melibatkan data pribadi punya kewajiban pelaporan tersendiri, terlepas dari keputusan membayar atau tidak.

Yang jelas: keputusan ini tidak boleh diambil pertama kali pada hari kejadian. Organisasi yang sudah membicarakannya lebih dulu — siapa yang berwenang memutuskan, siapa yang dihubungi, apa batas yang tidak boleh dilanggar — mengambil keputusan jauh lebih baik daripada yang membicarakannya saat sistem sedang mati.

Dua puluh empat jam pertama

Bila serangan sedang berlangsung, urutannya penting. Beberapa tindakan yang terasa naluriah justru menghilangkan bukti atau memperparah keadaan.

1. 01

   Putuskan jaringannya, jangan matikan perangkatnya

   Cabut dari jaringan untuk menghentikan penyebaran. Mematikan perangkat menghapus isi memori, dan di situlah sering tersimpan petunjuk mengenai bagaimana penyerang masuk.

2. 02

   Amankan cadangan sebelum apa pun

   Pastikan media cadangan terputus dari jaringan. Bila masih terhubung, itu yang pertama perlu diselamatkan.

3. 03

   Kumpulkan catatan sistem

   Log firewall, log server, dan catatan autentikasi. Ini bahan untuk mengetahui pintu masuknya — tanpa itu, sistem yang dipulihkan berisiko dimasuki lewat pintu yang sama.

4. 04

   Laporkan sesuai kewajiban

   Insiden yang menyentuh data pribadi punya kewajiban pelaporan. Menundanya menambah persoalan baru di atas persoalan yang sudah ada.

5. 05

   Pulihkan setelah pintu masuknya ditutup

   Memulihkan sistem ke jaringan yang celahnya belum ditambal biasanya berakhir dengan serangan kedua dalam hitungan hari.

Yang benar-benar menurunkan risiko

Daftar rekomendasi keamanan bisa dibuat sepanjang apa pun, tetapi tidak semuanya berbobot sama. Bila hanya ada anggaran dan waktu untuk beberapa hal, empat ini yang memberi pengurangan risiko paling besar:

1. Autentikasi dua faktor untuk semua akses jarak jauh. Menutup jalur kredensial bocor, yang merupakan pintu masuk paling umum.
2. Cadangan yang terputus dari jaringan dan diuji berkala. Menentukan apakah insiden berakhir sebagai gangguan beberapa hari atau kehilangan permanen.
3. Penambalan perangkat tepi dengan jadwal tersendiri. Firewall dan VPN gateway adalah yang paling terbuka sekaligus paling sering terlewat.
4. Pembatasan hak akses. Agar satu komputer yang jatuh tidak otomatis membawa seluruh jaringan bersamanya.

Keempatnya bersifat organisatoris, bukan sekadar teknis — dan karena itu lebih tahan lama daripada solusi yang bergantung pada satu produk tertentu. Cara menaruhnya dalam kerangka yang bisa diaudit dibahas di sistem manajemen keamanan informasi.

Penutup

Ransomware jarang berhasil karena penyerangnya luar biasa canggih. Ia berhasil karena ada satu layanan remote yang terbuka sejak dua tahun lalu dan tidak pernah ditutup, atau karena cadangan tersimpan di berbagi berkas yang sama dengan datanya. Hal-hal itu tidak menarik dibicarakan, tetapi di situlah letak perbedaan antara gangguan tiga hari dan kehilangan yang tidak bisa dipulihkan.

Kalau hanya ada waktu untuk satu tindakan setelah membaca ini: cari tahu kapan terakhir kali cadangan Anda benar-benar diuji dipulihkan. Bila jawabannya “belum pernah”, itulah pekerjaan minggu ini.