Apa Itu Ransomware? Cara Kerja, Contoh, dan Pencegahannya

Ransomware adalah jenis malware yang mengenkripsi berkas atau sistem korban lalu menuntut tebusan agar akses dikembalikan. Serangannya bisa melumpuhkan operasional perusahaan, rumah sakit, hingga layanan pemerintah dalam hitungan jam, sehingga pencegahannya harus disiapkan jauh sebelum insiden terjadi.

Apa Itu Ransomware?

Menurut panduan CISA, ransomware adalah malware yang mengenkripsi berkas di perangkat sehingga berkas dan sistem yang bergantung padanya tidak dapat dipakai. Pelaku kemudian meminta tebusan untuk membukanya. Ransomware termasuk keluarga besar malware yang dibahas di artikel jenis-jenis malware.

Sekarang pelaku juga sering mencuri data sebelum mengenkripsinya, lalu mengancam menyebarkannya bila korban menolak membayar. CISA menyebut gabungan taktik ini sebagai double extortion. Artinya, memulihkan berkas dari cadangan saja belum menyelesaikan masalah, karena data yang telanjur dicuri tetap bisa bocor.

Bagaimana Ransomware Bekerja?

Secara konseptual, serangan ransomware bergerak dalam beberapa tahap.

1. Akses awal. Pelaku masuk lewat celah yang tersedia, misalnya layanan yang terpapar internet, kredensial yang dicuri, atau phishing.
2. Penguatan posisi. Pelaku menjelajahi jaringan, menaikkan hak akses, dan mencari data serta sistem penting, termasuk cadangan.
3. Pencurian data. Informasi sensitif disalin ke luar sebelum enkripsi dimulai.
4. Enkripsi dan pelumpuhan. Berkas dienkripsi dan layanan dimatikan. Panduan CISA mencatat banyak varian berusaha menemukan lalu menghapus atau mengenkripsi cadangan yang dapat dijangkau.
5. Permintaan tebusan. Catatan tebusan muncul dengan batas waktu dan instruksi pembayaran.

Bagaimana ransomware biasanya masuk?

CISA mencantumkan jalur akses awal yang umum:

• kerentanan dan salah konfigurasi pada sistem yang terhubung internet, seperti layanan remote desktop yang terbuka;
• kredensial yang dicuri atau lemah;
• phishing, termasuk rekayasa sosial yang lebih canggih;
• infeksi malware pendahulu yang membuka jalan;
• pihak ketiga dan penyedia layanan terkelola.

Jalur phishing dibahas di artikel apa itu phishing.

Contoh Serangan Ransomware yang Terkenal

WannaCry (2017)

WannaCry terdeteksi pada 12 Mei 2017 dan menyebar cepat ke puluhan ribu sistem di lebih dari 150 negara. Ransomware ini memanfaatkan kerentanan SMBv1 pada Windows yang dilacak sebagai MS17-010. Microsoft sebenarnya sudah merilis perbaikannya pada 14 Maret 2017, sehingga kasus ini menjadi pelajaran klasik tentang akibat menunda pembaruan.

Pusat Data Nasional Sementara (2024)

Pada 24 Juni 2024, Kepala BSSN mengumumkan bahwa gangguan pada Pusat Data Nasional Sementara sejak 20 Juni 2024 disebabkan oleh ransomware bernama Brain Cipher, yang dijelaskan sebagai varian baru dari LockBit 3.0. Menurut pemberitaan ANTARA, layanan seperti imigrasi terdampak dan pemerintah mengisolasi area yang terdampak. Kasus ini memperlihatkan bahwa ransomware dapat mengganggu layanan publik, bukan hanya bisnis.

Seberapa Besar Ancaman Ransomware Saat Ini?

Laporan Verizon 2026 Data Breach Investigations Report menyebut ransomware terlibat pada 48% pelanggaran data yang dianalisis. Laporan yang sama menyebut pembayaran tebusan semakin kecil dan banyak korban memilih tidak membayar. Angka ini menegaskan bahwa ransomware bukan ancaman langka, melainkan salah satu risiko utama yang harus masuk dalam rencana keamanan setiap organisasi.

Cara Mencegah Ransomware

• Cadangan terenkripsi yang disimpan offline, dan diuji pemulihannya secara berkala. Inilah pertahanan paling menentukan saat sistem terkunci.
• Autentikasi multifaktor yang tahan phishing untuk surel, VPN, dan akun yang mengakses sistem penting.
• Tambal sistem secara disiplin, dengan prioritas pada server yang terhubung internet dan celah yang sudah dieksploitasi.
• Jangan membuka layanan remote desktop ke internet tanpa perlindungan yang ketat, atau hindari sama sekali.
• Hak akses minimum dan segmentasi jaringan agar satu perangkat yang terinfeksi tidak menjangkau seluruh jaringan.
• Simpan log agar kejadian bisa ditelusuri.
• Latih pengguna mengenali phishing dan melaporkan pesan mencurigakan.
• Siapkan rencana respons insiden yang sudah dilatih. Tahapannya dijelaskan di artikel incident response.

Organisasi yang ingin menguji kesiapan terhadap serangan seperti ini dapat bekerja sama dengan penyedia yang berwenang lewat layanan keamanan Linuxhackingid, dengan izin tertulis dan lingkup yang jelas.

Apa yang Harus Dilakukan Jika Terkena Ransomware?

1. Isolasi perangkat yang terinfeksi dari jaringan dan jangan matikan bukti secara sembarangan.
2. Aktifkan rencana respons insiden dan libatkan tim keamanan atau penyedia forensik.
3. Periksa apakah cadangan Anda utuh dan belum terinfeksi sebelum memulihkan sistem.
4. Cek ketersediaan alat dekripsi gratis. Situs No More Ransom, proyek yang bermitra dengan Europol dan kepolisian Belanda, menyediakan kunci dan alat dekripsi untuk sejumlah varian ransomware, meski tidak semua jenis punya solusi.
5. Laporkan insiden kepada pihak berwenang dan, bila data pribadi terdampak, penuhi kewajiban pemberitahuan sesuai UU Pelindungan Data Pribadi.

No More Ransom menyarankan untuk tidak membayar tebusan karena pembayaran tidak menjamin Anda memperoleh kunci. Panduan CISA sendiri tidak menyatakan apakah membayar sebaiknya dilakukan atau tidak, melainkan menganjurkan mengikuti rencana respons insiden yang sudah disetujui dan berkonsultasi dengan penegak hukum tentang kemungkinan dekriptor.

Mengapa Cadangan Saja Tidak Cukup?

Banyak organisasi merasa aman karena punya cadangan, tetapi cadangan hanya berguna jika terpisah dari jaringan yang diserang, tidak dapat diubah oleh akun yang sama, dan pernah diuji dipulihkan. Cadangan yang terhubung terus ke server sering ikut terenkripsi. Selain itu, waktu pemulihan sistem berskala besar bisa berhari-hari, sehingga rencana kelangsungan layanan perlu memuat prioritas sistem yang dipulihkan lebih dulu.

Untuk ancaman pencurian data, lindungi data sensitif dengan enkripsi dan akses minimum, serta pantau perpindahan data keluar yang tidak wajar.

Pertanyaan yang Sering Diajukan

Apakah ransomware hanya menyerang perusahaan besar?

Tidak. Pelaku menyasar organisasi dari berbagai ukuran, dan usaha kecil sering dianggap mudah karena pertahanannya lebih tipis. Individu juga bisa terkena lewat lampiran atau unduhan berbahaya.

Apakah data bisa kembali jika saya membayar tebusan?

Tidak ada jaminan. Pelaku bisa tidak memberikan kunci, kunci bisa tidak berfungsi, dan data yang sudah dicuri tetap dapat disebarkan. Cadangan yang sehat jauh lebih bisa diandalkan.

Apa perbedaan ransomware dan malware biasa?

Ransomware adalah malware yang tujuannya memeras korban dengan mengunci akses atau mengancam membocorkan data. Malware lain bisa bertujuan mencuri kredensial, memata-matai, atau mengendalikan perangkat tanpa meminta tebusan.

Kesimpulan

Ransomware bekerja dengan memanfaatkan celah yang sudah dikenal, seperti sistem yang tidak ditambal, kredensial lemah, dan phishing, lalu menekan korban lewat enkripsi dan ancaman kebocoran. Pertahanan yang paling efektif adalah cadangan offline yang teruji, autentikasi kuat, pembaruan disiplin, dan rencana respons yang siap dijalankan. Data yang bocor akibat serangan semacam ini dibahas pula di artikel penyebab kebocoran data. Untuk membangun kemampuan bertahan, Linuxhackingid menyediakan jalur belajar keamanan siber yang dapat Anda mulai kapan saja.