Ringkasan Cepat

  • Laporan CrowdStrike 2026 Threat Hunting Report yang dirilis 3 Agustus mencatat: sepanjang semester I 2026, 88% eksploitasi celah keamanan terjadi dalam 48 jam setelah bukti konsep kelemahannya dipublikasikan. Sebagian kelompok bergerak dalam 24 jam.
  • Kelompok asal Korea Utara STARDUST CHOLLIMA menyisipkan paket berbahaya ke dalam 131 paket framework AI Mastra yang tepercaya. Sepanjang semester I, 87% ancaman di registri perangkat lunak melibatkan paket npm berbahaya.
  • Di laporan CrowdStrike sebelumnya (Global Threat Report, Februari 2026), aktivitas penyerang yang memakai AI tercatat naik 89% dibanding tahun sebelumnya.
  • Di Indonesia, BSSN mencatat 5,5 miliar serangan siber sepanjang 2025 — naik 714% dari rata-rata tahunan periode 2020–2024. Pada 1 Januari–15 April 2026 saja sudah tercatat 1,52 miliar.
  • Yang paling relevan buat pembaca Blabak: proporsi UMKM Indonesia yang jadi sasaran ransomware naik dari 2,83% pada kuartal I 2025 menjadi 4,01% pada kuartal I 2026 — lonjakan sekitar 42%, salah satu yang tertinggi di Asia Tenggara.

Yang berubah bukan jumlah serangan, tapi jendela waktunya

Selama bertahun-tahun, nasihat keamanan siber untuk bisnis kecil berbunyi kurang lebih begini: rutin perbarui perangkat lunak, jangan tunda patch terlalu lama. "Terlalu lama" dulu berarti beberapa minggu.

Angka dari CrowdStrike mengubah definisi itu secara drastis. Sepanjang Januari–Juni 2026, 88% eksploitasi celah keamanan yang punya proof of concept publik — contoh kode yang membuktikan sebuah celah bisa disalahgunakan, biasanya diterbitkan peneliti keamanan agar vendor segera memperbaikinya — terjadi dalam 48 jam sejak contoh itu dirilis.

Dua kelompok asal China, VAULT PANDA dan GENESIS PANDA, bergerak lebih cepat lagi: menyerang dalam 24 jam sejak sebuah celah aplikasi web kritis diumumkan.

Skalanya bisa dibayangkan dari satu contoh. Setelah celah bernama React2Shell diumumkan, tim pemantau CrowdStrike menangani lebih dari 800 petunjuk investigasi di lebih dari 80 korban — hanya dalam empat hari.

Kenapa bisa secepat itu? Karena penyerang tidak lagi menulis kode eksploitasi secara manual. Laporan CrowdStrike mencatat pelaku memakai AI untuk membuat payload — kode jahat yang dikirim ke sistem korban — dan perintah shell secara otomatis. Yang dulu butuh tim ahli berhari-hari, kini bisa diselesaikan dalam hitungan jam oleh orang dengan kemampuan teknis lebih rendah.

Angka di balik angka: kamu diserang bukan karena uangmu, tapi karena koneksimu

Di sinilah data Indonesia jadi penting, dan sekaligus tidak nyaman.

Laporan Kaspersky menunjukkan proporsi UMKM Indonesia yang menjadi sasaran ransomware naik dari 2,83% pada kuartal I 2025 menjadi 4,01% pada kuartal I 2026. Secara regional Asia Tenggara, angkanya naik dari 2,92% menjadi 3,51% — artinya Indonesia naik lebih cepat dari rata-rata kawasan, bersama India.

Kalau kamu punya usaha kecil, godaan untuk mengabaikannya besar: "Bisnis saya cuma kecil, ngapain diretas?"

Managing Director Kaspersky Asia Pasifik Adrian Hia menjelaskan logikanya. UMKM menarik justru karena sumber daya keamanannya terbatas dibanding perusahaan besar. Tapi ada alasan kedua yang lebih penting: pelaku memanfaatkan UMKM sebagai pintu masuk untuk menyerang rantai pasok perusahaan yang lebih besar, lewat hubungan bisnis yang sudah terjalin.

Baca ulang kalimat itu. Nilai tokomu bagi penyerang bukan saldo rekeningmu — melainkan akses email, portal vendor, atau kredensial yang kamu miliki ke pelanggan korporatmu.

Artinya, kalau kamu memasok ke perusahaan besar, keamanan sistemmu bukan lagi urusan internal. Itu bagian dari nilai jualmu, dan cepat atau lambat akan ditanyakan dalam proses seleksi vendor.

Ada juga catatan yang membuat angkanya kemungkinan lebih buruk dari yang tercatat: statistik ransomware biasanya hanya merekam tahap akhir, ketika file benar-benar terenkripsi. Serangan yang berhasil dicegat lebih awal tidak masuk hitungan.

Rantai pasok perangkat lunak jadi medan baru

Bagian laporan yang paling relevan untuk siapa pun yang membangun aplikasi — atau menyewa orang untuk membangunkannya.

Sepanjang semester I 2026, 87% ancaman yang teridentifikasi di registri perangkat lunak melibatkan paket npm berbahaya. npm adalah gudang komponen siap pakai untuk JavaScript, bahasa yang menopang sebagian besar aplikasi web modern. Ketika developer membangun aplikasi, mereka jarang menulis semuanya dari nol — mereka menarik puluhan hingga ratusan komponen dari gudang ini.

Di situlah celahnya. Pada Maret 2026, STARDUST CHOLLIMA memakai kredensial pengelola yang dicuri untuk menyusupi paket Axios di npm. Pada Juni, kelompok yang sama menyisipkan paket berbahaya sebagai dependensi ke dalam setidaknya 131 paket framework AI Mastra. Sementara kelompok kriminal ALTERED SPIDER menyusupi lebih dari 300 dependensi perangkat lunak dalam satu hari untuk memanen kredensial dan masuk ke lingkungan cloud korban.

Yang perlu kamu pahami: kamu tidak perlu diserang langsung untuk terdampak. Cukup satu komponen di dalam aplikasimu yang tercemar, dan sistemmu ikut terbuka — meski timmu tidak melakukan kesalahan apa pun.

Wakil presiden intelijen ancaman CrowdStrike, Adam Meyers, menyebut ekosistem AI sebagai medan pertempuran rantai pasok perangkat lunak berikutnya. Ini bukan hiperbola: justru komponen-komponen AI yang paling banyak diadopsi bisnis dalam setahun terakhir yang paling sedikit punya sejarah audit keamanan.

Sisi Indonesia: pertahanan lama tidak lagi memadai

Deputi Bidang Operasi Keamanan Siber dan Sandi BSSN, Mayjen TNI Bondan Widiawan, menyampaikan hal yang jarang diakui pejabat secara terbuka: pola serangan sekarang berbasis perilaku, sementara banyak sistem pertahanan masih mengandalkan pendekatan yang mendeteksi berdasarkan tanda pengenal. Begitu malware teridentifikasi, kata dia, ia langsung berubah wajah.

Konteks kerugiannya nyata. BSSN mencatat kerugian ekonomi akibat serangan siber di Indonesia mencapai Rp18 triliun pada 2024. Dari sisi penipuan digital, OJK dan Indonesia Anti-Scam Centre mencatat total kerugian melampaui Rp2,6 triliun hingga Mei 2025.

Head of Consulting Ensign InfoSecurity Indonesia, Adithya Nugraputra, menambahkan bahwa kebocoran data masih jadi insiden yang paling sering ditemukan di organisasi Indonesia, dan ransomware kini menyasar jauh melampaui sektor keuangan — rumah sakit, manufaktur, dan sektor lain ikut terkena.

Apa Artinya Buat Kamu

Kalau kamu masih karyawan dan ingin mulai usaha

Anggarkan keamanan sejak awal, bukan setelah kena. Untuk bisnis baru, biayanya kecil dan sebagian besar gratis:

Aktifkan verifikasi dua langkah di semua akun bisnis — email, marketplace, rekening, media sosial. Ini satu langkah yang menutup mayoritas serangan pengambilalihan akun. Pakai pengelola kata sandi supaya setiap layanan punya sandi berbeda. Dan pisahkan akun pribadi dari akun bisnis sejak hari pertama, karena kalau keduanya bercampur, satu kebocoran menjatuhkan keduanya.

Kalau bisnismu melibatkan data pelanggan, pelajari kewajibanmu di bawah UU Perlindungan Data Pribadi sebelum kamu punya banyak pelanggan. Jauh lebih murah membangun prosesnya saat masih kecil.

Kalau kamu sudah punya bisnis

Ubah jadwal patch dari bulanan jadi mingguan, minimal untuk sistem yang terhubung internet. Dengan 88% eksploitasi terjadi dalam 48 jam, siklus "kita update tiap awal bulan" secara efektif berarti menyerahkan jendela serangan selama empat minggu.

Minta daftar komponen dari siapa pun yang membangun aplikasimu. Kalau kamu menyewa agensi atau freelancer, tanyakan: paket pihak ketiga apa saja yang dipakai, dan bagaimana mereka memantau kalau salah satunya bermasalah. Kalau jawabannya mengambang, itu risiko yang kamu tanggung, bukan mereka.

Cadangan data saja tidak lagi cukup. Pakar Kaspersky Fedor Sinitsyn menjelaskan sebagian besar pelaku ransomware modern memakai pemerasan ganda: mereka mengenkripsi file dan mencuri data rahasia lebih dulu, lalu mengancam membocorkannya kalau tebusan tidak dibayar. Backup memulihkan operasional, tapi tidak membatalkan ancaman pembocoran. Simpan cadangan secara offline, dan tetap batasi data sensitif yang kamu simpan.

Perketat proses verifikasi lewat telepon. Serangan vishing — penipuan lewat panggilan suara untuk mengelabui karyawan agar menyerahkan akses — meningkat dua kali lipat di semester I 2026. Buat aturan sederhana: permintaan transfer atau perubahan kredensial lewat telepon selalu diverifikasi ulang lewat kanal berbeda, tanpa pengecualian, termasuk kalau yang menelepon terdengar seperti atasan.

Kalau kamu vendor perusahaan besar, siapkan jawabannya sekarang. Pertanyaan tentang keamanan akan masuk ke proses seleksi vendor, dan yang tidak bisa menjawab akan tersingkir sebelum harga dibicarakan.

Yang Perlu Dipantau

  1. Laporan tahunan BSSN untuk periode penuh 2026. Angka 1,52 miliar sampai pertengahan April jadi tolok ukur; kalau lajunya bertahan, totalnya akan melampaui 2025.
  2. Aturan turunan UU Perlindungan Data Pribadi dan penunjukan lembaga pengawasnya. Ini menentukan kewajiban pelaporan insiden bagi bisnis yang mengelola data pelanggan.
  3. Pengumuman kompromi paket populer di npm dan ekosistem AI. Kalau timmu memakai JavaScript, langganan notifikasi keamanan dari layanan yang memindai dependensi adalah investasi termurah yang bisa kamu buat.
  4. Kebijakan keamanan penyedia AI yang kamu pakai. Penyalahgunaan model bahasa oleh penyerang sudah tercatat — termasuk satu kampanye yang mengirim hampir 200.000 permintaan model dalam dua menit.
  5. Tren serangan ke sektormu spesifik. Ransomware sudah tidak terkonsentrasi di perbankan; kalau kamu di manufaktur, kesehatan, atau logistik, asumsikan kamu ada di daftar.

Penutup

Pergeseran paling penting dari laporan-laporan ini bukan angka besarnya. Bukan 5,5 miliar serangan, bukan 89% kenaikan aktivitas.

Yang berubah adalah ini: keamanan siber dulu adalah perlombaan antara kemampuan penyerang dan kemampuan bertahan. Sekarang, dengan sebagian besar eksploitasi terjadi dalam 48 jam, ini perlombaan antara kecepatan penyerang dan kecepatan proses internalmu — seberapa cepat kamu tahu ada masalah, dan seberapa cepat kamu bisa bertindak.

Itu bukan masalah teknologi. Itu masalah kebiasaan kerja. Dan kabar baiknya, kebiasaan kerja bisa kamu ubah minggu ini juga.

Sumber

  • CrowdStrike — 2026 Threat Hunting Report, dirilis 3 Agustus 2026
  • CrowdStrike — 2026 Global Threat Report, Februari 2026 (kenaikan 89% aktivitas penyerang berbantuan AI)
  • CRN Asia — ringkasan temuan laporan dan data CVE 2026
  • BSSN via Kompas — 5,5 miliar serangan siber 2025 dan 1,52 miliar pada awal 2026; pernyataan Mayjen TNI Bondan Widiawan
  • Kaspersky via Youngster.id — kenaikan sasaran ransomware pada UMKM Indonesia kuartal I 2026
  • Kaspersky — pernyataan Adrian Hia dan Fedor Sinitsyn soal pola serangan dan pemerasan ganda
  • Kontan — pernyataan Ensign InfoSecurity Indonesia soal kebocoran data dan ransomware lintas sektor
  • BSSN & OJK/IASC — data kerugian ekonomi akibat serangan siber dan penipuan digital