Penulis adalah Honorable Faculty Lembaga Pengembangan Perbankan Indonesia (LPPI). Tulisan Ini Merupakan Pendapat Pribadi.
Krisna Wijaya
Teori Say mengata- kan, supply create own demand. Artinya setiap ada penawaran selalu menghasilkan permintaan. Dalam konteks IT dan digitalisasi misalnya, lebih banyak sisi penawarannya karena bagaimanapun juga diyakini akan menciptakan permintaan. Inovasi di bidang IT adalah suatu keniscayaan sebagai konsekuensi dari kemajuan ilmu pengetahuan dan teknologi.
Mungkin sudah menjadi semacam konsekuensi logis ketika ada unsur kebaikan selalu saja ada pihak yang memanfaatkannya. Begitu pun dengan kemajuan inovasi teknologi di era digitalisasi, yang tampaknya juga diikuti oleh sebagian pihak untuk memanfaat kannya dengan berbagai motif. Yang disayangkan, motifnya itu untuk melakukan kejahatan.
Seperti sering dilaporkan, kejahatan siber (cybercrime) makin meningkat. Ada yang mengatakan pelakunya adalah para pakar IT dengan tujuan ingin menguji kecanggihan hasil inovasi. Namun, sayangnya, justru malah banyak yang melakukannya untuk motif kejahatan dan bahkan meningkat menjadi bisnis pemerasan secara finansial seperti ransomware.
Secara praktis, ransomware dikategorikan sebagai program, yang mengancam pihak yang dituju atau korban dengan menghancurkan atau memblokir akses ke data atau sistem penting. Hasilnya, pemilik data menjadi tidak dapat mengakses data atau sistem dan/atau menggunakan- nya sehingga mengganggu kegiatan operasional dan bisnis. Saat itulah pihak pengirim akan menawari korban untuk upaya pemulihan data atau sistem yang diretas. Tentunya dengan sejumlah ancaman guna mendapatkan kompensasi.
Apabila kompensasi secara finansial tidak dipenuhi si korban, maka data itu akan disebarkan dan/ atau dijual. Tujuannya selain finansial juga untuk merusak reputasi perusahaan, seperti lembaga keuangan misalnya bank, yang oleh nasabah, publik, dan otoritas dianggap tidak bisa menjaga dan melindungi data nasabahnya. Menyediakan kekinian IT
merupakan hal penting bagi entitas bisnis sekarang ini mengingat terus meningkatnya kejahatan siber. Dari berbagai literatur, diprediksi kejahatan siber akan terus meningkat. Sekadar contoh crypto ransomware, locker ransomware, scareware, doxware, ransomware-as- a-service (RaaS), wiper malware, dan unknown malware yang banyak diprediksi juga akan meningkatkan aktivitas ransomware.
Mengutip data yang disampaikan Embroker (2021) dan Cybersecurity Ventures, 2021, kejahatan dunia maya akan merugikan perusahaan di seluruh dunia sekitar US$10,5 triliun pada 2025, atau naik dari US$3 triliun di 2015. Ilustrasi lainnya mengutip publikasi dari Statistika (2024) yang memperkirakan bahwa biaya yang akan dikeluarkan perusahaan akibat kejahatan siber pada 2024 sekitar US$9,22 triliun di seluruh dunia. Angkanya diperkirakan meningkat menjadi US$13,82 triliun pada 2028.
McKinsey Company Report (2024) menyatakan bahwa 57% responden yang disurvei mengakui bahwa mereka khawatir dalam mengimbangi teknologi yang sedang berkembang, khususnya berkenaan dengan pengeluaran biaya untuk keamanan siber mereka. Meskipun menyadari pentingnya memiliki kemampuan keamanan siber yang kuat untuk mengurangi risiko siber, tapi 31% responden menyatakan perusahaan tidak yakin mampu melakukannya.
Makin Mudah Dilakukan
Terkait dengan sasaran serangan, sekitar 53% serangan siber (cyberattack) menyusup ke jaringan perusahaan tanpa terdeteksi dan 47% pencurian informasi data nasabah untuk melakukan ransomware (Chris Nolan dan Annie Fixler 2021). Secara statistik, sektor perbankan dan keuangan merupakan salah satu industri yang paling banyak mengalami serangan siber pada 2023. Pertimbangan pelaku kejahatan siber, sektor tersebut banyak menyimpan data sensitif, seperti transaksi keuangan, rekening bank (giro, tabungan, deposito), dan data pribadi nasabah. Pelaku kejahatan siber sangat paham bahwa langkah-langkah pengamanan data yang ada di institusi tersebut saat ini tidak cukup kuat untuk mencegah mereka melakukan serangan siber yang berhasil (Deloitte, 2021).
Indonesia menjadi tempat yang menarik bagi para pelaku kejahatan siber karena pertimbangan jumlah penduduk, pengguna email, dan telepon seluler. Demikian juga jumlah bank yang masih masuk kategori banyak. Misalnya, sepanjang 2022 seorang anggota Breached Forums bernama Bjorka mengklaim memiliki data 1 miliar nomor telepon seluler Indonesia. Kabarnya Bjorka menjual data sebesar 87 GB itu dengan harga US$50.000 atau setara dengan sekitar Rp750 juta. Dikabarkan juga bahwa telah terjadi kebocoran 26 juta data pelanggan Indihome (2022) dan aplikasi e-HAC Kemenkes. Diperkirakan ada 1,3 juta data pengguna e-HAC yang bocor (Kompas.com, 2022).
Serangan siber banyak jenisnya. Ada yang disebut phishing. Siapa pun yang menggunakan internet atau telepon seluler (ponsel) dapat menjadi target phishing dengan cara menginfeksi perangkat dengan malware untuk mendapatkan uang atau identitas. Pelaku phishing (phisher) mungkin juga mengambil informasi dari profil korban di media sosial (medsos).
Ada beberapa jenis phishing yang perlu diwaspadai secara ekstra, antara lain (1) spam phishing yaitu “surat sampah” yang merupakan bagian dari penipuan; (2) email phishing berupa permintaan untuk mengikuti link atau mengirim informasi pembayaran, dengan harapan penerima membalasnya; dan (3) social media phishing yaitu berisikan bujukan untuk mendapatkan hadiah gratis dengan permintaan yang mendesak.
Ketika kepanikan sudah membelenggu, serangan phishing misalnya yang dianggap tidak mungkin bisa terjadi, karena kepraktisan dan kese[1]derhanaan modusnya. Kepanikan sering kali membuat kita melakukan tindakan yang berlebihan dan melibatkan banyak pihak yang justru meningkatkan kekhawatiran. Karena itu, beberapa hal berikut perlu mendapatkan perhatian.
Pertama, masih banyak perusahaan belum melakukan enkripsi atas semua datanya. Enkripsi adalah metode pengubahan bentuk data menjadi sejumlah kode yang sulit diterjemahkan sehingga data tidak dapat dibaca oleh sembarang pihak. Definisi lainnya, enkripsi data mengubah data dari format teks biasa yang dapat dibaca menjadi format terenkripsi yang tidak dapat dibaca. Data yang telah dienkripsi hanya akan dapat dibaca oleh si penerima dengan menggunakan kuncikunci tertentu. Karena datanya sudah dienkripsi maka pengguna dan proses hanya dapat membaca dan memproses data terenkripsi setelah dideskripsi. Untuk melakukan deskripsi harus dilakukan dengan protokol yang memenuhi kriteria bersifat rahasia agar tidak semua pihak dapat mengakses data secara ilegal
Enkripsi menjadi penting meskipun mahal - apabila datanya besar sekali. Namun, dari sisi first line of defence yang jelas sangat bermanfaat. Biasanya, tim keamanan siber mengacak semua data dengan enkripsi. Hanya seseorang dengan kunci yang tepat yang dapat menyusun kembali data tersebut, sehingga jauh lebih mudah dan aman untuk ditransfer. Bahkan, jika seorang penipu mencuri informasi tersebut, data tersebut tidak berguna tanpa kunci.
Kedua, pencegahan dini pelanggaran dan kehilangan data. Sistem pencegahan kehilangan data merujuk pada serangkaian alat yang dirancang untuk mencegah kejadian data yang hilang atau disalahgunakan. Contohnya termasuk sistem deteksi inklusi atau perangkat lunak.
Siapa pun yang menggunakan internet atau ponsel dapat menjadi target phishing dengan cara menginfeksi perangkat dengan malware untukmendapatkan uang atau identitas. antivirus. Beberapa solusi bahkan menawarkan perlindungan khusus untuk ancaman malware atau ransomware yang diketahui. Sudah banyak tersedia teknik dan alat yang bisa digunakan untuk memitigasi pelanggaran data, dan menawarkan cara yang komprehensif untuk mem- perketat keamanan informasi di bank. Namun, masih belum banyak kesadaran bahwa enkripsi itu penting.
Ketiga, menerapkan budaya keamanan siber. Menurut Laporan Investigasi Pelanggaran Data Verizon (2022), lebih dari 80% pelanggaran melibatkan unsur manusia, termasuk serangan rekayasa sosial, kesalahan, dan penyalahgunaan kredensial yang dicuri. Pelaku ancaman berupaya memanfaatkan kelemahan ini untuk menyusup ke jaringan dan sistem organisasi. Di sinilah kesadaran keamanan siber berperan. Perusahaan harus menganggap kepatuhan sebagai dasar harapan minimum, bukan tujuan aspirasional. Kepatuh- an terhadap peraturan harus diterap- kan secara proaktif, bukan reaktif.
Catatan Akhir
McKinsey Company Report (2024) menyebutkan bahwa 65% responden menyatakan ada kekhawatiran bagaimana mendapatkan dan mempertahankan talenta keamanan siber yang memiliki keterampilan yang sesuai. Sementara, perusahaan dapat mengalihdayakan sebagian pekerjaan keamanan siber. Lebih dari separuh responden berencana untuk mengandalkan sumber daya internal guna menutup kesenjangan kapabilitas yang terkait dengan teknologi yang sedang berkembang.
Mungkin harus kita akui bahwa sebagian besar kesalahan manusia menjadi faktor utama yang berkontribusi terhadap banyaknya pelanggaran data. Faktanya banyak perusahaan - yang meskipun memi- liki sistem dan langkah pertahanan terbaik di kelasnya - masih mengalami pelanggaran keamanan. Atau, jangan-jangan mereka tidak pernah melakukan upaya
peningkatan kualitas sumber daya manusia yang menangani IT. Hal ini sering disanggah banyak perusahaan bahwa mereka sudah cukup banyak melakukan pelatihan. Harusnya tidak berhenti sampai di situ.
Berdasarkan pengalaman saya selama bekerja di berbagai bank dan lembaga keuangan bukan bank selama ini kehadiran berbagai bentuk serangan siber motif utamanya adalah mengganggu psikologi manusia. Mungkin ini juga akan sulit untuk diakui bahwa serangan siber bagian dari serangan psikologis. Meskipun belum dapat dikatakan bahwa apa yang telah dilakukan para pelaku serangan siber berhasil, akan tetapi bagi sebagian perusahaan sering kali membuat kepanikan. Karena panik, maka kerap kali hal- hal yang rasional terabaikan dan hal- hal yang mudah dianggap sulit. Bibit yang menyuburkan kepanikan secara psikologis menurut saya karena adanya keyakinan yang berlebihan saja atas apa yang telah dilakukan.
Mungkin sudah menjadi semacam konsekuensi logis ketika ada unsur kebaikan selalu saja ada pihak yang memanfaatkannya. Begitu pun dengan kemajuan inovasi teknologi di era digitalisasi, yang tampaknya juga diikuti oleh sebagian pihak untuk memanfaat kannya dengan berbagai motif. Yang disayangkan, motifnya itu untuk melakukan kejahatan.
