MENGAMANKAN SUMBER DAYA PUBLIK DARI SERANGAN PERETAS

1. Pendahuluan

Transformasi digital pemerintahan telah memindahkan jantung layanan publik—data kependudukan, sistem keimigrasian, jaminan sosial, hingga administrasi pajak—ke dalam server dan pusat data. Perpindahan ini membawa efisiensi, tetapi juga menciptakan target baru yang sangat bernilai bagi peretas. Berbeda dengan serangan siber terhadap perusahaan swasta yang dampaknya umumnya terbatas pada pelanggan atau pemegang saham, serangan terhadap sumber daya publik dapat melumpuhkan negara: layanan imigrasi berhenti, rumah sakit kembali mencatat manual, pembayaran pajak tertunda, dan jutaan data pribadi warga berpindah tangan ke pasar gelap. Artikel ini mengulas mengapa sumber daya publik menjadi sasaran empuk peretas, ragam vektor serangan yang paling sering digunakan, dua studi kasus nyata yang menggambarkan skala kerusakannya, serta langkah-langkah pengamanan yang dapat ditempuh pemerintah untuk membangun ketahanan siber yang sesungguhnya.

2. Mengapa Sumber Daya Publik Menjadi Sasaran Empuk?

Beberapa karakteristik struktural membuat institusi publik lebih rentan dibanding sektor swasta:

• Nilai data yang sangat tinggi. Data kependudukan, kesehatan, dan keuangan warga bersifat permanen dan tidak dapat “diganti” seperti kata sandi—sekali bocor, dampaknya berlangsung seumur hidup pemiliknya, sehingga bernilai tinggi di pasar gelap maupun sebagai alat pemerasan.
• Anggaran dan sumber daya manusia keamanan siber yang terbatas. Banyak instansi pemerintah, khususnya di tingkat daerah, tidak memiliki tim keamanan siber khusus, sistem pemantauan 24 jam, atau anggaran memadai untuk pembaruan infrastruktur.
• Sistem legasi (legacy system). Sistem lama yang dibangun bertahun-tahun lalu, sering tanpa pembaruan keamanan berkelanjutan, menciptakan celah yang mudah dieksploitasi.
• Ketergantungan pada satu titik infrastruktur. Ketika banyak layanan dikonsolidasikan pada satu pusat data tanpa cadangan yang benar-benar terpisah, satu insiden dapat melumpuhkan puluhan layanan sekaligus.
• Nilai simbolis dan politis. Menyerang institusi negara memberi eksposur besar bagi kelompok peretas maupun aktor yang termotivasi geopolitik, sehingga sering dijadikan target demonstrasi kekuatan.

3. Ragam Vektor Serangan yang Umum Menyasar Institusi Publik

3.1 Ransomware

Ransomware adalah perangkat lunak jahat yang mengenkripsi data korban lalu menuntut tebusan untuk memulihkannya. Serangan jenis ini menjadi ancaman paling dominan terhadap sektor publik dalam beberapa tahun terakhir karena efektif melumpuhkan operasional secara instan dan memberi tekanan finansial langsung kepada korban.

3.2 Phishing dan Rekayasa Sosial

Sebagian besar insiden besar berawal dari titik masuk yang sederhana: tautan atau lampiran berbahaya yang diklik oleh pegawai, kredensial yang dicuri melalui situs tiruan, atau panggilan telepon yang menyamar sebagai staf IT internal. Faktor manusia tetap menjadi celah keamanan yang paling sering dieksploitasi, betapapun canggihnya sistem teknis yang dipasang.

3.3 Eksploitasi Kerentanan Perangkat Lunak (Zero-Day & Unpatched Systems)

Peretas secara aktif memindai sistem pemerintah untuk mencari celah pada perangkat lunak yang belum diperbarui (unpatched) atau kerentanan yang belum diketahui publik (zero-day). Fitur keamanan bawaan yang dinonaktifkan atau dikonfigurasi longgar juga kerap menjadi pintu masuk utama.

3.4 Serangan DDoS (Distributed Denial of Service)

Serangan ini membanjiri server layanan publik dengan lalu lintas palsu dalam jumlah masif hingga sistem tidak sanggup melayani permintaan yang sah, sehingga situs atau aplikasi layanan publik menjadi tidak dapat diakses.

3.5 Ancaman dari Dalam (Insider Threat)

Tidak semua ancaman datang dari luar. Pegawai atau kontraktor yang memiliki akses sah namun disalahgunakan—baik karena kelalaian, tekanan ekonomi, maupun niat jahat—dapat membocorkan atau merusak data tanpa perlu meretas sistem dari luar.

3.6 Risiko Rantai Pasok (Supply Chain Attack)

Karena banyak sistem pemerintah dibangun dan dioperasikan oleh vendor pihak ketiga, kompromi terhadap satu vendor teknologi dapat menjadi pintu masuk ke banyak instansi klien sekaligus.

4. Studi Kasus

4.1 Serangan Ransomware terhadap Pusat Data Nasional Sementara (PDNS), Indonesia — 2024

Pada 20 Juni 2024, Pusat Data Nasional Sementara mengalami gangguan besar akibat serangan siber menggunakan ransomware, yang berdampak signifikan terhadap sejumlah layanan publik penting di Indonesia. Investigasi Badan Siber dan Sandi Negara (BSSN) menemukan bahwa fitur keamanan Windows Defender pada sistem tersebut dinonaktifkan sejak beberapa hari sebelum serangan puncak terjadi, membuka jalan bagi eksekusi ransomware secara penuh. Pelaku diidentifikasi sebagai kelompok Brain Cipher, varian dari ransomware LockBit 3.0. Its

Dampaknya sangat luas: layanan imigrasi, penerbitan e-KTP, Pos Indonesia, dan BPJS Kesehatan turut terganggu, dengan estimasi kerugian finansial mencapai triliunan rupiah. Kelompok peretas menuntut tebusan sebesar 8 juta dolar AS, namun pemerintah Indonesia menegaskan tidak akan membayar tuntutan tersebut. Yang paling mengejutkan publik adalah pengakuan Kepala BSSN bahwa tidak terdapat cadangan (backup) untuk data-data yang tersimpan di PDNS 2—sebuah kelalaian tata kelola dasar yang seharusnya menjadi standar minimum keamanan data pusat sekelas nasional. Sebuah studi kasus akademik atas insiden ini menyimpulkan bahwa manajemen risiko PDNS pada dasarnya tidak menganggap skenario serangan ransomware sebagai ancaman serius, dan merekomendasikan pergeseran paradigma dari sekadar kepatuhan administratif menuju ketahanan (resilience) yang sesungguhnya, termasuk investasi wajib pada cadangan data yang benar-benar terpisah secara fisik maupun jaringan. Berca Hardayaperkasa + 2

4.2 Serangan Conti terhadap Pemerintah Kosta Rika — 2022

Pada April 2022, kelompok ransomware Conti yang berbasis di Rusia menyerang Kementerian Keuangan Kosta Rika, melumpuhkan sistem pajak dan bea cukai negara tersebut. Serangan kemudian menyebar hingga menjangkau 27 lembaga pemerintah, termasuk kementerian tenaga kerja dan lembaga meteorologi nasional, dengan tuntutan tebusan yang meningkat dari 10 juta dolar AS menjadi 20 juta dolar AS. Presiden yang baru dilantik, Rodrigo Chaves, akhirnya mendeklarasikan status darurat nasional pada 8 Mei 2022—untuk pertama kalinya sebuah negara mengeluarkan status darurat nasional akibat serangan siber, sembari menyatakan bahwa negaranya “sedang berperang” melawan kelompok peretas tersebut. Pemerintah menolak membayar tebusan. Hanya beberapa minggu kemudian, kelompok ransomware lain bernama Hive menyerang sistem jaminan sosial Kosta Rika, memaksa rumah sakit kembali menggunakan catatan kertas dan menunda puluhan ribu janji temu medis.

Kedua kasus di atas—meski terjadi di negara dan tahun yang berbeda—menunjukkan pola yang sama persis: tata kelola keamanan yang lemah, absennya cadangan data yang independen, dan respons yang reaktif alih-alih preventif, membuat institusi publik menjadi sasaran yang jauh lebih mudah dilumpuhkan dibanding yang seharusnya.

5. Strategi Pengamanan Sumber Daya Publik

5.1 Fondasi Teknis

• Cadangan data dengan prinsip 3-2-1. Simpan tiga salinan data, pada dua jenis media berbeda, dengan satu salinan disimpan secara terpisah secara fisik dan jaringan (offline/air-gapped), sehingga ransomware yang mengenkripsi sistem utama tidak dapat menjangkau cadangan tersebut.
• Segmentasi jaringan dan model Zero Trust. Jangan biarkan satu server yang disusupi memberi akses penuh ke seluruh jaringan; terapkan prinsip “tidak ada yang dipercaya secara default”, verifikasi setiap permintaan akses, dan batasi hak akses berdasarkan kebutuhan (least privilege).
• Manajemen tambalan (patch management) yang disiplin. Jadwalkan pembaruan perangkat lunak dan sistem operasi secara rutin, serta prioritaskan penambalan kerentanan kritis begitu tersedia.
• Autentikasi multifaktor (MFA) di seluruh titik akses, terutama untuk akun administrator dan sistem yang menyimpan data sensitif.
• Enkripsi data saat disimpan maupun dikirim (at rest & in transit), sehingga data yang berhasil dicuri tetap sulit dibaca oleh pihak yang tidak berwenang.
• Pusat operasi keamanan (Security Operations Center/SOC) dengan pemantauan berkelanjutan, agar aktivitas mencurigakan—seperti penonaktifan fitur keamanan sebagaimana terjadi pada insiden PDNS—dapat terdeteksi sejak dini, bukan setelah data terenkripsi sepenuhnya.

5.2 Tata Kelola dan Kebijakan

• Rencana kesinambungan bisnis dan pemulihan bencana (Business Continuity Plan/Disaster Recovery Plan) yang diuji secara berkala melalui simulasi serangan (tabletop exercise), bukan hanya dokumen di atas kertas.
• Adopsi kerangka standar internasional seperti ISO/IEC 27001 atau NIST Cybersecurity Framework sebagai acuan tata kelola keamanan informasi lembaga publik.
• Audit keamanan independen secara berkala, dilakukan oleh pihak di luar vendor pembangun sistem untuk menghindari konflik kepentingan.
• Klasifikasi dan pemetaan aset kritis (critical information infrastructure), sehingga sumber daya paling penting mendapat prioritas perlindungan dan anggaran yang sepadan dengan risikonya.
• Kerja sama lintas lembaga dan lintas negara, melibatkan badan siber nasional (di Indonesia, BSSN), penegak hukum siber, serta mitra internasional untuk investigasi forensik dan pertukaran intelijen ancaman.

5.3 Faktor Manusia dan Budaya Organisasi

• Pelatihan kesadaran keamanan siber (security awareness training) secara rutin bagi seluruh pegawai, bukan hanya staf IT, mengingat phishing dan rekayasa sosial tetap menjadi titik masuk paling umum.
• Simulasi phishing internal untuk mengukur dan meningkatkan kewaspadaan pegawai terhadap upaya rekayasa sosial.
• Budaya pelaporan insiden tanpa rasa takut disalahkan (blameless reporting), agar pegawai yang menyadari kesalahan atau kejanggalan berani melapor sejak dini alih-alih menyembunyikannya.

5.4 Kerangka Regulasi Pendukung

Di Indonesia, Undang-Undang Nomor 27 Tahun 2022 tentang Perlindungan Data Pribadi mewajibkan pengendali data—termasuk lembaga pemerintah—untuk melaporkan insiden kebocoran data dalam waktu maksimal 72 jam serta menerapkan langkah teknis dan organisasional yang memadai untuk melindungi data pribadi. Penegakan yang konsisten atas kewajiban ini, disertai sanksi yang berarti bagi lembaga yang lalai, menjadi insentif penting agar keamanan siber tidak lagi diperlakukan sebagai kepatuhan administratif semata, melainkan sebagai tanggung jawab inti pengelolaan layanan publik.

6. Kesimpulan

Serangan terhadap Pusat Data Nasional Sementara di Indonesia dan serangan Conti terhadap pemerintah Kosta Rika membuktikan bahwa institusi publik di negara mana pun—baik negara berkembang maupun yang lebih maju secara ekonomi—sama-sama rentan ketika tata kelola keamanan siber tidak dijalankan secara serius. Ironisnya, penyebab utama dari kedua insiden besar ini bukanlah teknik peretasan yang superkompleks, melainkan kelalaian dasar: fitur keamanan yang dinonaktifkan, cadangan data yang tidak tersedia, dan sistem lama yang tidak diperbarui. Ini menegaskan bahwa mengamankan sumber daya publik dari serangan peretas bukan sekadar soal membeli perangkat lunak keamanan tercanggih, melainkan soal membangun disiplin tata kelola yang konsisten—mencakup aspek teknis, kebijakan, sumber daya manusia, dan regulasi sekaligus. Ketahanan siber sejati hanya dapat dicapai ketika keamanan dipandang sebagai investasi berkelanjutan dalam melindungi kepercayaan publik, bukan sebagai beban anggaran yang ditunda hingga bencana benar-benar terjadi.