--- title: "Cara Kerja Ransomware dan Cara Mencegahnya" description: "Ransomware tidak langsung mengenkripsi. Pahami tahapannya dari akses awal sampai pemerasan ganda, dan kontrol pencegah yang cocok untuk tiap tahap di UMKM." url: "https://nivelva.com/insight/cara-kerja-ransomware" category: "Keamanan/Cyber Security" tags: ["ransomware","keamanan siber","pencegahan","umkm","backup"] author: "Theresia Candiawan" published: "2026-11-06T08:55:00+07:00" updated: "2026-11-06T08:55:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Cara Kerja Ransomware dan Cara Mencegahnya > **Jawaban singkat:** Serangan ransomware berjalan bertahap: akses awal, memperluas kendali, bergerak ke server lain, mencuri data, menghapus backup, lalu mengenkripsi dan memeras. Tiap tahap bisa dihambat: MFA dan patch, segmentasi dan hak akses minimum, serta backup terpisah. Kamu mengira ransomware itu virus yang sekali klik langsung mengunci semua file? Kenyataannya, banyak serangan ransomware ke bisnis berjalan seperti pencurian yang direncanakan, dengan beberapa tahap yang bisa berlangsung berhari-hari sebelum satu file pun terenkripsi. Karena bertahap, ada beberapa titik untuk menghambat atau mendeteksinya sebelum enkripsi dimulai. Berikut alurnya, beserta kontrol yang paling masuk akal untuk bisnis kecil dan menengah. Tidak semua kontrol harus dipasang sekaligus. Mulailah dari yang paling murah dan paling berdampak: MFA, patch perangkat yang terbuka ke internet, dan satu salinan backup yang tidak bisa dijangkau dari jaringan kantor. ## Tahapan serangan ransomware dan cara menghadangnya ### Tahap 1: Akses awal Penyerang perlu pintu masuk. Jalur yang paling umum adalah kredensial yang bocor atau lemah (untuk VPN, RDP, panel hosting, email), celah di perangkat atau aplikasi yang terbuka ke internet, dan email phishing yang membuat karyawan menjalankan lampiran atau memasukkan password ke halaman palsu. Kontrol yang cocok: - Wajibkan autentikasi multi faktor (MFA) untuk email, VPN, dan semua panel admin. Panduan ransomware CISA menganjurkan MFA yang tahan phishing, misalnya passkey atau kunci keamanan, bila tersedia. - Jangan buka RDP atau SSH dengan password langsung ke internet. Pakai VPN, dan untuk SSH pakai kunci, seperti dijelaskan di [SSH key vs password](https://nivelva.com/insight/ssh-key-vs-password). - Tambal perangkat tepi jaringan dan aplikasi web lebih dulu, terutama celah yang tercantum di katalog KEV CISA. - Latih karyawan mengenali email palsu. Contoh paling umum: tautan yang meminta login ulang dan lampiran yang meminta mengaktifkan macro. ### Tahap 2: Memperkuat pijakan dan menaikkan hak akses Setelah masuk, penyerang memasang cara agar bisa kembali, misalnya akun baru, scheduled task, atau alat akses jarak jauh. Lalu mereka mencari kredensial dengan hak lebih tinggi, misalnya akun admin domain atau akun yang dipakai untuk backup. Kontrol yang cocok: pisahkan akun harian dan akun admin, jangan pakai satu akun admin bersama, simpan password di password manager tim, dan pasang antivirus atau EDR yang memberi peringatan bila ada yang mencoba mematikannya. ### Tahap 3: Bergerak ke server lain Dari satu komputer, penyerang memetakan jaringan dan berpindah ke server file, database, dan hypervisor. Semakin datar jaringannya, semakin mudah perpindahan ini. Kontrol yang cocok: segmentasi jaringan sehingga komputer karyawan tidak bisa langsung menjangkau server, batasi port antar server hanya untuk yang dibutuhkan, dan aktifkan log login agar perpindahan yang aneh bisa terlihat. Di kantor kecil, segmentasi bisa sesederhana memisahkan Wi-Fi tamu, jaringan komputer karyawan, dan jaringan server ke VLAN berbeda dengan aturan firewall di antaranya. ### Tahap 4: Mencuri data Banyak kelompok ransomware menyalin data penting ke luar sebelum mengenkripsi. Tujuannya pemerasan ganda: bayar agar data bisa dibuka, dan bayar lagi agar data tidak disebar. Kontrol yang cocok: enkripsi data sensitif, batasi siapa yang bisa mengakses folder berisi data pelanggan, dan pantau lalu lintas keluar yang tiba-tiba besar di luar jam kerja. ### Tahap 5: Melumpuhkan backup dan perlindungan Sebelum mengenkripsi, penyerang biasanya menghapus shadow copy, mematikan antivirus, dan mencari backup yang bisa dijangkau. Panduan ransomware CISA mencatat banyak varian ransomware sengaja mencari lalu menghapus atau mengenkripsi backup yang bisa diakses. Backup di disk yang tersambung terus atau di NAS dengan akun yang sama dengan domain adalah sasaran empuk. Kontrol yang cocok: simpan minimal satu salinan backup yang offline atau immutable (tidak bisa diubah atau dihapus sampai masa simpan habis), dengan kredensial terpisah dari akun sehari-hari. Rinciannya ada di [aturan backup 3-2-1-1-0](https://nivelva.com/insight/aturan-backup-tahan-ransomware). ### Tahap 6: Enkripsi dan pemerasan Baru di tahap ini file terkunci dan catatan tebusan muncul. Enkripsi sering dijalankan bersamaan di banyak server, kadang di luar jam kerja agar tidak segera ketahuan. Kontrol yang cocok di tahap ini sudah bersifat pemulihan: rencana respons insiden yang tertulis, daftar kontak yang harus dihubungi, dan backup yang sudah pernah diuji dipulihkan. Cara menguji pemulihan dibahas di uji restore backup. ## Ringkasan tahap dan kontrol | Tahap | Yang dilakukan penyerang | Kontrol utama | |:--|:--|:--| | Akses awal | Pakai kredensial bocor, celah, phishing | MFA, patch, VPN, edukasi phishing | | Pijakan dan hak akses | Buat akun, cari akun admin | Pisahkan akun admin, password manager, EDR | | Bergerak ke server lain | Memetakan dan menjangkau server | Segmentasi jaringan, batasi port, log login | | Mencuri data | Menyalin data ke luar | Batasi akses data, pantau lalu lintas keluar | | Melumpuhkan backup | Hapus shadow copy dan backup | Backup offline/immutable, kredensial terpisah | | Enkripsi dan pemerasan | Mengunci file, meminta tebusan | Rencana respons, backup yang teruji | ## Pertanyaan yang sering diajukan ### Apakah antivirus saja cukup untuk mencegah ransomware? Tidak. Antivirus membantu di beberapa tahap, tapi penyerang sering mematikannya lebih dulu. Pencegahan yang efektif menggabungkan MFA, patch, segmentasi, dan backup yang terpisah. ### Kenapa backup biasa sering ikut terenkripsi? Karena backup yang tersambung terus ke jaringan atau memakai akun yang sama dengan server bisa dijangkau penyerang. Minimal satu salinan harus offline atau immutable. ### Apakah membayar tebusan menjamin data kembali? Tidak ada jaminan. Kunci dekripsi bisa tidak bekerja sempurna, dan data yang sudah dicuri tetap bisa disebar. Backup yang teruji adalah jalan pulih yang bisa kamu kendalikan sendiri. ### Bisnis kecil apakah juga jadi sasaran? Ya. Banyak serangan bersifat oportunis: penyerang memindai internet untuk mencari celah atau kredensial lemah, tanpa peduli ukuran bisnisnya. ### Apa yang dilakukan pertama kali bila terkena ransomware? Isolasi komputer dan server yang terdampak dari jaringan. Panduan CISA menyarankan mematikan perangkat hanya bila tidak bisa diputus dari jaringan, karena mematikan menghapus bukti di memori. Jangan langsung menghapus apa pun, lalu jalankan rencana respons insiden. ## Checklist pencegahan - MFA aktif di email, VPN, dan panel admin. - Tidak ada RDP atau SSH berbasis password yang terbuka langsung ke internet. - Patch celah yang sedang dieksploitasi dicek setiap minggu. - Akun admin terpisah dari akun harian, password disimpan di password manager. - Komputer karyawan tidak bisa langsung menjangkau server penting. - Satu salinan backup offline atau immutable, dengan kredensial terpisah. - Pemulihan backup diuji rutin dan hasilnya dicatat. - Ada rencana respons insiden tertulis yang diketahui tim. ## Sumber - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/cara-kerja-ransomware Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com