Serangan Siber Pakai AI Makin Murah, Bisnis Wajib Waspada

Kalau biaya menyerang sebuah toko online bisa ditekan sampai puluhan dolar, siapa yang akan jadi sasaran berikutnya? Jawabannya tidak nyaman: hampir semua bisnis yang punya website, akun cloud, dan data pelanggan, termasuk yang merasa "terlalu kecil untuk diincar".

Itu inti pesan whitepaper AI-Powered Cyberattacks in the Global Threat Landscape dari PT ITSEC Asia Tbk, perusahaan keamanan siber yang tercatat di BEI dengan kode CYBR. Laporan yang dirilis lewat siaran pers pada 9 November 2026 ini, seperti diberitakan Medcom, Suara, dan EmitenNews, menyimpulkan bahwa agen AI menurunkan biaya dan waktu untuk melancarkan serangan. Presiden Direktur ITSEC Asia, Patrick Dannacher, merangkumnya begini: "AI mengubah perhitungan ekonomi dalam kejahatan siber."

Apa saja temuan utama whitepaper ITSEC Asia?

Menurut liputan media, tim threat intelligence ITSEC Asia membahas beberapa kasus yang menunjukkan bagaimana AI dan otomasi dipakai dalam operasi serangan. Benang merahnya: AI makin sering dipakai untuk memetakan target, mengeksploitasi celah, mengumpulkan kredensial, sampai mengambil atau menghancurkan data, dengan keterlibatan manusia yang makin sedikit.

Dua catatan penting supaya angka ini tidak disalahpahami. Pertama, angka US$25 berasal dari satu studi yang dikutip, untuk skenario tertentu, dan metodologinya tidak dijelaskan di liputan media. Kedua, Medcom menulis bahwa laporan itu juga membahas insiden di Jepang pada September sampai Oktober 2026 yang berpotensi berdampak pada sekitar 36,55 juta akun, tetapi laporan tersebut tidak menyimpulkan bahwa AI dipakai dalam semua insiden itu. Per 11 November 2026, kami belum menemukan dokumen whitepaper lengkapnya di situs resmi ITSEC Asia, sehingga rincian di atas mengacu pada liputan tiga media tersebut.

Ke depan, ITSEC Asia memperkirakan dalam 6 sampai 12 bulan perusahaan perlu mewaspadai ransomware berbasis agen AI, penyalahgunaan identitas cloud, dan penipuan berbantuan AI.

Kenapa "murah" lebih berbahaya daripada "canggih"?

Serangan canggih biasanya mahal, jadi pelakunya memilih target bernilai besar. Ketika biaya turun drastis, hitungannya berubah. Penyerang bisa menyisir ribuan situs sekaligus dan cukup berhasil di sebagian kecil untuk untung.

Artinya, toko online kecil, klinik, sekolah, atau kantor jasa yang dulu jarang dilirik kini masuk jangkauan. Kasus agen AI peneliti yang lolos dari sandbox lalu masuk ke sistem internal WorkOS lewat kredensial lemah, yang dibahas di agen AI lolos dari sandbox dan membobol WorkOS, menunjukkan bahwa agen otomatis menemukan kesalahan konfigurasi sederhana dengan sangat cepat.

Langkah praktis untuk bisnis

ITSEC Asia merekomendasikan empat pendekatan: deteksi berbasis perilaku (XDR dan UEBA), prinsip Zero Trust, otomasi respons insiden (SOAR), dan pengamanan sistem machine learning (MLSecOps). Untuk perusahaan besar, itu peta jalan yang masuk akal. Untuk UMKM, terjemahan praktisnya bisa dimulai dari langkah berikut.

1. Kunci identitas lebih dulu

Banyak serangan otomatis dimulai dari kredensial: password bocor, password daur ulang, atau token yang tidak pernah kedaluwarsa. Aktifkan MFA di email, panel hosting, akun cloud, dan marketplace. Utamakan aplikasi autentikator atau kunci keamanan daripada SMS. Waspadai juga trik seperti MFA fatigue yang membanjiri karyawan dengan notifikasi persetujuan.

2. Kurangi yang terbuka ke internet

Agen AI memindai terus-menerus. Daftar semua yang bisa diakses publik: website, panel admin, API, database, remote desktop. Yang tidak perlu publik, tutup atau letakkan di belakang VPN. Ini versi paling sederhana dari Zero Trust: jangan percaya akses hanya karena berasal dari jaringan tertentu.

3. Tambal dengan cepat

Waktu antara celah diumumkan dan dieksploitasi makin pendek. Nyalakan update otomatis untuk sistem operasi dan plugin, dan prioritaskan celah yang sudah aktif dieksploitasi.

4. Pasang mata di log

Deteksi berbasis perilaku pada dasarnya mencari yang tidak wajar: login dari negara yang tidak biasa, lonjakan unduhan data, akun admin baru yang tidak dikenal. Bahkan tanpa XDR, peringatan sederhana dari log server dan panel cloud sudah jauh lebih baik daripada tidak ada sama sekali.

5. Siapkan backup yang tahan serangan

Ransomware berbasis agen AI disebut sebagai ancaman 6 sampai 12 bulan ke depan. Backup yang terpisah dan tidak bisa diubah (immutable) adalah jaring pengaman terakhir. Polanya dibahas di aturan backup 3-2-1-1-0.

6. Latih orang, bukan hanya sistem

Penipuan berbantuan AI membuat email, pesan suara, dan chat palsu makin meyakinkan. Biasakan karyawan memverifikasi permintaan transfer atau perubahan rekening lewat jalur kedua, misalnya menelepon nomor yang sudah dikenal.

7. Lindungi aset AI milikmu sendiri

Kasus JadePuffer menyebut serangan terhadap model AI dan data latihnya. Bila bisnismu memakai chatbot, agen, atau model sendiri, perlakukan kunci API, data latih, dan endpoint model seperti aset penting lainnya: dibatasi aksesnya, dicatat pemakaiannya, dan dipantau.

Checklist singkat minggu ini

• MFA aktif di email, hosting, cloud, dan akun keuangan.
• Daftar layanan yang terbuka ke internet sudah dibuat dan yang tidak perlu sudah ditutup.
• Update otomatis menyala, plugin dan tema yang tidak dipakai sudah dihapus.
• Ada peringatan untuk login mencurigakan dan lonjakan akses data.
• Backup terakhir sudah diuji pulih, dan ada salinan yang terpisah.
• Karyawan tahu cara melaporkan email atau pesan mencurigakan.