Terkena Ransomware? Ini Langkah 24 Jam Pertama

Begitu ransomware terdeteksi, tugas pertamamu adalah menghentikan penyebarannya: putuskan perangkat yang terinfeksi dari jaringan, jangan matikan, dan jangan hapus apa pun dulu.

Kenapa urutannya penting? Ransomware modern jarang berhenti di satu komputer. Ia mencari folder bersama, server file, bahkan lokasi backup yang terhubung, lalu mengunci semuanya. Keputusan yang diambil dalam beberapa jam pertama sering menentukan apakah kerusakan berhenti di satu laptop atau menjalar ke seluruh kantor.

Panduan ini disusun per rentang waktu. Tidak semua langkah harus selesai tepat di jam yang disebut, tapi urutannya sebaiknya dijaga.

Jam 0 sampai 1: hentikan penyebaran

Kenali dulu tandanya. Biasanya file tidak bisa dibuka, nama atau ekstensinya berubah menjadi aneh, dan muncul file teks atau gambar latar berisi catatan tebusan. Kadang komputer terasa sangat lambat karena proses enkripsi sedang berjalan.

Yang perlu dilakukan segera:

• Cabut kabel jaringan dan matikan Wi-Fi di perangkat yang terkena. Untuk server atau VPS, putuskan akses jaringan dari panel atau firewall bila bisa.
• Jangan matikan perangkat bila sudah bisa diputus dari jaringan. Memori yang masih berjalan bisa menyimpan jejak penting untuk analisis. Kalau perangkat tidak bisa diputus dari jaringan sama sekali, mematikannya lebih baik daripada membiarkan enkripsi menyebar.
• Putuskan drive eksternal dan share jaringan yang masih terhubung, terutama media backup.
• Cek perangkat lain di jaringan yang sama. Kalau ada yang menunjukkan gejala serupa, isolasi juga.
• Nonaktifkan sinkronisasi cloud sementara, agar file terenkripsi tidak ikut menimpa versi bersih di cloud.

Jam 1 sampai 4: simpan bukti dan kunci akses

Bukti dibutuhkan untuk tiga hal: mencari tahu bagaimana penyerang masuk, laporan ke pihak berwenang, dan klaim asuransi bila ada.

Foto layar catatan tebusan dengan HP, lalu simpan salinan file catatan itu dan beberapa contoh file yang terenkripsi. Catat waktu pertama kali gejala terlihat, siapa yang melapor, dan perangkat mana saja yang terdampak. Kalau ada log server, firewall, atau antivirus, salin sebelum terhapus otomatis.

Setelah itu, ganti password akun penting dari perangkat yang bersih, bukan dari komputer yang terinfeksi. Prioritaskan akun admin domain atau server, email, panel hosting, dan akses jarak jauh seperti RDP atau VPN. Banyak ransomware masuk lewat akses jarak jauh yang passwordnya lemah, jadi akses ini perlu ditutup dulu sampai penyebabnya jelas.

Jam 4 sampai 8: ransomware jenis apa yang menyerang?

Mengetahui jenisnya membantu menentukan langkah berikutnya. Ada dua layanan yang sering dipakai untuk ini.

ID Ransomware membantu mengenali jenis ransomware dari catatan tebusan atau contoh file terenkripsi yang kamu unggah. No More Ransom adalah inisiatif National High Tech Crime Unit kepolisian Belanda dan European Cybercrime Centre Europol bersama perusahaan keamanan, yang mengumpulkan alat dekripsi untuk sejumlah keluarga ransomware. Di sana ada fitur Crypto Sheriff untuk mencari tahu apakah alat dekripsi untuk jenis yang menyerangmu sudah tersedia.

No More Ransom sendiri menyatakan belum semua jenis ransomware punya solusi. Alat dekripsi gratis hanya ada untuk sebagian jenis, biasanya yang punya kelemahan dalam enkripsinya atau yang kuncinya berhasil disita penegak hukum. Untuk jenis lain, jalan keluarnya tetap backup.

Unggah hanya catatan tebusan dan contoh file yang tidak berisi data sensitif. Jangan mengunggah dokumen keuangan atau data pelanggan ke layanan mana pun.

Jam 8 sampai 12: siapa saja yang perlu diberi tahu?

Lingkaran pertama adalah internal: pimpinan, tim IT atau vendor IT, dan bagian hukum bila ada. Satu orang sebaiknya ditunjuk sebagai koordinator agar informasi tidak simpang siur.

Lingkaran berikutnya tergantung situasi:

• Penyedia hosting atau cloud, bila server di tempat mereka ikut terdampak.
• Asuransi siber, bila perusahaan punya polis. Biasanya ada prosedur pelaporan yang harus diikuti sejak awal.
• Pihak berwenang, untuk laporan kejahatan siber.
• Pelanggan atau pihak yang datanya terdampak, bila ada kemungkinan data pribadi bocor. Banyak ransomware sekarang juga mencuri data sebelum mengenkripsi, lalu mengancam menyebarkannya. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (Pasal 46) mewajibkan pengendali data memberi pemberitahuan tertulis paling lambat 3 x 24 jam kepada pemilik data dan lembaga pengawas bila terjadi kegagalan pelindungan data pribadi. Libatkan bagian hukum sejak awal karena tenggatnya pendek.

Jam 12 sampai 24: pulihkan atau bayar?

Di titik ini kamu perlu memutuskan cara kembali beroperasi. Ringkasan pilihannya:

Kenapa membayar berisiko? Saran umum No More Ransom adalah tidak membayar tebusan, karena pembayaran hanya membuktikan bahwa ransomware berhasil dan tidak menjamin kunci dekripsi diberikan. Selain itu, data yang sudah dicuri tetap bisa dijual, dan korban yang pernah membayar bisa dianggap sasaran empuk untuk serangan berikutnya. Uang tebusan juga ikut membiayai kejahatan yang sama.

Kalau memilih pulihkan dari backup, jangan langsung menyalakan semuanya. Bersihkan atau instal ulang perangkat yang terinfeksi, tutup celah masuknya (password lemah, akses jarak jauh terbuka, aplikasi yang belum diperbarui), baru pulihkan data. Pilih titik backup dari sebelum infeksi, karena backup yang lebih baru mungkin sudah berisi file ransomware atau file yang terenkripsi sebagian.

Apa yang membuat pemulihan berikutnya lebih cepat?

Backup yang ikut terkunci hampir selalu backup yang tersambung terus ke jaringan yang sama. Prinsip dasarnya 3-2-1: tiga salinan data, di dua jenis media, satu di lokasi terpisah, dengan tambahan salinan offline yang dijelaskan di aturan backup 3-2-1-1-0. Simpan riwayat versi beberapa hari ke belakang, dan uji restore secara berkala supaya tahu backup benar-benar bisa dipakai sebelum hari buruk berikutnya.

Dari sisi pencegahan, pintu masuk ransomware mirip dengan peretasan lain: email phishing, akses jarak jauh yang lemah, dan perangkat lunak usang. Kenali polanya lewat cara mengenali phishing, dan bila yang diserang adalah server website, urutan penanganannya mirip dengan tanda website diretas.