Banyak instansi kini tidak lagi menjalankan sendiri aplikasi kepegawaian, penggajian, persuratan, atau keuangannya. Aplikasinya disewa sebagai layanan (Software as a Service, SaaS) atau dikelola penyedia pihak ketiga. Praktis, tetapi ada konsekuensinya: bila penyedia layanan itu terkena ransomware, instansi pelanggannya ikut lumpuh meskipun jaringan mereka sendiri tidak pernah diserang.

Itulah peringatan BSSN dalam edarannya pada 29 September 2026. Peringatan ini berangkat dari insiden nyata pada SmartHRMS, sistem yang mencakup manajemen dokumen, administrasi sumber daya manusia, pengadaan, hingga tata kelola keuangan. Insiden terdeteksi pada 30–31 Agustus 2026 dan berdampak pada sejumlah organisasi pengguna. Basis data dan backup dilaporkan terenkripsi, sehingga proses payroll terganggu dan organisasi pengguna harus mencari cara lain agar layanannya tetap berjalan.

Gambaran Ancamannya

Dari pemantauan BSSN sepanjang 2025–2026, tercatat 79 serangan ransomware yang melibatkan 34 kelompok. Ciri yang banyak ditemukan:

• Double extortion: data dicuri lebih dulu sebelum dienkripsi, lalu korban ditekan dengan ancaman publikasi data selain tuntutan tebusan.
• Living-off-the-land: pelaku memakai perangkat bawaan sistem yang sah sehingga aktivitasnya sulit dibedakan dari pekerjaan administrator.
• Serangan lintas platform, tidak terbatas pada satu jenis sistem operasi.
• Kemampuan menyebar sendiri antarsistem (worm-like propagation).

Dari Mana Pelaku Masuk

Menurut BSSN, akses ke layanan pihak ketiga bisa menjadi jalan masuk menuju sistem organisasi. Jalur yang paling mungkin disalahgunakan:

• akun administrator dan kredensial lain;
• akses jarak jauh atau pemeliharaan (remote/maintenance);
• API dan akun layanan (service account);
• integrasi jaringan antara penyedia dan pelanggan;
• aplikasi dan sistem lain yang saling terhubung.

Pola serangannya digambarkan bertahap. Pelaku lebih dulu menguasai kredensial atau akses pihak ketiga, lalu menaikkan hak akses, berpindah ke sistem yang terhubung, dan mengambil data. Baru setelah memegang kendali yang cukup, pencadangan dimatikan atau dirusak, dan enkripsi dijalankan. Pada lingkungan pemerintahan yang sistemnya saling terintegrasi, satu akun atau akses pihak ketiga berhak tinggi yang dikuasai pelaku dapat memperluas penyebaran ke sistem lain.

Dampak yang Dapat Terjadi

1. Aplikasi, basis data, dan sistem administrasi berhenti atau terganggu.
2. Proses penting seperti kepegawaian, penggajian, administrasi, dan layanan publik tersendat.
3. Pemulihan tertunda karena backup ikut dienkripsi atau dinonaktifkan.
4. Data terpapar bila pelaku sempat mengambilnya sebelum enkripsi.
5. Dampak merembet ke banyak organisasi sekaligus bila mereka memakai penyedia layanan yang sama.

BSSN menggarisbawahi satu pelajaran dari kasus SmartHRMS: gangguan pada layanan pihak ketiga dapat mengacaukan proses kerja pengguna meskipun sistem utama organisasi itu sendiri bukan titik masuk awal serangan.

Langkah yang Dianjurkan BSSN

Bagi penyelenggara sistem elektronik dan pengelola sistem pemerintahan, BSSN menganjurkan:

1. Mengidentifikasi layanan pihak ketiga yang kritikal: SaaS, cloud, managed service, API, dan koneksi jarak jauh.
2. Memastikan autentikasi berlapis (MFA) dipasang pada akun administrator dan akses berhak istimewa.
3. Memeriksa hak akses dan membatasi akses pihak ketiga sebatas yang dibutuhkan.
4. Melindungi backup dari penghapusan atau enkripsi oleh pihak tidak berwenang, serta menguji pemulihan (restore test) secara berkala.
5. Meningkatkan pemantauan atas login yang tidak wajar, perubahan hak akses, aktivitas administrator, koneksi jarak jauh, dan lalu lintas keluar yang tidak lazim.
6. Memastikan kontrak atau SLA dengan penyedia layanan mengatur keamanan, pemberitahuan insiden, investigasi, kesinambungan layanan, dan pemulihan.
7. Menyiapkan mekanisme respons insiden, termasuk mengisolasi sistem terdampak dan mengamankan bukti digital.

Apa Artinya bagi Perangkat Daerah

Peringatan ini relevan bagi setiap Perangkat Daerah yang memakai aplikasi sewaan atau layanan yang dikelola vendor, sekalipun dari sisi pemakai tampak sederhana, misalnya aplikasi kepegawaian, persuratan, keuangan, atau layanan cloud untuk menyimpan dokumen. Beberapa pertanyaan praktis untuk dijawab sekarang, bukan setelah insiden:

• Layanan pihak ketiga apa yang sehari-hari kita pakai? Buat daftarnya, lengkap dengan siapa yang memegang akun administrator dan apakah ada akun vendor untuk pemeliharaan.
• Apakah akun administrator dan akun vendor sudah memakai MFA? Akun yang hanya dilindungi kata sandi adalah jalan masuk yang paling sering dipakai.
• Siapa saja yang masih punya akses padahal sudah tidak perlu? Akun pegawai yang berpindah tugas dan akun vendor lama perlu dicabut.
• Di mana backup disimpan, dan apakah terpisah dari sistem yang dicadangkan? Backup yang bisa dihapus atau dienkripsi dengan akun yang sama seperti sistem utamanya tidak menolong saat ransomware menyerang. Pastikan pemulihan pernah diuji, bukan hanya dijadwalkan.
• Apa yang kita kerjakan bila layanan berhenti sehari atau lebih? Untuk proses seperti penggajian, siapkan cara kerja sementara yang sudah disepakati sebelum gangguan terjadi.
• Apa yang tertulis di kontrak dengan penyedia? Kewajiban memberi tahu pelanggan saat terjadi insiden, kerja sama investigasi, dan target pemulihan sebaiknya tercantum jelas. BSSN juga menyertakan UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi dan peraturan pelaksanaannya sebagai acuan lanjutan.

Perangkat Daerah yang menemukan indikasi kompromi pada layanan yang dipakainya, atau mendapat kabar gangguan dari penyedia layanan, dapat segera menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi agar penanganannya dapat dikoordinasikan.

Referensi

• BSSN/Id-SIRTII – Security Advisory Potensi Ancaman Ransomware pada Sistem Administrasi Perkantoran Berbasis SaaS (publikasi sumber)
• NIST Cybersecurity Framework (CSF) 2.0 (acuan lanjutan dalam edaran BSSN)
• NIST SP 800-161 Rev. 1 Update 1 – Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations (acuan lanjutan dalam edaran BSSN)
• OWASP Application Security Verification Standard (ASVS) (acuan lanjutan dalam edaran BSSN)