Cara mencegah dan memulihkan diri dari serangan ransomware pada bisnis kecil

Banyak pemilik bisnis kecil masih berpikir bahwa serangan ransomware hanya terjadi pada rumah sakit, merek global, atau infrastruktur publik. Pada kenyataannya, risiko ransomware pada bisnis kecil adalah salah satu contoh paling jelas tentang bagaimana penyerang secara konsisten menargetkan organisasi dengan data berharga, waktu terbatas, dan pertahanan yang lebih lemah.a

Temuan terbaru dari Data Breach Observatory Proton menunjukkan bahwa UKM sering kali menjadi korban pembobolan. Mereka juga terwakili secara tidak proporsional dalam insiden yang paling merugikan, termasuk pembobolan yang melibatkan data berisiko tinggi dan paparan catatan dalam jumlah besar.

Ransomware adalah masalah kelangsungan bisnis, keamanan kredensial, dan perlindungan data. Survei Pembobolan Keamanan Siber pemerintah Inggris menemukan bahwa 1% bisnis di Inggris mengidentifikasi insiden ransomware dalam 12 bulan sebelumnya, naik dari kurang dari 0,5% pada tahun 2024. Pada skala nasional, jumlah tersebut setara dengan sekitar 19.000 bisnis.

Mothership atau bukan, phishing masih merupakan jenis serangan siber yang paling umum. Penyerang paling sering mendapatkan akses ke jaringan bisnis melalui orang, kredensial, dan alur kerja rutin daripada melalui serangan siber skala besar. Mereka pada dasarnya dapat menggunakan serangan phishing untuk meluncurkan serangan ransomware yang lebih besar jika merasakan keuntungan yang lebih besar.a

Bagi bisnis kecil, kerusakan akibat ransomware dapat menyebabkan gangguan signifikan terhadap kelangsungan bisnis. Anggota tim kehilangan akses ke file dan tidak dapat melanjutkan pekerjaan, operasi melambat atau berhenti, serta pelanggan atau klien tidak mendapatkan layanan yang memadai. Jika data pribadi dikompromikan, kewajiban pelaporan akan menyusul. Strategi ransomware yang praktis untuk UKM harus mencakup kedua aspek serangan: pencegahan dan pemulihan.

Bagaimana cara kerja ransomware?

Ransomware adalah jenis malware yang mencegah akses ke perangkat atau data, biasanya dengan mengenkripsi file, lalu meminta pembayaran sebagai imbalan untuk dekripsi. Dalam banyak kasus, penyerang kini melakukan lebih dari sekadar mengunci file. Mereka juga mencuri data dan mengancam akan membocorkannya jika uang tebusan tidak dibayar, yang mengubah insiden tersebut menjadi krisis ketersediaan sekaligus potensi pembobolan data.a

Korban sering kali diinstruksikan untuk berkomunikasi melalui email atau halaman web anonim dan membayar dengan mata uang kripto. Bagi bisnis kecil, perbedaan tersebut penting karena mata uang kripto bersifat anonim, terdesentralisasi, dan tidak diatur oleh lembaga keuangan tradisional: hampir tidak mungkin untuk melacak pembayaran.a

Peristiwa ransomware tidak selalu terbatas pada hilangnya akses ke file. Ini juga berarti bahwa informasi pelanggan, data karyawan, catatan keuangan, kontrak, atau kredensial masuk mungkin telah dieksfiltrasi. Ransomware dapat menyebabkan hilangnya akses tepat waktu ke data pribadi dan, jika cadangan tidak memadai atau tidak tersedia, bahkan kehilangan permanen.

Rantai serangan biasanya lebih biasa dari yang diperkirakan. Insiden yang mudah terlewatkan yang dapat menyebabkan serangan ransomware meliputi:a

• Tautan phishing yang diikuti.
• Kata sandi yang digunakan kembali terekspos dalam pembobolan data.
• Layanan akses jarak jauh dibiarkan terekspos.a
• Kerentanan yang diketahui dibiarkan tanpa patch

Setelah penyerang mendapatkan akses ke jaringan bisnis, mereka bergerak secara lateral, meningkatkan hak istimewa, menonaktifkan jalur pemulihan jika memungkinkan, dan menerapkan enkripsi atau pemerasan di bagian yang paling merugikan. Tidak ada satu alat atau solusi pun yang dapat mencegah serangan ransomware. Sebaliknya, organisasi harus fokus pada pengurangan jumlah jalur mudah ke dalam jaringan mereka.a

Mengapa bisnis kecil menjadi target secara tidak proporsional

Bisnis kecil merupakan target ransomware yang menarik karena alasan sederhana: mereka menyimpan data berharga yang tidak dilindungi dengan baik sebagaimana mestinya. Temuan observatory terbaru dari Proton menunjukkan bahwa UKM menyumbang 63% dari pembobolan yang dilacak sejak Januari 2025 dan lebih dari 352 juta catatan yang bocor.

Mereka juga menyumbang 61% dari pembobolan yang melibatkan data berisiko tinggi, dengan bisnis kecil saja mewakili 48% dari insiden kritis tersebut. Di antara pembobolan yang mengekspos lebih dari 100.000 catatan, UKM menyumbang 60%, dan bisnis kecil mewakili 42%.

Bisnis kecil bukannya ceroboh. Faktanya, SMB Cybersecurity Report 2026 dari Proton membuktikan bahwa bisnis kecil sedang mencoba untuk meningkatkan keamanan siber mereka. Masalahnya adalah pertahanan mereka runtuh dalam kondisi dunia nyata. Penegakan yang tidak konsisten, kesalahan manusia, kebiasaan berbagi akses, dan kapasitas keamanan internal yang terbatas adalah hal-hal yang membuat bisnis kecil menjadi target yang menggiurkan.a

Dalam survei Proton terhadap 3.000 pemimpin di perusahaan dengan karyawan di bawah 250 orang, 39% mengatakan insiden bersumber dari kesalahan manusia, dan 48% mengatakan mereka tidak memiliki pengelola kata sandi.a

Perusahaan yang lebih besar mungkin memiliki tim respons khusus, lingkungan yang tersegmentasi, rencana cadangan yang telah diuji, dan dukungan insiden eksternal yang sudah siap sedia. Perusahaan yang lebih kecil sering kali hanya memiliki satu fungsi TI yang ramping, dukungan pihak luar, atau tidak memiliki pakar keamanan khusus. Ketika serangan terjadi, bisnis terpaksa membuat keputusan berisiko tinggi saat berada di bawah tekanan operasional. Tekanan itulah yang diandalkan oleh para operator ransomware.

Titik masuk paling umum untuk ransomware di UKM

Setelah memeriksa studi yang dilakukan di Inggris, phishing tetap menjadi vektor kejahatan siber yang dominan bagi bisnis. Tapi mengapa? Itu karena phishing sering kali merupakan langkah pertama menuju pencurian kredensial, kompromi akun, pengiriman malware, atau penyalahgunaan akses jarak jauh.

Kredensial yang lemah atau digunakan kembali adalah masalah besar lainnya. Bisnis kecil sering kali berbagi kredensial masuk, menggunakan kembali kata sandi di beberapa layanan, atau akun lama yang tetap aktif setelah seseorang berganti peran atau keluar. Begitu penyerang mendapatkan satu login yang berfungsi, mereka tidak perlu meretas akun. Mereka cukup masuk.a

Dari sana, akun admin yang kurang terlindungi, konsol cloud yang terekspos, atau titik akses jarak jauh tanpa autentikasi dua faktor (2FA) dapat menjadi jembatan menuju insiden ransomware yang lebih luas. Secara realistis, organisasi perlu menerapkan 2FA, akses hak istimewa paling rendah, dan peninjauan izin berkala untuk mengurangi kemudahan kredensial yang dicuri digunakan kembali dan seberapa jauh malware dapat menyebar.

Perangkat lunak yang belum dipatch adalah titik masuk lain yang sering terjadi. NCSC mencatat bahwa ransomware semakin banyak diterapkan melalui layanan yang terekspos seperti RDP atau perangkat akses jarak jauh yang belum dipatch, dan merekomendasikan untuk menambal kerentanan di akses jarak jauh dan sistem yang menghadap internet segera setelah patch tersedia. Bagi UKM, di sinilah insiden yang terlewatkan secara diam-diam menjadi permukaan serangan.

Cara melindungi diri dari ransomware: pendekatan berlapis

Tidak ada kontrol tunggal yang dapat mencegah ransomware. Pendekatan yang paling efektif adalah berlapis dan praktis.

Mulai dengan manajemen identitas

Data dalam akun anggota tim membutuhkan perlindungan menyeluruh untuk menolak serangan ransomware. Wajibkan autentikasi dua faktor jika memungkinkan di seluruh akun penting bisnis, terutama email, alat admin, penyimpanan cloud, platform keuangan, titik akses jarak jauh, dan sistem apa pun yang menyimpan data pribadi pelanggan atau informasi identifikasi pribadi (PII) sensitif lainnya.

Tingkatkan kebersihan kata sandi

Penyerang tidak selalu membobol akun. Sering kali, mereka masuk dengan kredensial yang dicuri atau digunakan kembali. Setiap akun bisnis harus memiliki kata sandi yang unik dan kuat, dan akses bersama harus diganti dengan pembagian kredensial yang dikelola dan aman melalui pengelola kata sandi bisnis, bukan melalui spreadsheet, obrolan, atau email.

Laporan SMB dari Proton sendiri menyoroti bahwa bisnis yang memiliki alat bantu sekalipun sering kali kembali ke kebiasaan berbagi kata sandi yang tidak aman. Di sinilah pengelola kata sandi bisnis yang aman seperti Proton Pass for Business dapat mengurangi risiko: alat ini membantu tim membuat kredensial yang kuat dan unik, menyimpannya dengan aman, dan membagikan akses dengan cara yang terkontrol dan aman.

Manajemen patch harus disiplin

Pemasangan pembaruan keamanan untuk sistem operasi, aplikasi, VPN, alat akses jarak jauh, dan perangkat batas harus diperlakukan sebagai hal esensial operasional, bukan pemeliharaan opsional. Instal pembaruan keamanan sesegera mungkin dan aktifkan pembaruan otomatis jika memungkinkan.

Perlindungan email dan web yang tangguh

Penyaringan email, kontrol lampiran, pemblokiran situs berbahaya yang diketahui, dan perlindungan penjelajahan yang aman semuanya mengurangi kemungkinan ransomware dikirimkan sejak awal. Karena phishing sangat umum, kontrol ini sangat penting.a

Atasi kesalahan manusia

Bahkan ketika langkah-langkah keamanan dan kebijakan kata sandi telah diterapkan, pelatihan kesadaran keamanan tetap diperlukan. Pelatihan membantu staf mengenali email yang mencurigakan dan upaya rekayasa sosial, tetapi orang akan tetap melakukan kesalahan.a

Alat atau fitur yang lebih kuat dan kontrol akses harus mengasumsikan hal itu. NCSC secara eksplisit merekomendasikan pelatihan kesadaran, tetapi penelitian Proton juga menunjukkan bahwa pelatihan saja tidak dapat mendeteksi setiap kesalahan. Desain keamanan yang baik mengurangi kerusakan saat seseorang melakukan klik dengan membuat satu kesalahan kecil kemungkinan besar tidak akan menjadi insiden berskala penuh, baik melalui 2FA, akses hak istimewa paling rendah, perlindungan email yang lebih kuat, akses tersegmentasi, atau cadangan teruji yang mendukung pemulihan.

Lindungi pemulihan sebelum membutuhkannya

Cadangan harus dilakukan secara berkala, diisolasi, dan diuji. ICO merekomendasikan pendekatan 3-2-1: tiga salinan, pada dua perangkat berbeda, dengan satu salinan disimpan di luar lokasi. NCSC menambahkan peringatan operasional penting: ransomware mungkin telah menyusup ke dalam lingkungan sebelum ditemukan, jadi cadangan harus dipindai sebelum dipulihkan, dan sistem cadangan itu sendiri harus dilindungi.a

Koneksi kredensial: mengapa kata sandi tetap penting dalam pertahanan ransomware

Sangat mudah untuk menganggap ransomware sebagai malware dan lupa bahwa kata sandi berperan dalam keberhasilan serangan. Namun, banyak insiden ransomware dimulai dengan pencurian, penggunaan kembali, atau penyalahgunaan kredensial masuk.a

Itu bisa berarti anggota staf menggunakan kembali kata sandi dari layanan lain, akun mantan kontraktor yang tetap aktif, kredensial admin yang dibagikan ke beberapa orang, atau titik akses jarak jauh terekspos yang hanya dilindungi oleh kata sandi. Setiap pintasan tersebut memperluas permukaan serangan.a

Ini adalah salah satu alasan mengapa manajemen kredensial yang kuat harus ada di dalam setiap rencana pemulihan dan kerangka pencegahan ransomware. Kata sandi unik per layanan mengurangi radius dampak dari satu login yang dicuri. MFA membuat kata sandi yang dicuri tersebut kurang berguna jika digunakan sendiri, sementara penyimpanan kredensial terpusat menghilangkan kebutuhan akan solusi alternatif yang tidak aman.a

Berbagi secara aman berarti karyawan mendapatkan akses yang mereka butuhkan melalui metode yang terkontrol dan dapat dilacak, bukan melalui pembagian kata sandi informal. Peninjauan berkala tentang siapa yang memiliki akses ke apa juga mendukung hak istimewa paling rendah, yang direkomendasikan NCSC sebagai bagian dari pembatasan pergerakan lateral dan penyebaran.

Telah ditulis secara luas tentang ancaman ransomware yang dihadapi UKM. Berulang kali, terlihat hal yang sama: penyerang semakin mencari bisnis yang lebih mudah ditembus, bukan hanya bisnis dengan nama terbesar.

Yang harus dilakukan jika bisnis kecil terkena serangan

1. Kendalikan insiden

Jika bisnis terkena serangan, prioritas pertama adalah pembatasan. Putuskan koneksi perangkat yang terinfeksi dari jaringan, nonaktifkan akun yang dikompromikan jika dapat mengidentifikasinya, isolasi jalur akses jarak jauh, amankan bukti, dan hindari menghapus sistem terlalu cepat jika memerlukan dukungan forensik di kemudian hari.

2. Laporkan insiden

NCSC menyarankan organisasi di Inggris untuk melaporkan insiden dan menyediakan panduan ransomware khusus untuk respons dan pemulihan. Panduan Proton tentang respons insiden juga merupakan referensi yang berguna untuk menyusun proses pengambilan keputusan yang lebih luas seputar pembatasan, penyelidikan, komunikasi, dan pemulihan.

3. Jangan bayar tebusan

NCSC dan penegak hukum Inggris tidak mendorong, mendukung, atau membenarkan pembayaran tuntutan tebusan. Mereka mencatat tidak ada jaminan akses akan didapatkan kembali, sistem mungkin tetap terinfeksi, pembayaran tersebut akan mendanai kelompok kriminal, dan bisnis kemungkinan besar akan menjadi target lagi.

ICO juga memperjelas bahwa membayar tebusan tidak mengurangi risiko bagi orang-orang dan tidak melindungi informasi. Bahkan jika kunci dekripsi ditawarkan, tidak ada jaminan kunci itu akan berfungsi atau data yang dicuri tidak akan bocor.

4. Mulai pemulihana

Pemulihan harus fokus pada restorasi yang lambat dan aman. Itu berarti membangun kembali dari cadangan yang bersih, memvalidasi bahwa jalur serangan telah ditutup, merotasi kredensial yang terpengaruh, mengaktifkan kembali akses secara hati-hati, dan mendokumentasikan apa yang terjadi. Jika cadangan terhubung ke sistem langsung atau belum diuji, di sinilah bisnis sering kali menemukan kegagalan kedua setelah kegagalan pertama. Rencana pemulihan ransomware yang baik sebenarnya dimulai jauh sebelum insiden terjadi.a

Kewajiban pelaporan di Inggris: kapan ICO mungkin perlu dilibatkan

Jika insiden ransomware memengaruhi data pribadi, ini mungkin merupakan pembobolan data pribadi berdasarkan GDPR Inggris. ICO menjelaskan bahwa hilangnya akses ke data pribadi itu sendiri dapat menjadi pembobolan jika menimbulkan risiko bagi individu, dan pelaporan kepada ICO harus dilakukan tanpa penundaan dan, jika memungkinkan, dalam waktu 72 jam jika pembobolan tersebut kemungkinan besar menimbulkan risiko terhadap hak dan kebebasan orang-orang. Jika risikonya tinggi, individu yang terkena dampak juga harus diinformasikan tanpa penundaan.a

Beberapa organisasi masih berasumsi bahwa jika mereka memulihkan sistem dengan cepat atau tidak ada kebocoran publik yang jelas, pelaporan tidak diperlukan. Itu bukan asumsi yang aman. Panduan ransomware ICO secara eksplisit membahas skenario notifikasi pembobolan dan menjelaskan dengan jelas bahwa penilaian bergantung pada risiko bagi individu, bukan hanya apakah file yang dicuri sudah muncul secara daring.

Ransomware adalah masalah UKM sekarang

Bisnis kecil semakin sering terkena serangan tebusan, dan ketika terkena, dampaknya bisa parah karena penyerang memanfaatkan kelemahan mereka. Data pembobolan terbaru dari Proton memperjelas hal itu: ancamannya terukur, berkembang, dan mengganggu operasional.

Kabar baiknya adalah hal-hal mendasar dapat melakukan sebagian besar pekerjaan berat untuk UKM mana pun. Langkah-langkah seperti menggunakan pengelola kata sandi bisnis untuk menerapkan 2FA dan membuat kredensial unik, penambalan, penyaringan email, kesadaran staf, peninjauan izin, cadangan yang teruji, dan perencanaan respons insiden mungkin tidak terlihat mentereng jika berdiri sendiri, tetapi bersama-sama langkah tersebut memberikan perbedaan yang berarti. Langkah-langkah ini mengurangi kemungkinan satu kata sandi yang dicuri, satu email phishing, atau satu layanan jarak jauh yang terekspos berkembang menjadi pemadaman di seluruh bisnis.