Serangan rantai pasokan terjadi ketika penjahat mengompromikan pihak ketiga yang tepercaya untuk menjangkau target sebenarnya. Pihak ketiga tersebut dapat berupa vendor perangkat lunak, penyedia IT, platform SaaS, atau mitra bisnis dengan akses ke sistem atau data.

Bagi bisnis kecil dan menengah, risiko ini mudah diremehkan. Meskipun tidak menjalankan infrastruktur yang rumit atau memiliki tim IT yang besar, perusahaan kemungkinan bergantung pada banyak layanan eksternal: email bisnis, penggajian, akuntansi, penyimpanan cloud, dukungan pelanggan, CRM, dan sistem pembayaran. Setiap vendor yang terhubung membuat jalur potensial ke dalam lingkungan sistem.

Berikut penjelasan tentang apa itu serangan rantai pasokan, bagaimana serangan ini terjadi, mengapa UKM rentan, serta cara menilai dan mengurangi risiko rantai pasokan pihak ketiga.

Apa itu serangan rantai pasokan?

Bagaimana serangan rantai pasokan terjadi

Mengapa UKM lebih bernilai

Contoh nyata serangan rantai pasokan

Cara menilai risiko pihak ketiga

Langkah yang dapat dilakukan bisnis untuk mengurangi eksposur

Koneksi kredensial dalam serangan rantai pasokan

Terapkan keamanan pihak ketiga ke dalam operasional sehari-hari

Apa itu serangan rantai pasokan?

Serangan rantai pasokan adalah serangan siber yang menjangkau organisasi melalui hubungan eksternal yang tepercaya. Alih-alih menyerang bisnis secara langsung, penjahat mengompromikan vendor, pembaruan perangkat lunak, penyedia layanan, integrasi, atau akun pihak ketiga, lalu menggunakan akses tersebut untuk menjangkau pelanggan di hilir.

Kelemahan di luar organisasi masih dapat memengaruhi sistem, data, atau operasional jika pemasok terhubung ke sistem tersebut. Dalam praktiknya, serangan siber rantai pasokan dapat melibatkan:

  • Vendor perangkat lunak dengan mekanisme pembaruan yang dikompromikan.
  • Platform SaaS yang digunakan penyerang untuk mengakses data pelanggan.
  • Penyedia IT yang kredensial admin miliknya dicuri.
  • Akun kontraktor yang masih memiliki akses setelah proyek berakhir.
  • Integrasi pihak ketiga dengan izin akses yang lebih besar daripada yang dibutuhkan.
  • Akun karyawan vendor yang digunakan untuk mengakses sistem klien.

Serangan rantai pasokan mengandalkan dan mengeksploitasi kepercayaan. Bisnis mengizinkan koneksi karena vendor memiliki peran yang sah, lalu penyerang menyalahgunakan kepercayaan tersebut untuk mendekati data, akun, atau sistem.

Bagaimana serangan rantai pasokan terjadi

Serangan rantai pasokan biasanya dimulai dengan koneksi yang tepercaya. Penyerang tidak perlu membobol bisnis secara langsung jika vendor, penyedia perangkat lunak, kontraktor, atau integrasi sudah memiliki akses ke sesuatu yang berharga.

Jalur dapat bervariasi, tetapi polanya sering kali serupa:

  • Mengompromikan pihak ketiga
  • Menggunakan hubungan tepercaya tersebut untuk menjangkau pelanggan atau sistem yang terhubung
  • Memperluas akses ke jaringan bisnis

Melalui akun vendor yang dikompromikan

Penyerang dapat mencuri atau menebak kredensial dari vendor, kontraktor, agensi, atau penyedia layanan terkelola. Jika pihak ketiga tersebut memiliki akses ke sistem, penyerang dapat menggunakan akun yang sah untuk masuk melalui rute yang tepercaya.

Hal ini sangat berisiko jika akun vendor memiliki izin yang luas, kata sandi lemah, tanpa autentikasi multifaktor, atau akses yang tidak pernah dihapus setelah proyek berakhir. Oleh karena itu, akses pihak ketiga harus ditinjau secara berkala dan segera dicabut melalui proses admin yang terkendali saat tidak lagi diperlukan.

Melalui pembaruan perangkat lunak dan aplikasi

Serangan rantai pasokan perangkat lunak dapat terjadi ketika penyerang mengompromikan cara aplikasi dibuat, didistribusikan, atau diperbarui. Bisnis kemudian mungkin menginstal atau memperbarui perangkat lunak dari vendor tepercaya, tanpa menyadari bahwa pembaruan tersebut telah dimanipulasi.

Jenis serangan ini sulit dideteksi karena aktivitasnya tampak berasal dari penyedia perangkat lunak yang dikenal, bukan dari sumber yang tidak dikenal.

Melalui integrasi pihak ketiga

Banyak alat Software as a Service (SaaS) saling terhubung melalui integrasi, plugin, API, dan izin akses. Koneksi ini membantu tim bekerja lebih cepat, tetapi juga dapat menciptakan jalur akses tersembunyi.

Jika integrasi dikompromikan atau memiliki izin lebih besar dari yang dibutuhkan, penyerang mungkin dapat menjangkau data, akun, atau alur kerja di luar alat aslinya.

Melalui kredensial yang dibagikan dan akses yang tidak dikelola

Risiko rantai pasokan juga meningkat ketika akses vendor bergantung pada info masuk yang dibagikan, kata sandi yang tersimpan dalam dokumen, atau kredensial yang dikirim melalui obrolan dan email. Jika salah satu kredensial tersebut terekspos, bisnis mungkin tidak tahu siapa yang menggunakannya, di mana kredensial tersebut dibagikan, atau berapa banyak sistem yang masih dapat diaksesnya.

Kontrol akses adalah mekanisme terkuat untuk melindungi keamanan rantai pasokan. Semakin terkendali setiap koneksi vendor, semakin mudah untuk membatasi kerusakan jika terjadi kesalahan.

Mengapa UKM lebih rentan

UKM sering menganggap serangan rantai pasokan hanya masalah perusahaan besar. Pada kenyataannya, bisnis yang lebih kecil bisa lebih mudah dijangkau melalui pihak ketiga karena akses vendor sering kali kurang formal, kurang dipantau, dan jarang ditinjau.

Setiap layanan SaaS menambah ketergantungan

Sebagian besar bisnis kecil kini bergantung pada layanan SaaS untuk pekerjaan sehari-hari. Layanan tersebut dapat membantu bisnis bergerak dengan cepat dan fleksibel, tetapi juga memperbanyak jumlah sistem yang dapat menampung data bisnis atau terhubung ke akun bisnis.

Agensi kecil, konsultan, firma hukum, atau perusahaan rintisan mungkin menggunakan puluhan layanan eksternal tanpa menyebutnya sebagai rantai pasokan. Namun dari perspektif keamanan, layanan tersebut adalah bagian dari rantai tersebut.

Tim yang lebih kecil mungkin tidak memiliki proses peninjauan vendor

Organisasi besar sering kali memiliki pengadaan, kuesioner risiko vendor, tinjauan keamanan, dan proses hukum. Sebaliknya, UKM mungkin lebih mengandalkan kepercayaan informal dan kecepatan.

Sejak awal tahun 2025, Data Breach Observatory milik Proton mengidentifikasi 512 pembobolan yang mengekspos lebih dari 902 juta catatan data. Visibilitas seperti itu penting karena banyak pembobolan tidak hanya berdampak pada satu perusahaan setelah kredensial, rincian kontak, atau data bisnis terekspos.

Hal itu tidak berarti bisnis kecil memerlukan birokrasi sekelas perusahaan besar. Ini berarti bisnis kecil memerlukan cara praktis untuk mengajukan pertanyaan dasar sebelum memberikan akses dan untuk meninjau akses setelah pekerjaan berubah.

Akses vendor sering kali lebih luas daripada yang diperlukan

Akses vendor dalam bisnis biasanya meluas karena alasan praktis. Terkadang kontraktor memerlukan akses ke drive yang dibagikan, atau agensi memerlukan akses analitik atau akun iklan. Pada saat itu, memberikan akses terasa seperti cara tercepat untuk menjaga pekerjaan tetap berjalan, terutama untuk bisnis kecil tanpa banyak orang atau sumber daya.

Risiko baru muncul di kemudian hari, ketika izin tersebut tidak dipersempit, ditinjau, atau dihapus. Vendor mungkin tetap memiliki akses setelah proyek berakhir, info masuk yang dibagikan mungkin terus beredar, atau integrasi mungkin tetap terhubung lama setelah kebutuhan awal berlalu.

Contoh nyata serangan rantai pasokan

Data pembobolan terbaru menunjukkan bahwa risiko pihak ketiga bukanlah sekadar teori. Selama penelitian untuk Data Breach Observatory, terungkap beberapa insiden yang terkait dengan paparan pihak ketiga atau rantai pasokan, yang menunjukkan bagaimana data pelanggan, karyawan, atau bisnis dapat muncul dalam kumpulan data pembobolan meskipun organisasi yang terdampak belum tentu merupakan titik awal dikompromikannya data.

Amtrak

Pada bulan April 2026, Data Breach Observatory mengungkap insiden pihak ketiga yang terkait dengan Amtrak, dengan lebih dari 7,4 juta catatan terekspos. Data yang dikompromikan mencakup nama, alamat fisik, kode pos, nomor telepon, alamat email, dan nama pengguna.

Bagi bisnis, ini adalah contoh jelas tentang bagaimana insiden pihak ketiga dapat mengekspos identitas dan data kontak dalam skala besar, sehingga menciptakan risiko hilir berupa phishing, penyamaran, dan serangan berbasis kredensial.

Canada Goose

Perusahaan pakaian Canada Goose terdampak oleh insiden pihak ketiga pada Februari 2026, dengan lebih dari 921.000 catatan terekspos. Data yang dikompromikan mencakup nama, alamat fisik, nomor telepon, dan alamat email.

Bahkan tanpa kata sandi, jenis kumpulan data seperti ini masih dapat meningkatkan risiko bisnis karena penyerang dapat menggunakan informasi kontak untuk membuat penipuan, upaya phishing, dan rekayasa sosial menjadi lebih meyakinkan.

Cara menilai risiko pihak ketiga

Tidak memerlukan tim risiko yang besar atau banyak sumber daya untuk mulai menilai risiko bisnis. Mulailah dengan inventarisasi sederhana dan fokuslah pada vendor yang paling penting.

1. Petakan vendor dan akses

Buat daftar vendor, layanan SaaS, kontraktor, dan mitra yang memiliki akses ke sistem atau data. Untuk masing-masing vendor, catat hal berikut:

  • Data apa yang dapat mereka akses.
  • Akun atau integrasi apa yang mereka gunakan.
  • Apakah mereka memiliki izin admin.
  • Apakah akses tersebut bersifat individu atau dibagikan.
  • Apakah autentikasi multifaktor diperlukan.
  • Siapa penanggung jawab hubungan tersebut secara internal.
  • Kapan akses terakhir kali ditinjau.

Inventarisasi ini jauh lebih mudah dipelihara jika akses vendor dikelola melalui sistem terkendali dengan kepemilikan yang jelas, visibilitas admin, dan akses yang dapat dicabut.

2. Urutkan vendor berdasarkan risiko

Tidak setiap vendor memerlukan tinjauan mendalam. Penyedia penggajian, platform penyimpanan cloud, penyedia IT, CRM, atau penyedia layanan terkelola layak mendapatkan pengawasan lebih ketat dibandingkan layanan berisiko rendah tanpa data sensitif.

Berikan prioritas pada vendor yang menangani data pelanggan, kredensial, pembayaran, informasi karyawan, sistem produksi, atau akses admin.

3. Ajukan pertanyaan keamanan sebelum memberikan akses

Sebelum memberikan akses, ada baiknya untuk mengevaluasi kembali dan menilai apakah pihak ketiga tersebut memang benar-benar diperlukan, sistem atau data apa yang perlu mereka akses, dan apakah tingkat akses tersebut dapat dibenarkan. Pada tahap ini, banyak organisasi menyadari bahwa mereka bergantung pada lebih banyak vendor, integrasi, dan akun eksternal daripada yang mereka perkirakan.

Tinjauan vendor yang sederhana pun tetap berguna. Ajukan pertanyaan:

  • Apa yang terjadi pada data jika layanan dihentikan?
  • Apakah mendukung 2FA?
  • Bagaimana cara melindungi data pelanggan?
  • Apakah tersedia kontrol akses berbasis peran?
  • Apakah tersedia log audit atau laporan aktivitas?
  • Apakah memiliki sertifikasi keamanan yang relevan atau mengikuti standar keamanan yang diakui?
  • Bagaimana cara memberikan notifikasi kepada pelanggan tentang insiden?
  • Bagaimana cara mengelola akses karyawan secara internal?
  • Apakah mendukung akses dengan hak istimewa paling rendah?

Langkah yang dapat dilakukan bisnis untuk mengurangi eksposur

Mengurangi risiko rantai pasokan dimulai dengan kontrol. Dalam praktiknya, itu berarti bisnis memerlukan aturan yang jelas tentang bagaimana vendor diperiksa, apa saja yang dapat mereka akses, bagaimana aktivitas mereka dipantau, dan apa yang terjadi jika pihak ketiga dikompromikan.

Periksa praktik keamanan vendor pihak ketiga

Sebelum memberikan akses kepada vendor ke sistem bisnis atau data sensitif, periksa apakah praktik keamanan mereka sesuai dengan tingkat risikonya. Vendor yang menangani catatan data pelanggan, data keuangan, atau akses admin harus memenuhi standar yang lebih tinggi daripada aplikasi produktivitas biasa.

Cari dukungan 2FA, izin berbasis peran, log audit, komitmen notifikasi insiden, kontrol retensi data, dan proses offboarding yang jelas.

Terapkan hak istimewa paling rendah pada akses pihak ketiga

Prinsip hak istimewa paling rendah mengurangi radius dampak jika akun vendor dikompromikan. Hal itu berarti menghindari pemberian izin admin jika akses baca-saja sudah cukup, atau folder bersama yang luas jika folder spesifik saja sudah memadai.

Gunakan prinsip zero trust untuk vendor

Zero trust bukan berarti tidak memercayai setiap vendor. Ini berarti tidak berasumsi bahwa hubungan yang tepercaya akan memberikan akses tanpa batas.

Untuk akses vendor, ini berarti memverifikasi identitas, membatasi izin, meninjau akses secara berkala, mewajibkan 2FA, memantau aktivitas, dan memperlakukan setiap koneksi sebagai sesuatu yang membutuhkan tata kelola.

Pantau pola akses yang tidak biasa

Akun yang terhubung dengan vendor harus dipantau dari perilaku yang tidak sesuai dengan penggunaan normal. Waspadai lokasi masuk yang tidak biasa, unduhan yang tidak terduga, pengguna admin baru, perubahan izin, aktivitas di luar jam kerja, integrasi baru, atau akses ke data di luar peran vendor.

Sinyal-sinyal ini tidak selalu membuktikan adanya kompromi, tetapi dapat membantu tim merespons sebelum isu kecil berkembang menjadi pembobolan yang lebih luas.

Bersiap untuk kompromi pihak ketiga

Paket respons insiden harus mencakup insiden vendor. Jika pemasok melaporkan pembobolan, bisnis harus mengetahui tindakan yang harus diambil berikutnya. Informasi tentang perlindungan pembobolan data untuk bisnis dapat membantu menyusun respons bisnis terhadap kompromi pihak ketiga.

Tentukan siapa yang menghubungi vendor, siapa yang meninjau akses, siapa yang memeriksa log, siapa yang memutuskan apakah kredensial harus dirotasi, dan siapa yang berkomunikasi dengan klien atau regulator jika diperlukan.

Gunakan kredensial unik untuk setiap vendor dan alat pihak ketiga

Kredensial unik adalah salah satu cara paling sederhana untuk mengurangi radius dampak rantai pasokan. Jika portal vendor dibobol and karyawan menggunakan kembali kata sandi tersebut di tempat lain, penyerang mungkin mencoba kredensial yang sama pada email, platform SaaS, alat keuangan, atau sistem admin.

Satu kata sandi unik untuk setiap vendor mencegah penggunaan kembali secara langsung. Ini juga membuat penanganan insiden menjadi lebih rapi. Ketika vendor dikompromikan, kredensial yang memerlukan perhatian dapat segera diketahui daripada berspekulasi di mana saja kata sandi yang sama mungkin telah digunakan.

Proton Pass adalah pengelola kata sandi bisnis yang dapat membantu tim menghasilkan kata sandi yang kuat dan unik untuk setiap vendor dan layanan pihak ketiga, menyimpannya di dalam brankas terenkripsi, menggunakan isi otomatis, dan membagikan akses secara aman. Hal ini mempermudah pemeliharaan kebersihan kredensial di berbagai layanan eksternal yang diandalkan oleh bisnis modern.

Koneksi kredensial dalam serangan rantai pasokan

Serangan rantai pasokan sering kali dimulai dari vendor, tetapi kredensial menentukan seberapa jauh dampak yang dapat ditimbulkan.

Jika akun kontraktor dikompromikan tetapi memiliki akses terbatas, kerusakan dapat diminimalkan. Jika akun yang sama memiliki izin yang luas, kredensial yang dibagikan, kata sandi yang digunakan kembali, atau akses ke sistem sensitif, penyerang memiliki lebih banyak ruang untuk bergerak.

Inilah sebabnya mengapa manajemen kata sandi dan akses harus menjadi bagian dari manajemen risiko rantai pasokan. Untuk setiap vendor atau alat pihak ketiga, bisnis harus mengetahui:

  • Kredensial apa saja yang ada.
  • Siapa yang memiliki akses ke kredensial tersebut.
  • Apakah kata sandi tersebut unik.
  • Apakah MFA diaktifkan.
  • Apakah akses tersebut masih diperlukan.
  • Apakah akun tersebut dibagikan atau bersifat individu.
  • Siapa penanggung jawab akun tersebut secara internal.

Pengelola kata sandi bisnis seperti Proton Pass membantu menjawab pertanyaan-pertanyaan tersebut dengan lebih mudah. Alih-alih kredensial disimpan dalam spreadsheet, profil peramban, pesan obrolan, atau catatan pribadi, kata sandi vendor dapat tersimpan dalam sistem terkendali dengan pembagian yang aman dan kepemilikan yang lebih jelas.

Hal itu tidak menghapus kebutuhan untuk memeriksa vendor atau memantau aktivitas. Ini memperkuat salah satu kontrol yang berdampak paling tinggi: memastikan pembobolan pihak ketiga tidak menjadi masalah penggunaan kembali kata sandi di seluruh bisnis.

Terapkan keamanan pihak ketiga ke dalam operasional sehari-hari

Serangan rantai pasokan mengubah kepercayaan menjadi jalur masuk. Vendor, pembaruan perangkat lunak, akun SaaS, kontraktor, atau integrasi yang biasanya mendukung bisnis dapat menjadi rute yang digunakan penyerang untuk menjangkau data atau sistem.

Bisnis kecil tidak dapat menghindari pihak ketiga, dan memang tidak perlu melakukannya. Alat SaaS, penyedia IT, kontraktor, dan vendor adalah bagian dari cara kerja bisnis modern. Tujuannya adalah mengelola hubungan tersebut dengan kontrol yang cukup sehingga satu kompromi tidak menjadi pembobolan yang lebih luas.

Mulailah dengan dasar-dasar: petakan vendor, nilai akses, ajukan pertanyaan keamanan, terapkan hak istimewa paling rendah, gunakan prinsip zero trust, pantau aktivitas yang tidak biasa, dan rencanakan tindakan menghadapi kompromi pihak ketiga. Kemudian kurangi risiko kredensial dengan memberikan kata sandi unik untuk setiap vendor dan layanan pihak ketiga.

Proton Pass membantu bisnis menerapkan kontrol tersebut ke dalam praktik sehari-hari. Ketika setiap log masuk vendor memiliki kredensial unik tersendiri, akses yang dibagikan tetap berada di dalam brankas terenkripsi, dan tim dapat mencabut akses begitu hubungan berakhir, satu kata sandi yang bocor jauh lebih kecil kemungkinannya memicu reaksi berantai di seluruh akun bisnis.