Dalam artikel ini
Eksplainer defensif | 29 Oktober 2026
Buletin bersama #StopRansomware: SafePay Ransomware (AA26-293A) terbit 20 Oktober 2026. Ini bukan laporan insiden baru pada tanggal artikel ini, dan bukan bukti bahwa organisasi Indonesia tertentu menjadi korban.[1] FBI, CISA, U.S. Secret Service, serta mitra di Jerman dan Inggris merangkum pola yang diamati hingga Agustus 2026: grup itu aktif sejak Agustus 2024, termasuk di antara yang paling sibuk pada 2026, dan dikaitkan dengan setidaknya 600 korban di Amerika Utara, Amerika Selatan, Eropa, dan Australia.[1]
Siaran CISA 21 Oktober 2026 menambahkan bahwa pelaku sering masuk lewat kredensial yang dikompromikan dan celah pada perangkat yang menghadap internet, termasuk layanan VPN, lalu memakai alat TI yang sah untuk bergerak dan merusak cadangan.[2] Pelajaran defensifnya sederhana: perketat pintu masuk dan kewenangan administrasi sebelum mengandalkan pemulihan.
Pintu tepi lebih dulu daripada pusat data
Menurut advisory, akses awal mencakup paparan kredensial, serangan tebak kata sandi, penyalahgunaan akses VPN, serta eksploitasi beberapa CVE pada sistem yang terbuka ke internet.[1] Lembaga penulis juga mencatat pelaku memakai alamat IP penyedia VPN Mullvad dan profil akun hasil phishing untuk masuk, lalu menargetkan celah perangkat tepi.[1]
Rekomendasi editorial kami: buat daftar perangkat VPN, firewall, dan konsol jarak jauh yang benar-benar dapat dijangkau dari luar. Untuk setiap entri, catat pemilik, versi, status tambalan, MFA, dan siapa yang boleh masuk. Ini usulan tata kerja internal, bukan kewajiban hukum Indonesia.
CISA dan mitra mendesak prioritas penambalan celah yang sudah masuk katalog Known Exploited Vulnerabilities pada sistem yang menghadap internet, serta pembaruan sistem operasi, perangkat lunak, dan firmware.[1] Jangan menyamakan tiket “sudah dipindai” dengan bukti bahwa pintu tepi sudah tertutup.
Alat sah bukan bukti aktivitas sah
Setelah masuk, pelaku dilaporkan mengambil hak administratif pada akun yang ada atau membuat akun baru, memakai teknik living off the land, lalu menjalankan perintah jarak jauh melalui utilitas seperti PsExec dan Windows Remote Management.[1] Mereka juga memakai skrip ShareFinder.ps1 dan SharpShares.exe untuk mencari berbagi berkas, menonaktifkan perangkat lunak keamanan, dan dalam beberapa kasus mengubah kata sandi pengguna sehingga login sah menjadi mustahil.[1]
Siaran pers CISA menyatakan pelaku memakai alat TI yang sah untuk bergerak di jaringan dan merusak pemulihan dengan menghapus atau menonaktifkan cadangan.[2] Advisory menambahkan Volume Shadow Copy Service dihentikan dan penyimpanan cadangan NAS dikembalikan ke pengaturan pabrik.[1]
Usulan kami: bedakan siapa yang berwenang menjalankan alat administrasi jarak jauh, kapan, dan dari host mana. Audit akun administrator, terapkan hak minimum, dan pertimbangkan akses berbatas waktu untuk peran tinggi.[1] Lembaga penulis juga menyarankan membatasi aktivitas baris perintah dan skrip karena eskalasi hak dan pergerakan lateral sering bergantung padanya.[1] Terapkan pembatasan itu bertahap agar tidak mematikan operasi; uji di lingkungan terbatas, catat pengecualian, dan miliki pemilik yang meninjau ulang.
Cadangan yang masih bisa diubah bukan rencana pemulihan
SafePay mengenkripsi data, menuntut pembayaran kripto, dan dalam beberapa kasus menekan lewat panggilan telepon; jika tidak dibayar, data yang dicuri dapat dipublikasikan.[1] Lembaga penulis tidak menganjurkan pembayaran tebusan karena tidak menjamin pemulihan dan dapat mendorong operasi lanjutan.[1]
Mitigasi yang mereka cantumkan mencakup cadangan luring yang diuji, data cadangan yang dienkripsi dan immutable, salinan terpisah secara fisik, segmentasi jaringan, pemantauan pergerakan lateral, serta MFA terutama untuk surel web, VPN, dan akun sistem kritis.[1] Rekomendasi kata sandi dalam buletin itu merujuk pedoman identitas digital NIST: panjang minimal 15 karakter dan tidak lebih dari 64, serta meninjau kebiasaan reset yang terlalu sering.[1]
Sebagai ukuran internal, mintalah bukti bahwa akun jarak jauh memakai MFA, alat administrasi tidak tersedia bagi semua operator, dan uji pemulihan memakai data sintetis berhasil tanpa menyentuh cadangan produksi. Hindari janji bahwa langkah ini menjamin organisasi tidak akan dienkripsi. Hasil yang lebih dapat dipertanggungjawabkan adalah pintu tepi yang tercatat, kewenangan yang sempit, dan pemulihan yang sudah diuji.
Sumber
[1] https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a
Komentar & Diskusi