Ransomware Modern: Dari File Encryption ke Multi-Extortion dan Exploit-Driven Intrusion
Ransomware modern sudah jauh lebih kompleks dibandingkan pola lama yang hanya mengenkripsi file dan meminta tebusan. Sekarang, banyak kelompok ransomware menggunakan pendekatan multi-extortion: mencuri data, mengancam kebocoran publik, menekan pelanggan atau mitra bisnis korban, menyerang cadangan data, dan memanfaatkan tekanan regulasi. Pola ini membuat kerugian tidak hanya berasal dari sistem yang terkunci, tetapi juga dari reputasi, hukum, operasional, dan rantai pasok.
Tren penting lain adalah bergesernya jalur masuk awal dari sekadar credential theft menuju eksploitasi kerentanan perangkat lunak. Verizon DBIR 2026 mencatat bahwa 31% pelanggaran dimulai dari eksploitasi kerentanan perangkat lunak, melampaui kata sandi curian sebagai jalur awal utama. Laporan itu juga menyoroti bahwa penggunaan AI oleh penyerang mempercepat proses menemukan dan mengeksploitasi kerentanan.
Secara teknis, rantai serangan ransomware biasanya dimulai dari satu dari beberapa vektor: eksploitasi perangkat edge seperti VPN, firewall, remote access gateway, atau perangkat keamanan; kredensial bocor dari infostealer; phishing dengan lampiran berbahaya; atau akses awal melalui penyedia pihak ketiga. Setelah masuk, penyerang melakukan privilege escalation, credential dumping, lateral movement, pemetaan jaringan, pencarian data bernilai tinggi, eksfiltrasi data, lalu eksekusi ransomware.
Bagian paling berbahaya dari ransomware bukan hanya enkripsinya, tetapi fase sebelum enkripsi. Pada fase ini, penyerang bisa berada di jaringan selama berhari-hari atau berminggu-minggu. Mereka mencari domain controller, server cadangan, sistem file bersama, data pelanggan, database dump, source code repository, serta kredensial administratif. Jika organisasi hanya fokus pada antivirus, serangan seperti ini sering terlambat terdeteksi.
Pertahanan teknis harus dibangun pada beberapa lapisan. Lapisan pertama adalah attack surface management, terutama pada aset yang terekspos ke internet. Lapisan kedua adalah vulnerability management berbasis prioritas, dengan memadukan CVSS, EPSS, status eksploitasi aktif, dan daftar CISA KEV. Lapisan ketiga adalah identity hardening, seperti MFA tahan phishing, pembatasan akun admin, dan rotasi kredensial. Lapisan keempat adalah network segmentation agar kompromi satu sistem tidak langsung menyebar ke seluruh jaringan. Lapisan kelima adalah immutable backup yang diuji pemulihannya secara berkala.
