Studi Menemukan 34% Perusahaan ANZ Masih Membayar Ransomware

Sepertiga Organisasi ANZ Masih Memilih Membayar

Riset terbaru dari Commvault telah mengonfirmasi apa yang telah lama diduga oleh banyak profesional keamanan: membayar tuntutan ransomware jauh dari solusi yang dapat diandalkan. Laporan State of Data Resilience ANZ 2026 dari perusahaan tersebut menemukan bahwa 34% organisasi di Australia dan Selandia Baru yang mengalami serangan ransomware tetap membayar tebusan, meskipun tidak memiliki jaminan nyata bahwa data mereka akan dikembalikan atau sistem mereka dipulihkan agar berfungsi kembali.

Temuan ini muncul pada saat ransomware tidak lagi menjadi peristiwa krisis yang jarang, melainkan lebih merupakan realitas operasional bagi bisnis di kawasan ini. Namun, keputusan untuk membayar dalam banyak kasus masih diambil di bawah tekanan ekstrem, di tengah insiden yang sedang berlangsung, alih-alih sebagai bagian dari strategi respons yang tenang dan telah direncanakan sebelumnya.

Mengapa Membayar Jarang Menyelesaikan Masalah Sebenarnya

Detail terpenting dalam temuan Commvault bukanlah bahwa organisasi membayar, melainkan apa yang terjadi setelah mereka membayar. Menyerahkan tebusan tidak serta-merta berarti data yang dicuri atau dienkripsi kembali utuh, atau bahwa penyerang menghapus salinan yang mereka ambil sebelum mengunci sistem. Perbedaan ini sangat penting dari sudut pandang privasi. Banyak insiden ransomware saat ini melibatkan pencurian data sekaligus enkripsi, yang berarti catatan pelanggan, data karyawan, atau informasi keuangan mungkin sudah meninggalkan jaringan organisasi bahkan sebelum pembicaraan soal tebusan dimulai.

Survei terkait yang mencakup kawasan yang sama mempertegas hal ini. Riset tersebut menemukan bahwa 36% pembayaran tebusan gagal memulihkan data, yang berarti lebih dari sepertiga organisasi yang membayar tetap berakhir dengan sistem atau file yang tidak berfungsi dengan baik. Dengan kata lain, membayar bukanlah transaksi dengan hasil yang terjamin. Ini adalah pertaruhan yang dilakukan dengan lawan yang tidak memiliki kewajiban hukum atau reputasi untuk menepati janjinya.

Bagi organisasi yang menyimpan data pribadi sensitif, baik itu catatan kesehatan, rincian keuangan, atau informasi identitas pelanggan, hal ini menciptakan risiko privasi yang berlipat ganda. Bahkan pembayaran yang berhasil pun tidak membatalkan paparan yang sudah terjadi. Data yang disalin oleh penyerang sebelum enkripsi tetap dapat bocor, dijual, atau digunakan untuk pemerasan lebih lanjut terlepas dari apakah tebusan dibayar. Riset Commvault menunjukkan bahwa terlalu banyak organisasi ANZ memperlakukan pembayaran tebusan sebagai strategi pemulihan, padahal fungsinya lebih seperti memasang taruhan setelah kerusakan terjadi.

Tekanan untuk Memutuskan di Tengah Krisis

Salah satu hal yang membuat pola ini terus berlanjut adalah lingkungan tempat keputusan-keputusan ini dibuat. Serangan ransomware cenderung meningkat dengan cepat, sering kali mengunci staf dari sistem-sistem penting dalam hitungan jam. Di bawah tekanan semacam itu, dengan operasi yang terhenti dan pelanggan atau mitra bertanya-tanya, membayar bisa terasa seperti jalur tercepat untuk kembali normal. Laporan Commvault menggambarkan hal ini sebagai organisasi yang membuat keputusan ransomware berisiko tinggi di tengah krisis, alih-alih sebagai bagian dari rencana yang sudah teruji dan ada sebelumnya.

Pengambilan keputusan yang didorong oleh krisis justru menjadi alasan mengapa persiapan jauh lebih penting daripada reaksi. Organisasi dengan sistem cadangan yang teruji, rencana respons insiden yang jelas, dan kriteria yang disepakati sebelumnya tentang apakah akan berhadapan dengan penyerang berada dalam posisi yang jauh lebih kuat daripada yang berimprovisasi secara langsung. Data menunjukkan bahwa banyak bisnis ANZ belum mencapai tingkat kesiapan tersebut, dan sebaliknya memilih membayar karena tampaknya itu satu-satunya tuas yang tersedia saat itu.

Apa Artinya Bagi Anda

Jika Anda seorang konsumen, karyawan, atau pelanggan dari organisasi mana pun, riset ini menjadi pengingat bahwa pembayaran ransomware oleh sebuah perusahaan tidak berarti data Anda aman. Bahkan jika sebuah bisnis mengumumkan telah menyelesaikan suatu insiden, informasi yang terpapar selama serangan mungkin masih beredar. Ada baiknya memperhatikan pemberitahuan pelanggaran dari layanan apa pun yang Anda gunakan, dan menanggapinya dengan serius bahkan jika organisasi menyatakan bahwa tebusan telah dibayar atau sistem telah dipulihkan.

Jika Anda bekerja di sebuah bisnis, terutama yang menangani data pelanggan atau karyawan, intisarinya lebih langsung: jangan biarkan keputusan pembayaran tebusan dibuat untuk pertama kalinya saat serangan benar-benar terjadi. Organisasi yang merencanakan sebelumnya, menguji cadangan mereka, dan memiliki protokol respons yang jelas jauh lebih kecil kemungkinannya menghadapi skenario tanpa jalan keluar seperti yang digambarkan Commvault, di mana pembayaran tidak menjamin data kembali dan paparan privasi sering kali sudah terjadi saat catatan tebusan tiba.

Poin-Poin Penting

• Membayar tuntutan ransomware tidak menjamin data atau sistem Anda akan dipulihkan, dan tidak membatalkan pencurian data yang sudah terjadi.
• Paparan data dan risiko privasi dapat terjadi secara terpisah dari apakah tebusan dibayar, karena penyerang sering kali mencuri informasi sebelum mengenkripsinya.
• Organisasi sebaiknya membangun rencana respons ransomware dan menguji cadangan sebelum insiden terjadi, bukan saat sedang terjadi.
• Individu sebaiknya tetap waspada terhadap pemberitahuan pelanggaran bahkan ketika perusahaan melaporkan insiden telah selesai.

Ransomware tidak akan hilang, dan riset Commvault memperjelas bahwa organisasi ANZ masih menghadapi keputusan-keputusan ini secara reaktif alih-alih strategis. Membangun ketahanan sebelum serangan terjadi tetap menjadi cara paling andal untuk melindungi operasi bisnis dan data pribadi yang dipercayakan untuk dijaga oleh organisasi.