Ransomware dulunya memiliki pola serangan yang sederhana, meski brutal: penyerang mengenkripsi file dan menuntut pembayaran untuk kunci dekripsi. Bayar, dan penderitaan pun berakhir. Model itu telah berubah. Kelompok ransomware modern semakin sering mencuri salinan data Anda sebelum mereka memicu rutinitas enkripsi, lalu mengancam akan mempublikasikannya terlepas dari apakah tebusan dibayar atau tidak. Peneliti keamanan menyebut ini sebagai pemerasan ganda, dan artinya pemulihan bukan lagi sekadar memulihkan file. Ini tentang mengasumsikan bahwa data Anda sudah keluar dari gedung.

Mengapa Ransomware Modern Mencuri Data Sebelum Mengenkripsinya

Enkripsi saja kehilangan daya tekanannya begitu organisasi serius menangani pencadangan. Jika korban bisa dengan mudah memulihkan dari cadangan offline, membayar tebusan untuk kunci dekripsi menjadi tidak masuk akal. Penyerang beradaptasi dengan menambahkan titik tekan kedua: mengeksfiltrasi file sensitif terlebih dahulu. Bahkan perusahaan dengan cadangan yang bersih kini menghadapi ancaman catatan pelanggan, dokumen keuangan, atau data kesehatan yang dicuri dipublikasikan secara terbuka atau dijual kepada kelompok kriminal lain.

Pergeseran ini sangat terlihat di sektor kesehatan dan jasa keuangan, di mana data itu sendiri, bukan hanya waktu aktif sistem, adalah hadiah sesungguhnya. Insiden yang melibatkan paparan data kesehatan ChipSoft, pelanggaran DentaQuest yang memengaruhi jutaan pasien, dan pelanggaran McKesson yang terkait dengan kelompok pemerasan ShinyHunters semuanya menggambarkan bagaimana penyerang kini memperlakukan catatan yang dicuri sebagai alat tawar-menawar yang terpisah dari enkripsi itu sendiri. Membayar untuk membuka file tidak lagi menjamin bahwa data tersebut tidak akan muncul nanti.

5 Langkah Forensik yang Harus Diambil pada Jam Pertama Setelah Serangan

Ketika ransomware ditemukan, enam puluh menit pertama lebih penting daripada hampir semua tahap insiden lainnya. Tindakan yang didorong kepanikan, seperti langsung mematikan setiap mesin, dapat menghancurkan bukti yang diperlukan untuk memahami apa yang sebenarnya terjadi. Sebagai gantinya:

  1. Isolasi, jangan matikan. Putuskan perangkat yang terpengaruh dari jaringan (cabut ethernet, nonaktifkan Wi-Fi) alih-alih mematikannya. Mematikan dapat menghapus memori volatil yang menyimpan petunjuk tentang bagaimana penyerang masuk dan apa yang mereka akses.
  2. Segera lindungi log. Log firewall, log akses VPN, dan catatan deteksi endpoint sering menjadi hal pertama yang coba dihapus oleh penyerang. Ekspor atau cadangkan log ini sebelum melakukan hal lain.
  3. Identifikasi titik masuk. Periksa tanda-tanda email phishing, port remote desktop yang terekspos, atau kredensial yang dikompromikan. Mengetahui vektor akses awal membentuk setiap keputusan berikutnya.
  4. Tentukan data apa yang disentuh, bukan hanya yang dienkripsi. Cari transfer data keluar yang tidak biasa pada jam atau hari sebelum enkripsi dimulai. Transfer file besar ke alamat IP eksternal yang tidak dikenal adalah sinyal kuat bahwa eksfiltrasi terjadi.
  5. Libatkan spesialis forensik atau tim respons insiden sejak awal. Bahkan untuk bisnis kecil, profesional yang dapat mendokumentasikan kronologi dengan benar sangat penting untuk tujuan hukum, regulasi, dan asuransi.

Bertindak secara metodis dalam jendela waktu ini tidak hanya membantu penahanan. Ini menentukan apakah Anda nantinya dapat membuktikan apa yang dicuri dan tidak dicuri, yang sangat penting untuk kewajiban notifikasi dan pernyataan publik.

Cara Mengenali Jenis Pencurian Data yang Terjadi

Tidak setiap insiden ransomware melibatkan pencurian data, dan tidak setiap pencurian data melibatkan enkripsi. Membedakan keduanya memerlukan pemeriksaan bukti spesifik:

  • Serangan enkripsi saja meninggalkan file terkunci tetapi tidak menunjukkan tanda-tanda transfer keluar yang besar dalam log jaringan. Catatan tebusan biasanya hanya merujuk pada dekripsi, bukan publikasi.
  • Serangan pemerasan ganda menunjukkan file yang dienkripsi sekaligus bukti penempatan data, seperti arsip terkompresi yang dibuat sesaat sebelum serangan, atau autentikasi tidak biasa dari alat eksfiltrasi. Catatan tebusan biasanya mengancam akan membocorkan data di situs kebocoran khusus.
  • Pencurian data murni (tanpa enkripsi) semakin umum terjadi sendiri, terutama terhadap basis data cloud dan platform SaaS. Di sini, sistem tetap berjalan normal, tetapi penyerang diam-diam menyalin catatan dan kemudian menuntut pembayaran untuk mencegah publikasi. Kebocoran dark web 700GB yang memengaruhi Bank of Baroda dan pelanggaran Veradigm yang diklaim oleh kelompok ransomware Gentlemen keduanya menunjukkan bagaimana klaim pencurian dapat muncul bahkan ketika gangguan operasionalnya minimal.

Membedakan skenario-skenario ini sejak awal membantu organisasi mengkalibrasi respons mereka, dari tenggat waktu notifikasi pelanggaran hingga cara mereka berkomunikasi dengan pelanggan yang terdampak.

Lapisan Pertahanan yang Mengurangi Paparan: Enkripsi, VPN, dan Pemantauan

Mengingat bahwa ransomware pemerasan ganda mengasumsikan data akan terekspos apa pun yang terjadi, pertahanan paling efektif adalah mengurangi apa yang dapat terekspos sejak awal. Mengenkripsi data sensitif saat disimpan berarti bahwa bahkan jika penyerang mengeksfiltrasi file, isinya tetap tidak dapat dibaca tanpa kunci terpisah. Menggunakan VPN untuk akses jarak jauh menutup salah satu titik masuk yang paling umum, yaitu remote desktop dan gateway VPN yang terekspos dengan kredensial yang lemah atau digunakan ulang, yang rutin dipindai dan dieksploitasi oleh penyerang. Pemantauan jaringan berkelanjutan yang menandai volume data keluar yang tidak biasa juga dapat menangkap eksfiltrasi yang sedang berlangsung, bahkan sebelum enkripsi dimulai.

Apa Artinya bagi Anda

Jika Anda menjalankan bisnis kecil atau mengelola TI untuk salah satunya, respons ransomware pemerasan ganda tidak bisa dimulai saat catatan tebusan muncul. Ini dimulai dengan kebersihan dasar: cadangan terenkripsi yang disimpan offline, akses VPN yang dipantau alih-alih port remote desktop yang terekspos, dan rencana insiden tertulis yang menjelaskan siapa menghubungi siapa pada jam pertama. Bagi konsumen yang datanya berada pada penyedia layanan kesehatan, bank, atau administrator tunjangan, pelajaran praktisnya adalah kewaspadaan setelah notifikasi pelanggaran, karena data yang dicuri dapat muncul bahkan ketika perusahaan bersikeras bahwa situasi tebusan telah diselesaikan.

Poin Penting yang Dapat Ditindaklanjuti

  • Asumsikan setiap insiden ransomware mungkin melibatkan pencurian data, bukan hanya enkripsi, sampai bukti forensik membuktikan sebaliknya.
  • Pada jam pertama, isolasi sistem tanpa mematikannya, dan lindungi log sebelum dapat diubah atau dihapus.
  • Enkripsi data sensitif saat disimpan agar file yang dieksfiltrasi kurang berharga bagi penyerang bahkan jika dicuri.
  • Amankan akses jarak jauh dengan VPN yang dikonfigurasi dengan benar alih-alih protokol remote desktop yang terekspos.
  • Perhatikan notifikasi pelanggaran dari penyedia yang Anda gunakan, dan tangani dengan serius bahkan jika organisasi mengklaim situasi tebusan sudah terkendali.

Pemerasan ganda telah mengubah makna "pulih" dari ransomware. Membayar tidak menjamin data Anda tetap privat, dan menolak membayar tidak berarti data itu hilang begitu saja. Organisasi dan individu yang paling siap menghadapi serangan ini adalah mereka yang telah memperlakukan perlindungan data sebagai kebiasaan harian jauh sebelum penyerang masuk.