Malware

Definisi

Malware (kependekan dari “malicious software”) adalah perangkat lunak yang sengaja dirancang untuk merusak, mengganggu, mencuri data, atau memperoleh akses tidak sah ke sistem komputer, jaringan, maupun perangkat elektronik tanpa sepengetahuan dan persetujuan pemiliknya. Istilah ini menjadi payung untuk berbagai program jahat: virus, worm, trojan, ransomware, spyware, adware, hingga rootkit.

Ciri yang membedakan malware dari perangkat lunak biasa adalah niat pembuatnya. Program yang secara tidak sengaja mengandung celah keamanan bukan malware, sedangkan program yang memang dirancang untuk menembus pertahanan sistem, menyembunyikan diri, dan menimbulkan kerugian termasuk malware, terlepas dari seberapa canggih atau sederhana kodenya.

Dalam praktik penegakan hukum di Indonesia, malware jarang berdiri sendiri sebagai delik. Ia biasanya menjadi sarana untuk kejahatan lain: pencurian data perbankan, peretasan akun, atau pemerasan lewat enkripsi data pada ransomware. Karena itu, penanganannya sering melibatkan lebih dari satu pasal sekaligus, tergantung akibat yang benar-benar ditimbulkan terhadap korban.

Dasar Hukum

Rujukan utama untuk malware ada di Pasal 32 UU ITE, yang melarang setiap orang mengubah, menambah, mengurangi, mentransmisikan, merusak, menghilangkan, memindahkan, atau menyembunyikan informasi maupun dokumen elektronik milik orang lain atau milik publik tanpa hak. Pembuatan dan penyebaran malware yang mengubah atau merusak data korban masuk ke larangan ini, dengan ancaman pidana penjara paling lama 8 tahun dan/atau denda paling banyak Rp2.000.000.000,00 (dua miliar rupiah).

Di luar larangan merusak data, UU ITE juga melarang perbuatan mengakses sistem elektronik milik orang lain tanpa hak, serta melarang perbuatan yang mengakibatkan terganggunya sistem elektronik sehingga tidak bekerja sebagaimana mestinya. Jika malware yang disebarkan membuat server korban lumpuh atau tidak bisa diakses — sebagaimana lazim terjadi pada serangan ransomware terhadap layanan publik — ketentuan mengenai gangguan sistem elektronik ini turut berlaku, di samping Pasal 32.

UU ITE turut melarang siapa pun memproduksi, memperjualbelikan, mengimpor, mendistribusikan, atau menyediakan perangkat maupun kode program yang dirancang untuk memfasilitasi pelanggaran-pelanggaran di atas. Ketentuan ini menjangkau bukan hanya pembuat malware, tetapi juga penjual jasa penyebaran malware atau penyedia kit peretasan yang diperdagangkan di forum bawah tanah.

Perubahan UU ITE lewat UU No. 1 Tahun 2024 tidak menyentuh pasal-pasal soal akses ilegal dan gangguan sistem ini; perubahan besar undang-undang tersebut lebih banyak menata ulang pasal-pasal soal penghinaan, ujaran kebencian, dan perjudian.

Jenis-Jenis Malware

1. Virus — menempel pada berkas atau program lain dan menyebar ketika berkas itu dijalankan atau dibagikan ke perangkat lain.
2. Worm — menggandakan diri secara mandiri lewat jaringan tanpa perlu menempel pada berkas lain, sehingga menyebar jauh lebih cepat daripada virus.
3. Trojan — menyamar sebagai aplikasi sah agar korban mau memasangnya sendiri, lalu diam-diam menjalankan fungsi jahat di baliknya.
4. Ransomware — mengenkripsi data korban dan meminta tebusan untuk memulihkan akses; jenis ini paling merugikan karena bisa melumpuhkan operasional organisasi dalam hitungan jam.
5. Spyware dan keylogger — memantau aktivitas pengguna secara diam-diam, termasuk merekam ketikan untuk mencuri kata sandi dan data kartu pembayaran.
6. Adware dan rootkit — adware membanjiri perangkat dengan iklan tak diinginkan, sedangkan rootkit menyembunyikan diri jauh di dalam sistem operasi agar sulit dideteksi antivirus.

Konsekuensi Hukum

Konsekuensi bagi penyebar malware tidak berhenti pada pidana penjara dan denda. Korban yang menderita kerugian materiil — misalnya dana rekening terkuras atau data bisnis hilang — dapat mengajukan gugatan perbuatan melawan hukum secara perdata untuk menuntut ganti rugi, terpisah dari proses pidana yang berjalan.

Bagi perusahaan yang sistemnya justru menjadi sarana penyebaran malware karena kelalaian menjaga keamanan siber, tanggung jawabnya berbeda. Perusahaan tersebut umumnya berkedudukan sebagai korban, tetapi bila kelalaiannya mengakibatkan data pelanggan bocor, kewajiban notifikasi dan sanksi administratif berdasarkan UU Pelindungan Data Pribadi tetap dapat berlaku terhadapnya.

Barang bukti berupa server, kode program, dan aliran dana hasil kejahatan malware — terutama ransomware yang meminta tebusan dalam bentuk aset kripto — juga dapat disita dan ditelusuri dengan pendekatan pencucian uang, karena hasil kejahatan siber termasuk tindak pidana asal yang dapat dilacak alirannya.

Studi Kasus

Pada Juni 2024, Pusat Data Nasional Sementara mengalami serangan ransomware Brain Cipher yang melumpuhkan layanan publik di sejumlah kementerian dan lembaga. Data di server terenkripsi dan pelaku meminta tebusan. Insiden ini mendorong pemerintah mempercepat penguatan keamanan siber infrastruktur kritikal dan membangun pusat data cadangan yang lebih tangguh.

Dalam kasus lain, seorang pelaku menyebarkan malware jenis trojan lewat aplikasi palsu yang diedarkan di luar toko aplikasi resmi. Malware tersebut mencuri data perbankan korban dan mengirimkan kode OTP ke pelaku, sehingga rekening korban terkuras hingga ratusan juta rupiah. Pelaku berhasil dilacak dari jejak transaksi dan komunikasi, lalu dijerat ketentuan akses ilegal dan perusakan data elektronik sekaligus.

Pola dari kedua kasus ini serupa: kerugian baru terlihat setelah malware sempat bekerja beberapa waktu tanpa disadari korban, sehingga deteksi dini dan cadangan data yang terpisah dari jaringan utama menjadi penentu seberapa besar kerugian akhir yang harus ditanggung.

Cara Melindungi Diri dari Malware

• Perbarui perangkat lunak secara rutin. Sebagian besar malware masuk lewat celah keamanan yang sebenarnya sudah ditambal produsen, tetapi penggunanya menunda pembaruan.
• Unduh aplikasi hanya dari sumber resmi. Aplikasi bajakan atau modifikasi dari luar toko resmi adalah jalur paling umum penyebaran trojan.
• Jangan buka lampiran surel atau tautan mencurigakan dari pengirim yang tidak dikenal, sekalipun tampak seperti berasal dari bank atau instansi resmi.
• Cadangkan data penting secara berkala ke media atau layanan yang terpisah dari jaringan utama, agar tebusan ransomware bisa diabaikan tanpa kehilangan data.
• Pasang perangkat pengaman berlapis dan segera putuskan koneksi jaringan begitu ada indikasi infeksi, untuk mencegah malware menyebar ke perangkat lain dalam jaringan yang sama.