Definisi
Ransomware adalah perangkat lunak jahat yang mengunci data korban dengan enkripsi, lalu meminta tebusan sebagai syarat membuka kuncinya. Datanya tidak dicuri lebih dulu dalam pengertian klasik — ia tetap ada di tempatnya, hanya tidak bisa dibaca oleh pemiliknya sendiri.
Sejak beberapa tahun terakhir polanya berubah menjadi pemerasan ganda. Sebelum mengunci, pelaku menyalin data lebih dulu. Kalau korban menolak membayar dengan alasan punya cadangan, pelaku mengancam menyebarkan data yang sudah disalin. Perubahan pola ini penting secara hukum, karena menambahkan satu lapis delik lagi: pengungkapan data pribadi tanpa hak.
Korbannya bukan hanya perusahaan besar. Klinik, sekolah, koperasi, dan kantor notaris justru sering menjadi sasaran karena datanya penting tetapi pengamanannya terbatas.
Jalan masuknya hampir selalu sederhana. Lampiran surel yang dibuka karyawan, kata sandi akun jarak jauh yang lemah, atau perangkat lunak lama yang belum diperbarui. Serangan besar jarang berawal dari teknik canggih; ia berawal dari satu celah kecil yang dibiarkan bertahun-tahun.
Dasar Hukum
Tidak ada pasal yang menyebut kata “ransomware”. Perbuatannya diurai menjadi beberapa rumusan dalam UU No. 11 Tahun 2008 tentang ITE, yang telah diubah dengan UU No. 19 Tahun 2016 dan UU No. 1 Tahun 2024.
Masuknya pelaku ke dalam sistem adalah akses tanpa hak, dengan ancaman lebih berat bila dilakukan dengan menerobos sistem pengamanan. Pengenkripsian data adalah perbuatan mengubah dan menyembunyikan informasi elektronik milik orang lain. Membuat sistem berhenti berfungsi menyentuh larangan mengganggu sistem elektronik. Permintaan tebusan disertai ancaman adalah pemerasan lewat sarana elektronik, yang setelah perubahan kedua UU ITE berdiri sebagai Pasal 27B — bukan lagi Pasal 27 ayat (4) seperti disebut banyak tulisan lama.
Bila data yang disalin memuat data pribadi, UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi berlaku dengan rezim pidananya sendiri untuk pelaku, sekaligus rezim kewajiban administratif untuk korban yang menyimpan data itu. Sejak 2 Januari 2026 KUHP baru berdasarkan UU No. 1 Tahun 2023 berlaku penuh, dan rumusan pemerasan dalam KUHP baru dapat dipakai berdampingan dengan UU ITE sebagai aturan khusus.
Pembayaran tebusan ke dompet aset kripto anonim juga menyentuh rezim pencucian uang dan pendanaan terorisme, terutama bila kelompok penyerangnya masuk daftar sanksi internasional.
Ilustrasi
Sebuah klinik dengan tiga cabang datang bekerja pada Senin pagi dan menemukan seluruh berkas rekam medis berubah ekstensinya. Di setiap folder ada berkas teks berisi permintaan pembayaran senilai kira-kira Rp900 juta dalam bentuk aset kripto, dengan tenggat 72 jam sebelum “data pasien dipublikasikan”.
Di sini ada dua persoalan yang harus dijalankan bersamaan. Terhadap pelaku, klinik menempuh jalur pidana: akses ilegal, perusakan dan penyembunyian informasi elektronik, gangguan sistem, serta pemerasan. Terhadap pasien, klinik justru berada di posisi yang wajib bertanggung jawab, karena rekam medis adalah data pribadi yang bersifat spesifik dan kebocorannya wajib diberitahukan dalam 3x24 jam.
Yang menentukan kualitas penanganannya adalah keputusan jam pertama: memutus jaringan tanpa mematikan mesin, karena mematikan mesin bisa menghapus jejak yang tersimpan di memori dan menyulitkan pemeriksaan forensik.
Kewajiban Organisasi yang Terkena Ransomware
- Isolasi, bukan pemusnahan. Putuskan jaringan perangkat yang terinfeksi dan hentikan penyebaran, tetapi jangan memformat sistem sebelum salinan forensik diambil.
- Amankan catatan log — log akses, log server surel, dan log firewall. Ini bahan bukti utama sekaligus dasar menilai data apa saja yang terambil.
- Nilai apakah ada data pribadi yang terdampak. Kalau ya, kewajiban pemberitahuan 3x24 jam berlaku.
- Beri tahu subjek data dan lembaga pengawas secara tertulis, memuat data apa yang terungkap, kapan, bagaimana, dan apa yang sedang dilakukan.
- Laporkan ke aparat penegak hukum dan ke lembaga yang menangani keamanan siber untuk penanganan insiden.
- Dokumentasikan seluruh penanganan. Catatan inilah yang akan menunjukkan bahwa organisasi bertindak wajar, dan menjadi pembeda antara sanksi administratif berat atau ringan.
Membayar Tebusan: Risiko Hukumnya
Membayar tebusan tidak dilarang secara tegas oleh undang-undang di Indonesia, tetapi bukan berarti bebas risiko. Beberapa hal perlu dipertimbangkan.
Pembayaran tidak menghapus kewajiban pemberitahuan kebocoran data. Banyak organisasi mengira membayar berarti persoalan selesai diam-diam; secara hukum tidak demikian, karena kewajiban itu melekat pada terjadinya insiden, bukan pada terselesaikannya.
Pembayaran juga tidak menjamin data kembali. Bahkan bila kunci dikirim, salinan data yang telanjur diambil tetap ada di tangan pelaku dan dapat dipakai untuk memeras ulang.
Bagi organisasi berbadan hukum, pengeluaran sebesar itu tanpa dasar keputusan yang jelas berpotensi menjadi persoalan pertanggungjawaban pengurus terhadap pemegang saham. Kalau penerima tebusan ternyata pihak yang terkena sanksi internasional, transaksinya berisiko menyentuh rezim pendanaan terorisme.
Ke Mana Melapor
- Kepolisian, untuk laporan pidana. Bawa salinan catatan log, berkas permintaan tebusan, dan kronologi tertulis.
- Lembaga yang menangani keamanan siber nasional dan tim tanggap insiden sektoral, untuk penanganan teknis dan peringatan dini bagi organisasi lain.
- Lembaga pengawas pelindungan data pribadi, untuk pemberitahuan kegagalan pelindungan data.
- Regulator sektoral, bila organisasi Anda diawasi secara khusus, misalnya lembaga keuangan atau fasilitas kesehatan.
- Subjek data yang terdampak, secara tertulis dan berisi rincian, bukan pengumuman umum yang menyatakan tidak ada data penting yang bocor.
- Penyedia layanan awan atau pengelola sistem, bila sistem Anda dititipkan pada pihak ketiga, karena catatan log di sisi mereka sering menjadi bukti yang paling utuh.