Selama bertahun-tahun, tim keamanan memperlakukan ransomware sebagai masalah teknologi. Tim keamanan memperkuat sistem cadangan, menerapkan deteksi titik akhir, mempraktikkan pedoman respons insiden yang dibangun berdasarkan pemulihan data, dan menerapkan manajemen permukaan serangan untuk mencegah akses awal.
Namun pada tahun 2025, pedoman tersebut sudah ketinggalan zaman. Operasi ransomware saat ini telah berkembang melampaui enkripsi file menjadi sesuatu yang jauh lebih sulit untuk dilawan, kampanye pemerasan sistematis yang mempersenjatai data yang dicuri, tanggung jawab hukum, dan tekanan psikologis pada skala industri.
Solusi yang dikenal—pemulihan dari cadangan—tidak lagi mengatasi ancaman tersebut. Kini, organisasi perlu merespons paparan data, tanggung jawab hukum, dan kerusakan reputasi.
Bagaimana Ransomware Direorganisasi pada tahun 2025
Ransomware pada tahun 2025 tidak berkembang begitu saja—tetapi mengalami reorganisasi secara mendasar. Setelah penghapusan besar-besaran pada tahun 2024 (LockBit, BlackSuit, dan 8Base), tidak ada satu kelompok pun yang mulai mendominasi ekosistem lagi. Sebaliknya, ransomware menjadi terfragmentasi dan kolaboratif, dengan afiliasi yang berpindah dengan lancar antar merek, menggunakan kembali peralatan, dan berbagi broker akses.
Desentralisasi ini membuat atribusi dan gangguan menjadi jauh lebih sulit, sementara dampaknya terhadap para korban masih tetap parah.
Dari Single Playbook hingga Spektrum Pemerasan
Kampanye yang dilakukan baru-baru ini mengungkapkan bahwa pemerasan ganda telah berkembang lebih dari sekadar pedoman tunggal. Para pelaku ancaman kini menerapkan spektrum taktik yang dioptimalkan untuk skala, pengaruh, dan ketahanan. Pelaku ancaman menunjukkan bahwa penyalahgunaan identitas dan rekayasa sosial saja dapat mendorong pemerasan skala besar.
Tekanan ini diperkuat melalui tindakan yang mempermalukan publik dan mendaur ulang data. Hal ini menandai peralihan ke arah operasi yang mengutamakan tekanan (pressure-first) di mana kerusakan reputasi dan ancaman paparan lebih besar dibandingkan gangguan teknis.
Pada saat yang sama, kelompok-kelompok seperti Qilin, Akira, SafePay, INC, dan Lynx memformalkan model pemerasan ganda yang klasik: mencuri data, mengenkripsi sistem, lalu mengancam pengungkapan publik. Negosiasi mereka semakin banyak menimbulkan tanggung jawab hukum, denda peraturan, dan tuntutan hukum perdata, sehingga membingkai ulang tuntutan uang tebusan sebagai bentuk “mitigasi risiko” dan bukan sekadar pemulihan.
Cl0p menyempurnakan pemerasan tanpa enkripsi pada skala industri dengan mengeksploitasi perangkat lunak rantai pasokan untuk mengambil data dari ratusan korban secara bersamaan.
Sementara itu, DragonForce dan RansomHub menyoroti ketahanan operasi bergaya kartel, di mana penggunaan kembali afiliasi dan infrastruktur bersama mempertahankan pemerasan ganda bahkan ketika merek menghilang, terpecah, atau berganti merek.
Mengapa Pelaku Ancaman Kini Menargetkan UKM di Kawasan dengan Regulasi Tinggi
Peneliti Flare baru-baru ini menganalisis bagaimana ransomware SafePay muncul dengan cepat pada akhir tahun 2024 dan berkembang secara agresif hingga tahun 2025 menggunakan pendekatan pemerasan ganda yang menggabungkan pencurian data, enkripsi, dan situs kebocoran berbasis Tor.
Dengan menganalisis 500 catatan kebocoran SafePay, para peneliti menemukan bahwa lebih dari 90% korbannya adalah usaha kecil dan menengah (UKM) yang cukup besar untuk membayar uang tebusan namun tidak memiliki ketahanan yang cukup untuk menahan downtime yang berkepanjangan atau paparan data publik.
Korbannya sebagian besar adalah perusahaan berbasis jasa (sekitar 66%), yang menunjukkan adanya penargetan ekonomi yang disengaja dan bukan pemindaian oportunistik.
Secara geografis, insiden terjadi di wilayah dengan peraturan tinggi dan PDB tinggi (khususnya Amerika Serikat dan Jerman), di mana kerangka kerja seperti GDPR, NIS2, HIPAA, dan undang-undang pemberitahuan pelanggaran secara signifikan memperbesar dampak kebocoran data. Dalam lingkungan seperti ini, paparan publik sering kali memicu konsekuensi peraturan, hukum, dan reputasi yang lebih besar daripada uang tebusan itu sendiri.
Analisis ini mengungkap bagaimana profil korban SafePay mengungkap dinamika risiko yang lebih luas yang jarang muncul dalam pengungkapan insiden resmi. Karena banyak korban tidak pernah melaporkan serangan ransomware secara publik, intelijen situs kebocoran memberikan “lapisan transparansi bayangan”, yang mengungkapkan konsentrasi sektor, paparan geografis, dan kerentanan organisasi.
Bagi tim keamanan dan manajer risiko, wawasan ini dapat ditindaklanjuti secara langsung, menjadi masukan bagi penilaian risiko pihak ketiga, penjaminan asuransi siber, uji tuntas M&A, dan investasi defensif yang proaktif.
Inside the Psychological Playbook: Bagaimana Catatan Tebusan Menjadikan Ketakutan
Peralihan ke arah pemerasan yang berpusat pada tekanan tidak hanya mencakup operasi yang canggih. Pisahkan penelitian Flare pada operasi tebusan MongoDB (aktif sejak 2017) menggambarkan bagaimana kampanye berteknologi rendah yang sudah berlangsung lama telah beradaptasi dengan model yang berpusat pada tekanan. Apa yang dulunya merupakan skema sederhana “enkripsi untuk mendapatkan bayaran” kini memprioritaskan data yang dicuri, kerusakan reputasi, dan paparan hukum dibandingkan kecanggihan teknis.
Di ekosistem MongoDB, penyerang tidak bergantung pada malware tingkat lanjut atau kerentanan zero-day. Sebaliknya, mereka mengeksploitasi kesalahan konfigurasi yang dapat diprediksi: instans MongoDB atau Mongo Express yang terekspos internet tanpa autentikasi.
Bot otomatis memindai database terbuka, menghubungkan, membuang atau menghapus koleksi, dan meninggalkan catatan tebusan yang menuntut pembayaran Bitcoin yang relatif kecil (secara historis ~$500–$600), seringkali tanpa bukti bahwa pemulihan dapat dilakukan.
Hal ini mencerminkan evolusi ekonomi ransomware yang lebih luas: optimalisasi skala, kecepatan, dan tekanan psikologis—bukan hal baru secara teknis.
Jika catatan awal mengenai ransomware masih sederhana— “bayar atau hilangkan data Anda”—pemerasan modern telah menjadi proses pemaksaan yang sepenuhnya diatur, lengkap dengan panduan negosiasi, kerangka hukum, dan manipulasi psikologis.
Titik Tekanan Psikologis
Di bawah ini adalah tema utama yang digunakan kelompok ransomware untuk memanipulasi korbannya:
1. Pengawasan & Kesadaran
“Kami mengetahui Anda telah mengakses panduan ini.”
Hal ini menciptakan persepsi kemahatahuan. Penyerang memberi sinyal kemampuan pemantauan, sehingga menimbulkan paranoia dan urgensi (“mereka mengawasi kita”), meskipun kemungkinan besar hal tersebut tidak benar.
2. Tekanan Waktu Buatan
“Penawaran ini berlaku selama 24 jam.”
“Jika Anda belum menghubungi kami dalam dua hari…”
Tenggat waktu yang singkat dan meningkat digunakan untuk mengesampingkan pengambilan keputusan yang rasional, memaksa tindakan impulsif sebelum konsultasi hukum, eksekutif, atau forensik.
3. Hilangnya Kendali Pembingkaian
“Satu-satunya cara memulihkan data Anda adalah dengan melakukan pembayaran.”
Hal ini menghilangkan alternatif yang ada (cadangan, penegakan hukum, dan respons terhadap insiden), menjadikan pembayaran sebagai satu-satunya jalan yang layak.
4. Ketakutan Hukum & Peraturan
“Kebocoran data adalah pelanggaran hukum yang serius.”
Hal ini secara jelas memicu kekhawatiran akan kepatuhan (GDPR, undang-undang pemberitahuan pelanggaran, dan tuntutan hukum), sehingga menjadikan uang tebusan sebagai alternatif yang lebih murah dibandingkan dampak buruk peraturan.
5. Ancaman Reputasi & Eksposur
“Lembaga pemerintah, pesaing, kontraktor, dan media lokal masih belum menyadarinya…”
Penyerang menyebutkan khalayak tertentu untuk memaksimalkan ketakutan: regulator, pesaing, dan media. Ini adalah pemerasan reputasi yang dilakukan selain kehilangan data.
6. Tekanan Hirarki Internal
“Jika Anda adalah administrator sistem… kami akan menghubungi [your boss].”
Hal ini mempersenjatai politik organisasi, mengisolasi staf teknis dan mendorong mereka untuk bertindak diam-diam guna menghindari kesalahan atau kehilangan pekerjaan.
7. Rekayasa Kepastian & Kepercayaan yang Palsu
“Kami menjamin data Anda tidak akan dijual… akan dihapus dari server kami.”
Hal ini meniru bahasa kontrak untuk menciptakan kepercayaan ilusi, meskipun tidak ada mekanisme penegakan hukum atau bukti itikad baik.
8. Peralihan Tanggung Jawab
“Ini adalah tanggung jawabmu.”
Secara eksplisit menyalahkan korban atas kerugian di masa depan, meningkatkan rasa bersalah dan kewajiban moral untuk membayar.
9. Pengurangan Gesekan
Instruksi pembelian Bitcoin yang terperinci menghilangkan alasan logistik dan mengurangi keraguan—menghilangkan hambatan kepatuhan.
Komponen Pemerasan Ganda
Catatan ini dengan jelas menunjukkan pemerasan ganda, bahkan tanpa enkripsi:
1. Pemerasan Utama: Ketersediaan Data
-
Ancaman kehilangan data permanen
-
Klaim bahwa pemulihan data tidak mungkin dilakukan tanpa pembayaran
2. Pemerasan Sekunder: Keterbukaan Data
-
Ancaman terhadap:
-
Jual data di web gelap
-
Bocor ke “pihak yang berkepentingan”
-
Hubungi media, regulator, dan pesaing
-
Targetkan karyawan dan rekanan
-
Hal ini mengubah insiden teknis menjadi krisis hukum, reputasi, dan kelangsungan bisnis.
Apa yang Dapat Dilakukan Tim Keamanan
Bertahan melawan ransomware yang berfokus pada paparan memerlukan empat perubahan strategis:
1. Mempersiapkan tim hukum dan komunikasi sejak dini.
Jika senjata utamanya adalah kerusakan reputasi dan paparan peraturan, maka perbaikan teknis saja tidak akan cukup. Rencana respons terhadap insiden harus mencakup templat pemberitahuan pelanggaran yang telah dirancang sebelumnya, prosedur pengungkapan peraturan, dan kerangka respons media—bukan sebagai renungan, namun sebagai pertahanan lini pertama.
2. Terus latih organisasi Anda agar lebih aman di dunia maya.
Hal ini termasuk membangun ketahanan organisasi terhadap taktik psikologis yang diterapkan kelompok ransomware—khususnya narasi bersalah dan menyalahkan yang dirancang untuk mengisolasi staf teknis dan menunda eskalasi. Ciptakan lingkungan di mana tim keamanan dapat mengungkap insiden lebih awal tanpa takut akan dampak pribadi.
3. Tingkatkan program manajemen kerentanan Anda dengan intelijen mengenai kerentanan yang dieksploitasi secara aktif.
Saat menghadapi ribuan CVE dan jutaan peringatan keamanan, tim keamanan memerlukan kerangka prioritas yang didasarkan pada aktivitas ancaman di dunia nyata. Dengan memanfaatkan intelijen ancaman yang mengidentifikasi kerentanan spesifik mana yang dieksploitasi oleh kelompok ransomware dalam kampanye saat ini—misalnya, “Grup X secara aktif mengeksploitasi CVE-2024-1234 dan CVE-2025-5678”—tim dapat memfokuskan upaya remediasi pada vektor serangan yang sebenarnya digunakan oleh operator ransomware untuk mendapatkan akses awal, daripada mencoba mengatasi semuanya sekaligus.
4. Memprioritaskan audit konfigurasi berdasarkan vektor serangan yang secara aktif dieksploitasi oleh kelompok ransomware.
Contoh MongoDB mengilustrasikan prinsip penting: pelaku ancaman tidak mengeksploitasi permutasi kesalahan konfigurasi yang tak terbatas—mereka secara sistematis menargetkan pola hasil tinggi yang dapat diprediksi seperti database yang terekspos internet tanpa autentikasi. Daripada mencoba mengaudit setiap kemungkinan risiko konfigurasi, tim keamanan harus menggunakan intelijen ancaman untuk mengidentifikasi kesalahan konfigurasi spesifik mana yang dieksploitasi oleh operator ransomware dalam skala besar dalam kampanye saat ini, kemudian melakukan audit yang ditargetkan terhadap aset-aset yang terhubung ke internet untuk mengetahui pola-pola berisiko tinggi tersebut. Pendekatan ini mengubah manajemen konfigurasi dari daftar periksa yang sangat banyak menjadi strategi pertahanan yang terfokus.
Yang Perlu Diketahui Tentang Ransomware Modern
Ransomware modern tidak lagi ditentukan oleh enkripsi—tetapi ditentukan oleh pengaruh yang dimiliki pelaku ancaman terhadap organisasi. Sejak tahun 2017, dan meningkat tajam setelah tahun 2024, pelaku ancaman telah beralih ke model pemerasan ganda yang mempersenjatai data yang dicuri, paparan peraturan, dan tekanan psikologis.
Dari operasi skala industri seperti SafePay hingga kampanye MongoDB berteknologi rendah, polanya konsisten: penyerang mengoptimalkan kecepatan, skala, dan tekanan psikologis dibandingkan kompleksitas teknis.
Bagi tim keamanan, ini berarti strategi pertahanan harus berkembang melampaui pedoman tradisional yang berfokus pada pemulihan. Visibilitas terhadap paparan eksternal, manajemen konfigurasi yang disiplin, dan pemantauan kredensial yang bocor tidak lagi bersifat opsional—hal ini merupakan hal yang mendasar.
Masalah ransomware saat ini pada dasarnya berkaitan dengan tekanan manusia dan hukum, bukan hanya malware. Mengenali perbedaan inilah yang membedakan manajemen krisis reaktif dengan mitigasi risiko proaktif.
Pelajari lebih lanjut dengan mendaftar uji coba gratis kami.
Disponsori dan ditulis oleh Suar.
