Ransomware 2026: Siapa yang Kena, Bagaimana Serangannya, dan Apa yang Berubah

Tahun 2025 membawa beberapa serangan ransomware terbesar dalam sejarah. Pada 2026, pola serangan bergeser: bukan lagi cuma enkripsi, melainkan ekstorsi ganda (double extortion) dan bahkan tripla (data + downtime + regulator threat). Kelompok beralih dari target individu ke critical infrastructure, healthcare, dan manufacturing. Artikel ini merangkum tren 2026, perusahaan yang tercatat kena serangan besar, dan apa yang berubah dibandingkan lima tahun lalu.

Tren 2026: ekstorsi ganda jadi standar

Pada 2019, ransomware umumnya mengenkripsi file lalu minta tebusan. Pada 2026, 80% serangan besar yang tercatat di laporan tahunan menggunakan strategi ekstorsi ganda: enkripsi + pencurian data. Kelompok mencuri database dan file sensitif sebelum mengenkripsi, lalu mengancam publikasi data (doxware) jika tebusan tidak dibayar. Beberapa kelompok bahkan mencoba ekstorsi tripla: tambahan ancaman mengirimkan data ke regulator (misal pelanggaran GDPR) atau menghubungkan anak perusahaan upstream.

Alur serangan 2026:
1. Initial access: Phishing / RDP / VPN unpatched2. Recon: Identify data targets, AD, backup shares3. Exfiltrate: Data dikirim ke MEGA / SFTP / Telegram4. Deploy ransomware: Enkripsi + ransomware note5. Negotiate / threat: Public release if no payment

Target yang naik: healthcare (data sensitif, downtime fatal), manufacturing (OT/IT boundary), dan transportation (supply chain). Critical infrastructure juga termasuk power grid dan water treatment — negara-negara mulai menganggap ransomware sebagai ancaman nasional.

Kelompok aktif terbesar pada 2026

Tidak ada kelompok tunggal yang dominan, tetapi beberapa konsorsium dan affiliate model (RaaS - Ransomware as a Service) berkembang pesat:

  • RaaS platforms: Kelompok besar menyediakan ransomware builder, panel extortion, dan payment processing untuk affiliate. Affiliate membobol korban, platform mengambil 20-30%. Ini meminimalkan risiko hukum bagi kelompok utama.

  • State-sponsored groups: Beberapa kelompok yang baru muncul berhubungan dengan operasi intelijen negara. Mereka tidak publikasikan data, melainkan menyimpan exfiltrate untuk espionage — baru mengenkripsi sebagai cover.

Tipe serangan yang meningkat: - Supply chain compromise: Menyerang vendor software kecil yang dilibat di banyak perusahaan besar. - Backup targeting: Ransomware yang secara selektif mengenkripsi backup dan snapshots sebelum data utama. Kunci target di host + cloud storage. - Living-off-the-land (LotL): Pakai tool asli sistem (PowerShell, WMI, PsExec) sehingga jarang terdeteksi antivirus.

Korporasi yang kena serangan besar 2025-2026

Berikut beberapa kasus besar yang tercatat dalam laporan keamanan publik:

1. Rumah sakit — Healthcare

  • Ascension (AS, 2024): Ransomware Black Basta melumpuhkan rekam medis elektronik selama berminggu-minggu, memaksa staf kembali ke proses manual dan mengalihkan sebagian ambulans ke rumah sakit lain.

  • Synnovis (Inggris, 2024): Ransomware menggagalkan patologi di NHS London, menyebabkan penundaan operasi dan chemotherapy.

2. Keuangan

  • ICBC (unit AS) (2023): Ransomware LockBit melumpuhkan sistem trading, mengganggu penyelesaian transaksi US Treasury dan memaksa bank memakai flash drive untuk transfer data ke counterparty.

  • Evolve Bank & Trust (AS, 2024): Ransomware LockBit membocorkan data karyawan dan nasabah, berdampak ke fintech partner seperti Affirm dan Wise.

3. Manufaktur & Supply Chain

  • Boeing (AS, Oktober 2023): Ransomware LockBit menyerang divisi parts and distribution, mengganggu sebagian sistem backend. Boeing mengonfirmasi insiden setelah LockBit mempublikasikan klaimnya.

  • Fourlis Group (operator IKEA di Yunani/Siprus/Rumania/Bulgaria, 2024): Ransomware mengganggu sistem IT dan pemesanan online selama beberapa minggu, meski toko fisik tetap buka.

4. Teknologi & Cloud

  • Microsoft (2024): Cozy Bear (APT29, kelompok yang berafiliasi dengan Rusia) membobol email eksekutif dan repository source code lewat password spray — bukan ransomware untuk tebusan, tapi espionase negara terhadap infrastruktur teknologi besar.

  • Kaseya (2021, tapi dampak panjang): Serangan ke MSP management platform memicu domino effect ke ratusan pelanggan kecil.

5. Publik Sektor

  • Baltimore (AS, 2019 tapi menjadi template): Kota ini tidak bayar tebusan, recovery 5 bulan, biaya $18 juta. Jadi case study untuk "jangan bayar".

  • Costa Rica (2022): Ransomware menyebabkan keadaan nasional emergency, payroll tertahan.

Mengapa banyak yang Bayar?

Survei tahunan menunjukkan sekitar 60-70% perusahaan yang kena ransomware akhirnya membayar tebusan. Alasan: - Downtime lebih mahal daripada tebusan (misal: pabrik down $1 juta/hari). - Asuransi cyber kadang menutupi tebusan, mengurangi tekanan finansial langsung. - Legal: jika data bocor dan perusahaan lapor ke regulator, denda GDPR bisa lebih besar daripada tebusan.

Namun membayar tidak menjamin tidak kena lagi. Studi kasus menunjukkan sekitar 30% perusahaan yang bayar masih mengalami serangan kedua dalam 6 bulan, karena attacker tahu mereka mau bayar.

Perubahan regulasi 2025-2026

Beberapa negara mewajibkan lapor ransomware dalam 72 jam jika melibatkan data warga (EU NIS2, AS SECURE 2.0). Ini memaksa perusahaan untuk memiliki monitoring dan incident response yang cepat. Beberapa negara sedang memilih tidak bayar untuk menghindari denda lebih besar dari regulator. Di Indonesia, OJK dan BSSN mulai meminta pelaporan insiden siber dalam waktu 24 jam untuk perusahaan jasa keuangan dan BUMN.

Perusahaan yang belajar dari serangan

Perusahaan yang survive tanpa bayar tebusan (misal: Norsk Hydro 2019) banyak yang menggunakan immutable backup dan network isolation. Merekam "cold recovery" dari environment yang tidak terhubung. Ini model yang sekarang banyak ditiru.

Pelajaran untuk tim kecil dan menengah

  1. Backup tidak cukup. Backup harus immutable (WORM) dan offline. Banyak serangan 2026 menargetkan backup sebagai prioritas pertama.

  2. MFA wajib. 80% serangan masuk lewat credential yang dicuri. MFA + hardware key bisa mencegah 95% initial access.

  3. Network segmentation. Ransomware menyebar lateral. Pisahkan VLAN, jangan share drive terbuka, limit RDP dari internet.

  4. Patch edge devices. VPN, firewall, dan remote management tools adalah pintu masuk utama.

  5. Incident response plan. Simpan di luar network (printed / air-gapped). Kalau server mati, kamu masih tahu nomor telepon vendor dan kata sandi recovery.

  6. Asuransi cyber. Review polis: apakah menutupi downtime, forensik, dan notifikasi regulator? Bukan cuma tebusan.

  7. Egress monitoring. Deteksi anomali: transfer data besar di jam tidak biasa adalah tanda exfiltration sebelum enkripsi.

Takeaways

  • Ransomware 2026: ekstorsi ganda + tripla jadi standar, supply chain dan OT meningkat.

  • Kelompok pakai RaaS sehingga volume serangan tinggi dan sulit dilacak.

  • Perusahaan besar (healthcare, finance, manufacturing, publik) paling terdampak.

  • 60-70% bayar tebusan, tapi risiko serangan kedua tetap tinggi.

  • Regulasi mulai menuntut lapor cepat; compliance menjadi palu kedua.

  • Immunity tidak dari membayar, tapi dari immutable backup + MFA + segmentasi + IR plan.