Terkena Ransomware: Tindakan Awal untuk Membatasi Kerusakan

Ketika layar menampilkan pesan tebusan atau sejumlah dokumen tiba-tiba tidak dapat dibuka, keputusan pada beberapa saat pertama sangat menentukan. Prioritasnya bukan langsung menghapus malware atau membayar pelaku, melainkan menghentikan penyebaran, menjaga bukti, dan menyiapkan pemulihan yang aman.

Kenali Tanda-Tanda Serangan Ransomware

Ransomware adalah perangkat lunak berbahaya yang mengunci perangkat atau mengenkripsi data agar tidak dapat digunakan. Pelaku biasanya meminta pembayaran dengan janji akan memberikan kunci pemulihan. Namun, gangguan serupa juga dapat disebabkan oleh kerusakan media penyimpanan atau masalah sistem, sehingga lakukan pemeriksaan awal tanpa terburu-buru mengubah banyak hal.

Beberapa tanda yang perlu dicurigai antara lain:

• Dokumen, foto, atau basis data tidak dapat dibuka secara serentak.
• Nama atau ekstensi banyak berkas berubah tanpa tindakan pengguna.
• Muncul berkas teks, halaman, atau gambar berisi instruksi pembayaran.
• Komputer mendadak sangat sibuk meskipun tidak sedang menjalankan pekerjaan berat.
• Folder bersama atau penyimpanan jaringan mulai mengalami perubahan yang sama.
• Program keamanan berhenti bekerja atau pengaturannya berubah.

Jika beberapa tanda muncul bersamaan, perlakukan perangkat sebagai perangkat terinfeksi sampai pemeriksaan membuktikan sebaliknya.

Langkah Pertama: Isolasi Perangkat

Segera putuskan hubungan komputer dari jaringan. Cabut kabel jaringan, matikan Wi-Fi dan Bluetooth, lalu lepaskan koneksi ke penyimpanan jaringan. Jangan membuka folder bersama hanya untuk memeriksa apakah berkas lain masih aman, karena aktivitas tersebut dapat memperluas jangkauan malware.

Lepaskan pula media eksternal seperti hard disk portabel dan flashdisk apabila pelepasan dapat dilakukan tanpa membuka atau menyalin berkas. Jika terdapat banyak komputer di rumah atau kantor, beri tahu pengguna lain agar tidak menghubungkan media yang sama ke perangkat berbeda.

Isolasi bertujuan membatasi kerusakan. Langkah ini belum berarti ancaman telah dibersihkan.

Perlukah Komputer Langsung Dimatikan?

Jawabannya bergantung pada keadaan. Jika enkripsi terlihat masih berlangsung cepat dan tidak ada tenaga teknis yang dapat segera menangani perangkat, mematikan komputer dapat menghentikan proses yang sedang berjalan. Gunakan tombol daya hanya jika cara normal tidak tersedia.

Namun, mematikan perangkat juga dapat menghilangkan data sementara yang berguna untuk penyelidikan. Dalam lingkungan perusahaan, hubungi tim teknologi informasi atau petugas keamanan terlebih dahulu bila memungkinkan. Jika komputer sudah terisolasi dan bantuan segera tersedia, biarkan kondisinya tetap seperti saat ditemukan tanpa menjalankan aplikasi tambahan.

Jangan Lakukan Tindakan yang Memperburuk Keadaan

Keinginan untuk mencoba berbagai solusi biasanya muncul karena data terasa mendesak. Sayangnya, percobaan acak dapat menimpa berkas, menghapus bukti, atau membuat proses pemulihan lebih sulit.

• Jangan membayar tebusan secara spontan. Pembayaran tidak menjamin data kembali dan dapat memancing permintaan lanjutan.
• Jangan mengganti nama, memindahkan, atau menghapus berkas terenkripsi secara massal.
• Jangan memasang alat pemulihan dari sumber yang tidak jelas.
• Jangan menghubungkan cadangan ke komputer yang belum dinyatakan bersih.
• Jangan melakukan instalasi ulang sebelum bukti dan kebutuhan pemulihan dinilai.
• Jangan memakai perangkat terinfeksi untuk mengganti kata sandi.

Jika hanya satu dokumen yang bermasalah, jangan jadikan dokumen lain sebagai bahan percobaan. Salinan data terenkripsi sebaiknya dipertahankan karena metode pemulihan mungkin tersedia kemudian.

Catat Kejadian dan Simpan Bukti

Dokumentasi membantu pemeriksaan teknis, pelaporan internal, dan penentuan data yang harus dipulihkan. Gunakan ponsel atau perangkat lain untuk memotret pesan tebusan. Catat waktu pertama kali gejala terlihat, aktivitas terakhir sebelum kejadian, serta perangkat dan akun yang sedang digunakan.

Informasi yang berguna untuk dikumpulkan meliputi:

1. Teks pesan tebusan dan nama berkas petunjuk yang muncul.
2. Contoh ekstensi baru pada berkas yang tidak dapat dibuka.
3. Nama perangkat, sistem operasi, dan akun yang sedang masuk.
4. Daftar media eksternal, folder bersama, dan layanan penyimpanan yang sempat terhubung.
5. Pesan peringatan dari program keamanan atau sistem.
6. Perkiraan waktu dan urutan kejadian.

Jangan mengirim contoh berkas sensitif melalui layanan publik. Bila organisasi memiliki prosedur penanganan insiden, simpan bukti sesuai prosedur tersebut dan batasi akses hanya kepada pihak yang berkepentingan.

Amankan Akun dari Perangkat yang Bersih

Ransomware dapat hadir bersama pencuri kata sandi atau diperoleh melalui akun yang telah dikuasai. Karena itu, gunakan komputer atau ponsel lain yang dipercaya bersih untuk mengganti kredensial penting. Dahulukan akun administrator, email utama, penyimpanan awan, layanan kerja jarak jauh, perbankan, dan pengelola kata sandi.

Aktifkan autentikasi multifaktor apabila tersedia. Keluar dari sesi aktif pada perangkat lain dan periksa apakah terdapat aturan penerusan email, perangkat baru, atau perubahan metode pemulihan yang tidak dikenal. Untuk lingkungan kerja, penggantian kredensial sebaiknya dikoordinasikan dengan administrator agar akses penyerang dapat dicabut secara menyeluruh.

Periksa Cakupan Kerusakan

Pemeriksaan harus dilakukan dari perangkat yang aman. Cari tahu apakah gangguan hanya terjadi pada satu komputer atau juga muncul pada komputer lain, server, penyimpanan jaringan, dan akun awan. Perhatikan pula riwayat versi atau aktivitas penghapusan pada layanan sinkronisasi.

Jangan menganggap perangkat aman hanya karena belum menampilkan pesan tebusan. Sistem lain yang menggunakan akun, folder bersama, atau jaringan yang sama perlu diperiksa. Di kantor, hentikan sementara koneksi yang berisiko sesuai arahan tim teknologi informasi, tanpa mematikan seluruh layanan secara sembarangan.

Siapkan Pemulihan secara Bertahap

Pemulihan yang aman dimulai dengan memastikan sumber serangan telah ditangani. Memulihkan data ke sistem yang masih terinfeksi hanya akan mengulangi kerusakan. Pemeriksaan dan pembersihan dapat memerlukan bantuan teknisi yang memahami respons insiden, terutama jika perangkat menyimpan data usaha atau informasi sensitif.

Nilai Kondisi Cadangan

Periksa cadangan dari perangkat bersih tanpa langsung memasangnya ke komputer terdampak. Pastikan cadangan dibuat sebelum serangan, dapat dibaca, dan tidak ikut terenkripsi. Cadangan offline atau versi lama yang tidak terus-menerus terhubung biasanya lebih mudah dipisahkan dari insiden.

Bangun Ulang Sistem Bila Diperlukan

Untuk memperoleh tingkat kepercayaan yang lebih baik, teknisi mungkin menyarankan penghapusan media sistem dan instalasi ulang dari sumber resmi. Setelah sistem diperbarui dan dilindungi, pulihkan data secara bertahap. Pindai setiap kelompok data, pantau perilaku perangkat, lalu sambungkan kembali ke jaringan setelah pemeriksaan selesai.

Urutan pemulihan yang praktis adalah:

1. Identifikasi dan tutup jalur masuk yang diketahui.
2. Instal ulang atau bersihkan perangkat sesuai hasil pemeriksaan.
3. Pasang pembaruan sistem dan aplikasi.
4. Ubah kredensial serta batasi hak administrator.
5. Pulihkan data penting dari cadangan yang telah diuji.
6. Pantau aktivitas akun, jaringan, dan perangkat setelah pemulihan.

Kapan Harus Meminta Bantuan?

Segera libatkan tenaga profesional jika serangan mengenai beberapa perangkat, server, data pelanggan, catatan keuangan, atau sistem penting. Organisasi juga perlu mengikuti kewajiban pelaporan dan penanganan insiden yang berlaku pada jenis data serta wilayah operasinya. Jangan menunggu sampai seluruh perangkat tidak dapat digunakan sebelum memberi tahu penanggung jawab.

Pengguna rumahan sebaiknya mencari bantuan teknisi tepercaya ketika tidak memiliki cadangan, ragu memisahkan perangkat, atau harus menyelamatkan data penting. Hindari layanan yang menjanjikan pemulihan pasti sebelum memeriksa jenis kerusakan.

Setelah Pulih, Kurangi Risiko Serangan Berikutnya

Jadikan insiden sebagai dasar perbaikan. Terapkan cadangan berlapis dengan setidaknya satu salinan yang tidak selalu terhubung, lalu uji proses pemulihannya secara berkala. Perbarui sistem dan aplikasi, hapus perangkat lunak yang tidak diperlukan, gunakan akun biasa untuk pekerjaan harian, dan batasi akses ke folder bersama.

Waspadai lampiran, tautan, perangkat lunak bajakan, serta permintaan masuk yang tidak biasa. Pada lingkungan kerja, catat siapa yang memiliki akses administrator dan pastikan setiap orang mengetahui cara melaporkan gejala mencurigakan.

Saat terkena ransomware, urutan tindakan lebih penting daripada kecepatan yang tanpa arah: isolasi perangkat, pertahankan bukti, amankan akun dari perangkat bersih, nilai cakupan kerusakan, lalu pulihkan hanya dari sumber tepercaya. Pendekatan tenang dan bertahap memberi peluang terbaik untuk membatasi kerugian sekaligus mencegah infeksi berulang.