Ancaman Siber di Era AI: Membaca Data BSSN 2025 untuk Perusahaan Indonesia
Ancaman siber di era AI adalah serangan digital yang kini bisa dirancang, dipercepat, dan diperbanyak dengan bantuan kecerdasan buatan, dari pemindaian celah keamanan hingga penipuan memakai wajah dan suara palsu. Sederhananya, penyerang mendapat asisten yang bekerja tanpa henti. Tulisan ini membahas skala ancaman menurut data BSSN 2025, cara AI mempercepat serangan, penipuan berbasis AI yang menyasar nasabah, kewajiban hukum perusahaan saat insiden terjadi, hingga langkah pertahanan yang realistis.
TLDR
Seberapa Besar Ancaman Siber di Indonesia Menurut BSSN?
BSSN mencatat sekitar 5,16 miliar anomali trafik internet sepanjang 2025, dengan 93,78 persen terkait potensi malware.
Bagaimana AI Mempercepat Serangan Siber?
Kasus Storm-0940 yang diungkap Microsoft pada Oktober 2026 menunjukkan agen AI bisa menyerang lebih dari 2.250 tenant dan meraih akses istimewa dalam kurang dari 3 jam.
Penipuan Berbasis AI yang Menyasar Nasabah dan Karyawan
OJK menerima 1.379 laporan penipuan keuangan berbasis AI hingga akhir Juni 2026, dengan deepfake tokoh publik sebagai modus terbanyak.
Kewajiban Hukum Perusahaan Saat Terjadi Insiden Siber
UU PDP mewajibkan pencegahan akses tidak sah dan pemberitahuan tertulis paling lambat 3 x 24 jam bila terjadi kegagalan pelindungan data.
Langkah Pertahanan Siber Perusahaan di Era AI
Perusahaan perlu memperlakukan keamanan siber sebagai investasi, merapikan akses pihak ketiga, dan melatih karyawan mengenali penipuan berbasis AI.
Kesimpulan
AI mempercepat penyerang, sehingga pertahanan yang masih manual dan reaktif perlu segera diperbarui.
Banyak perusahaan di Indonesia sedang sibuk mencari cara memakai AI untuk melayani pelanggan, memangkas biaya, dan mempercepat analisis data. Di sisi lain, penjahat siber juga memakai teknologi yang sama, dan mereka tidak perlu menunggu persetujuan anggaran. Angka dari Badan Siber dan Sandi Negara (BSSN), Otoritas Jasa Keuangan (OJK), dan laporan Microsoft beberapa bulan terakhir memperlihatkan pola yang sama: serangan makin banyak, makin cepat, dan makin meyakinkan. Pertanyaannya bagi pimpinan perusahaan cukup praktis. Seberapa besar risikonya, aturan apa yang mengikat saat insiden terjadi, dan langkah apa yang paling masuk akal dikerjakan lebih dulu?
Seberapa Besar Ancaman Siber di Indonesia Menurut BSSN?
Menurut BSSN, Indonesia mencatat sekitar 5,16 miliar anomali trafik internet sepanjang 2025, atau rata-rata sekitar 182 potensi serangan per detik. Sebanyak 93,78 persen anomali itu terkait aktivitas malware yang berpotensi berkembang menjadi ransomware. Angka ini disampaikan Deputi Bidang Keamanan Siber dan Sandi Perekonomian BSSN, Slamet Aji Pamungkas, pada 6 Agustus 2026.
"Data 2025, tercatat sekitar 5,16 miliar anomali trafik data internet," kata Slamet dalam BPD Summit 2026 di Semarang, seperti dilaporkan Periskop. Pada kesempatan lain, 8 Mei 2026, ia menyebut angka sekitar 5,2 miliar anomali. Perbedaan kecil ini wajar karena periode penghitungannya berbeda. Investortrust melaporkan angka 5,2 miliar itu mencakup data Januari sampai 15 November 2025.
Yang perlu dicatat, angka sebesar itu baru sebagian dari gambaran utuh. Menurut Infobank (Mei 2026), kapasitas pemantauan BSSN belum mencapai 10 persen trafik internet nasional, dan lembaga itu menargetkan kenaikan ke 30 hingga 50 persen pada 2028 atau 2029. "Jadi, kalau ada 10 pintu yang harus kami awasi, kami baru punya satu sisi pintu," ujar Slamet.
Slamet juga menggambarkan ancaman siber seperti gunung es. Dalam forum 16 April 2026, ia menyebut hanya sekitar 10 sampai 20 persen ancaman yang terlihat di permukaan, sementara 80 sampai 90 persen lainnya tersembunyi. Ia menilai sektor keuangan paling rentan karena celahnya ada di tiga titik: nasabah, sistem pendukung pihak ketiga, dan sistem inti perbankan.
Bagaimana AI Mempercepat Serangan Siber?
AI mempercepat serangan siber dengan mengotomatiskan pekerjaan yang dulu butuh tim peretas berhari-hari, mulai dari pengintaian, pencarian celah, sampai percobaan login massal. Kasus Storm-0940 yang diungkap Microsoft pada 21 Oktober 2026 menunjukkan agen AI mampu menyerang lebih dari 2.250 tenant dan meraih akses istimewa dalam kurang dari 3 jam.
Menurut Microsoft (2026), kelompok Storm-0940 memakai ARTEX, framework uji penetrasi open source berbasis agen AI. Fungsi aslinya membantu tim keamanan menguji sistem sendiri, tetapi kemampuan yang sama dipakai penyerang. Microsoft mencatat laju sekitar 2.900 percobaan login per menit, dan di beberapa kasus jarak dari target pertama disentuh sampai akses istimewa didapat kurang dari 3 jam.
Microsoft juga menyoroti satu perbedaan penting antara agen AI dan peretas manusia. Agen tidak terikat jam kerja, akhir pekan, atau hari libur, sehingga serangan bisa berjalan terus saat tim keamanan sedang tidak bertugas. Bagi perusahaan yang pemantauannya hanya aktif di jam kantor, celah waktu ini menjadi titik lemah yang nyata.
Periskop (Agustus 2026), mengutip Reuters, mencatat bank di Asia mulai memperketat evaluasi pemakaian AI karena model terbaru mampu mengidentifikasi celah perangkat lunak lebih cepat. Pola yang sama berlaku di sini. AI membantu penyerang menemukan celah lebih cepat, menulis pesan penipuan yang lebih meyakinkan, dan menjalankan serangan dalam skala besar. Kabar baiknya, alat yang sama juga bisa dipakai untuk bertahan.
Penipuan Berbasis AI yang Menyasar Nasabah dan Karyawan
Penipuan berbasis AI adalah modus yang memakai video, foto, suara, atau dokumen palsu buatan AI untuk membangun kepercayaan korban lalu memancing transfer uang atau data. Menurut OJK, Indonesia Anti-Scam Center (IASC) menerima 1.379 laporan penipuan keuangan berbasis AI sejak 22 November 2024 hingga akhir Juni 2026.
Lonjakannya tajam. Kepala Eksekutif Pengawas Perilaku Pelaku Usaha Jasa Keuangan, Edukasi, dan Pelindungan Konsumen OJK, Dicky Kartikoyono, menyebut angka itu berawal dari 13 laporan di akhir 2024. "Ini menunjukkan bahwa penyalahgunaan AI dalam penipuan keuangan semakin canggih, semakin nyata," kata Dicky pada 4 Agustus 2026, seperti dikutip ANTARA.
Menurut Katadata (Agustus 2026), OJK memetakan enam modus penipuan berbasis AI:
Deepfake tokoh publik. Video atau foto palsu tokoh terkenal yang seolah mempromosikan investasi bodong, modus yang paling banyak dilaporkan.
Robot trading berbasis AI. Penawaran robot yang mengklaim memakai AI dan menjanjikan keuntungan tinggi secara otomatis.
Belanja online mengatasnamakan AI. Aplikasi atau platform palsu yang mengaku punya fitur AI untuk mencuri uang atau data.
Kloning suara. Suara orang yang dikenal korban ditiru untuk meminta transfer mendesak.
Kloning wajah atau video palsu. Rekaman wajah buatan AI yang membuat skenario penipuan tampak asli.
Pemalsuan identitas digital. Foto, nomor telepon, nomor rekening, dan dokumen digital palsu untuk menyamar sebagai lembaga tepercaya.
Bagi perusahaan, daftar ini bukan hanya urusan nasabah. Kloning suara dan video palsu bisa dipakai untuk meniru direksi lalu meminta staf keuangan mentransfer dana. Seperti dikatakan Dicky kepada Katadata, AI tidak berdiri sendiri, melainkan menjadi alat yang membuat modus penipuan makin meyakinkan.
Kewajiban Hukum Perusahaan Saat Terjadi Insiden Siber
Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi (UU PDP) mewajibkan perusahaan menjaga keamanan data, mencegah akses tidak sah, dan memberi tahu pemilik data serta lembaga paling lambat 3 x 24 jam bila terjadi kegagalan pelindungan data. Kewajiban ini berlaku untuk pengendali data maupun prosesor data, termasuk vendor teknologi.
Pasal 39 ayat (1) UU PDP berbunyi: "Pengendali Data Pribadi wajib mencegah Data Pribadi diakses secara tidak sah." Ayat (2) pasal yang sama meminta pencegahan dilakukan dengan sistem keamanan dan pemrosesan data secara elektronik yang andal, aman, dan bertanggung jawab. Pasal 35 menambahkan kewajiban melindungi dan memastikan keamanan data yang diproses.
Saat insiden terjadi, Pasal 46 ayat (1) mewajibkan pemberitahuan tertulis paling lambat 3 x 24 jam kepada subjek data dan lembaga. Ayat (2) mengatur isinya, minimal data yang terungkap, kapan dan bagaimana data itu terungkap, serta upaya penanganan dan pemulihan. Tanpa log yang rapi, tiga pertanyaan ini sulit dijawab dalam tiga hari, apalagi bila serangan digerakkan agen AI yang bergerak dalam hitungan jam.
Aturan teknisnya kini sudah terbit. Menurut Katadata (3 September 2026), Presiden Prabowo Subianto meneken Peraturan Pemerintah Nomor 33 Tahun 2026 sebagai pelaksana UU PDP pada 16 Juli 2026, dan aturan itu berlaku 16 Januari 2027. Sementara itu, Rancangan Undang-Undang Keamanan dan Ketahanan Siber kembali dibahas di panitia kerja DPR dan pemerintah. Ketua CISSReC Pratama Dahlian Persadha, kepada RMOL (Juli 2026), mengingatkan bahwa Lembaga Pelindungan Data Pribadi yang diamanatkan undang-undang saat itu belum juga dibentuk.
Langkah Pertahanan Siber Perusahaan di Era AI
Langkah pertahanan siber yang paling realistis dimulai dari mengubah cara pandang anggaran, lalu menutup celah dasar yang paling sering dimanfaatkan: perangkat lunak yang tidak diperbarui, akses pihak ketiga yang terlalu luas, dan karyawan yang belum terlatih mengenali penipuan berbasis AI. Pemantauan juga perlu berjalan di luar jam kantor.
Slamet Aji Pamungkas dari BSSN menekankan soal cara pandang ini. "Keamanan siber harus dipandang sebagai investasi. Saat ini masih banyak anggapan keamanan siber sebagai pemborosan," ujarnya pada Agustus 2026. Ia menambahkan, "Kita akan membayar lebih, kalau sudah kena serangan." Contohnya ada di dalam negeri. Periskop mencatat serangan ransomware ke Pusat Data Nasional pada Juni 2024 disertai tuntutan tebusan 8 juta dolar AS.
Berikut langkah yang bisa dikerjakan perusahaan dalam beberapa bulan ke depan:
Perbarui perangkat lunak secara disiplin. Menurut Slamet, hal sederhana seperti tidak memperbarui software bisa menjadi pintu masuk serangan siber. Jadwalkan patch rutin dan catat sistem yang tertinggal.
Audit akses aplikasi pihak ketiga. Kasus Storm-0940 menunjukkan aplikasi vendor dengan izin luas bisa menjadi jalan masuk. Cabut izin yang tidak perlu dan terapkan hak akses minimum.
Siapkan pemantauan di luar jam kerja. Agen AI menyerang di malam hari dan akhir pekan, sehingga peringatan otomatis dan petugas siaga perlu disiapkan.
Latih karyawan mengenali deepfake. Tetapkan aturan verifikasi ulang lewat kanal kedua untuk setiap permintaan transfer mendesak, walaupun suara atau wajahnya tampak seperti atasan.
Uji prosedur insiden 3 x 24 jam. Latih tim menyusun pemberitahuan sesuai Pasal 46 UU PDP, lengkap dengan log yang bisa menjawab kapan dan bagaimana data terungkap.
Perusahaan juga sebaiknya memakai AI untuk bertahan, misalnya untuk menyaring log dalam jumlah besar dan menandai pola login janggal. Pratama Dahlian Persadha menyarankan penilaian mandiri dan audit keamanan berkala, ditambah enkripsi kuat agar data yang dicuri tidak bisa dipakai. Bagi perusahaan yang belum punya tim keamanan sendiri, bekerja sama dengan integrator AI lokal bisa mempercepat langkah ini.
Kesimpulan
Data BSSN 2025, laporan OJK, dan kasus Storm-0940 menunjukkan arah yang sama. Serangan siber di Indonesia berjumlah miliaran, didominasi malware yang bisa berujung ransomware, dan kini dipercepat AI. Penipuan memakai wajah dan suara palsu juga melonjak dari belasan menjadi lebih dari seribu laporan dalam waktu sekitar satu setengah tahun. Di sisi hukum, UU PDP sudah mengikat dan PP 33/2026 akan berlaku 16 Januari 2027.
Perusahaan tidak perlu menunggu serangan pertama untuk bergerak. Mulailah dari inventaris sistem dan akses pihak ketiga pekan ini, perbarui perangkat lunak yang tertinggal, latih karyawan mengenali deepfake, lalu uji prosedur pemberitahuan 3 x 24 jam. Penyerang sudah memakai AI, jadi pertahanan yang masih manual dan hanya aktif di jam kantor perlu segera diperbarui.
(Burung Hantu Infratek / Berbagai Sumber)
⚠️ Artikel ini seluruhnya diriset, ditulis, dan dikembangkan oleh AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Sumber dan Referensi
[2] BSSN Ungkap 5,2 Miliar Anomali Trafik Internet, Mayoritas Berpotensi Jadi Ransomware - Infobank
[5] OJK: IASC terima 1.379 laporan terkait penipuan keuangan berbasis AI - ANTARA
[6] OJK Ungkap 6 Modus Penipuan Keuangan Berbasis AI, Sudah Ada 1.379 Kasus - Katadata
[7] UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi - JDIH BPK
[8] PP Pelindungan Data Pribadi Berlaku Januari 2027, Ini Aturan Baru Data Anak - Katadata
[9] RUU Keamanan Siber Harus Sinkronkan Peran BSSN, Komdigi, Polri, dan TNI - RMOL