Bukan Lagi Kota Besar, Pemerasan Siber Kini Incar Kota-Kota Kecil yang Rentan

Data yang ada membantu menjelaskan pergeseran ini. Perusahaan keamanan siber Sophos berulang kali menemukan dalam laporan ransomware tahunannya bahwa pemerintah negara bagian dan pemerintah daerah, layanan kesehatan, dan pendidikan tetap menjadi salah satu sektor yang paling sering diserang. Di Amerika Serikat, Pusat Berbagi dan Analisis Informasi Multi-Negara Bagian, yang mendukung pemerintah negara bagian, lokal, suku, dan teritorial, telah selama bertahun-tahun memperingatkan bahwa ransomware tetap menjadi salah satu ancaman paling mengganggu yang dihadapi badan-badan publik lokal. Lembaga-lembaga federal juga menyuarakan pandangan yang sama. Pusat Pengaduan Kejahatan Internet FBI telah melaporkan kerugian miliaran dolar per tahun akibat kejahatan siber di seluruh sektor ekonomi, tetapi angka-angka itu kemungkinan tidak mencerminkan kerusakan sebenarnya di lembaga-lembaga lokal yang sering kali tidak melaporkan serangan atau tidak menghitung sepenuhnya biaya dari gangguan operasional.

Yang membuat serangan ini begitu merusak bukan hanya tuntutan uang tebusannya. Tetapi juga tentang apa saja yang berhenti berfungsi ketika sistem lokal lumpuh. Di satu kota, ini bisa berarti catatan pengadilan menjadi tidak dapat diakses. Di kota lain, pembayaran pajak macet, sistem panggilan darurat 911 melambat, atau staf sekolah kehilangan akses ke data siswa. Pada tahun 2023, pejabat di beberapa kota di AS melaporkan insiden siber yang mengganggu layanan rutin selama berhari-hari atau berminggu-minggu. Di Inggris, dewan-dewan lokal juga menghadapi gangguan digital serius dalam beberapa tahun terakhir, bahkan ada yang terpaksa kembali menggunakan proses manual di atas kertas setelah sistem mereka lumpuh. Bagi warga, dampaknya bukanlah masalah komputer yang abstrak. Dampaknya nyata: gaji yang terlambat, izin yang tertunda, janji temu yang dibatalkan, dan layanan publik yang tiba-tiba terasa rapuh.

Para penyerang memahami tekanan ini. Perusahaan besar mungkin memiliki sistem cadangan, asuransi siber, konsultan hukum eksternal, dan tim keamanan khusus. Kantor pemerintahan di daerah pedesaan sering kali tidak memiliki semua itu. Banyak lembaga lokal masih mengandalkan perangkat lunak lama, perangkat keras yang sudah tidak didukung, dan staf IT kecil yang harus menangani semuanya, mulai dari sistem penggajian hingga Wi-Fi publik. Di beberapa tempat, hanya ada satu atau dua orang yang bertanggung jawab atas seluruh kehidupan digital sebuah kota. Ini adalah tugas yang hampir mustahil ketika kelompok kriminal beroperasi seperti perusahaan, lengkap dengan layanan pelanggan, negosiator, dan perangkat malware siap pakai.

Penelitian telah menunjukkan bahwa kelemahan ini tersebar luas. Sebuah laporan tahun 2023 dari Center for Internet Security menggambarkan pemerintah daerah sebagai pihak yang sumber dayanya terbatas dan semakin sering menjadi target. Analisis terpisah dari Government Accountability Office juga telah memperingatkan bahwa banyak sektor infrastruktur kritis, termasuk sistem air bersih, menghadapi kesenjangan keamanan siber yang besar. Masalah ini sangat parah di komunitas-komunitas kecil. Kota-kota besar mungkin setidaknya bisa mendapatkan dukungan dari negara bagian atau federal setelah insiden terjadi. Kota-kota kecil sering kali menderita dalam diam.

Sistem air bersih menunjukkan mengapa masalah ini lebih dari sekadar urusan administrasi. Dalam beberapa tahun terakhir, pejabat AS telah berulang kali memperingatkan bahwa kelemahan siber di fasilitas air minum dan air limbah dapat menciptakan risiko keselamatan publik yang nyata. Environmental Protection Agency dan lembaga lainnya telah menyoroti praktik kata sandi yang buruk, perangkat lunak usang, dan sistem akses jarak jauh yang terbuka sebagai masalah yang terus berulang. Pada tahun 2021, seorang peretas berhasil mengakses sistem pengolahan air di Oldsmar, Florida, dan sempat mencoba menaikkan kadar natrium hidroksida di dalam air. Perubahan itu berhasil diketahui sebelum menimbulkan kerusakan, tetapi kasus ini menjadi contoh nyata bagaimana serangan siber dapat dengan cepat beralih ke dunia fisik. Kasus ini juga menunjukkan bagaimana sebuah perusahaan layanan publik lokal yang sederhana, bukan target nasional raksasa, dapat menjadi lokasi ancaman serius bagi keselamatan publik.

Sekolah-sekolah menghadapi cerita serupa. Mereka menyimpan catatan yang sangat pribadi tentang anak-anak dan keluarga, namun banyak distrik sekolah memiliki anggaran keamanan yang terbatas. Dalam beberapa tahun terakhir, distrik-distrik di negara bagian seperti Minnesota, California, dan New York telah melaporkan insiden ransomware atau pencurian data yang memengaruhi absensi, penggajian, catatan konseling, dan data pendidikan khusus. Pelanggaran ini bukan hanya soal teknis. Ini dengan cepat menjadi masalah pribadi. Sebuah keluarga bisa tiba-tiba khawatir bahwa catatan kesehatan, alamat rumah, atau riwayat disipliner anak mereka beredar di internet. Bagi anak-anak, dampaknya bisa bertahan lama bahkan setelah kegiatan belajar mengajar kembali normal.

Mengapa ini terjadi sekarang? Salah satu alasannya adalah ekonomi sederhana. Penjahat siber menginginkan target yang kemungkinan besar akan membayar. Pemerintah daerah dan institusi publik sering kali menyediakan layanan penting dan tidak bisa berhenti beroperasi terlalu lama. Hal ini menciptakan tekanan untuk memulihkan sistem dengan cepat, bahkan jika para pejabat secara terbuka mengatakan mereka tidak akan bernegosiasi. Alasan lainnya adalah akses. Penyerang tidak lagi memerlukan keahlian elite untuk melancarkan serangan yang merusak. Penyebaran model ransomware-as-a-service telah menurunkan hambatan masuk bagi para pelaku. Kelompok kriminal dapat membeli perangkat, menyewa infrastruktur, dan berbagi keuntungan. Ini membuat pemerasan menjadi lebih mudah dilakukan dalam skala besar dan lebih tanpa henti.

Ada juga kesenjangan kebijakan. Anggaran keamanan siber masih cenderung lebih memihak institusi yang lebih besar dengan anggaran lebih besar dan suara politik yang lebih kuat. Sementara itu, lembaga-lembaga lokal diminta untuk mempertahankan sistem pemilu, catatan publik, data polisi, layanan publik, dan sekolah dengan aturan pengadaan dan tingkat kepegawaian yang tertinggal dari ancaman yang ada. Di Amerika Serikat, Kongres dan lembaga federal telah meningkatkan program hibah dan dukungan dalam beberapa tahun terakhir, termasuk bantuan yang terkait dengan infrastruktur kritis dan perencanaan keamanan siber negara bagian. Namun, banyak ahli mengatakan bantuan tersebut masih belum merata dan terlalu lambat untuk mengimbangi kecepatan serangan.

Konsekuensinya mudah untuk diremehkan karena tersebar dalam kehidupan sehari-hari. Serangan ransomware di sebuah kota kecil tidak selalu menjadi berita global. Tetapi bagi penduduk setempat, dampaknya bisa berarti penjualan properti yang ditangguhkan, pengiriman ambulans yang tertunda, sistem perpustakaan yang tutup, atau hilangnya kepercayaan bahwa pemerintah kota dapat melindungi data-data dasar. Serangan yang berulang juga mengikis kepercayaan pada institusi publik. Jika sekolah, rumah sakit, atau kantor pemerintah tidak dapat mengamankan jaringannya sendiri, wajar jika masyarakat bertanya apa lagi yang berisiko.

Ada solusinya, dan solusi itu tidak sehebat yang dibayangkan banyak orang. Praktik higiene siber dasar tetaplah penting. Panduan federal dari lembaga seperti CISA telah lama menekankan beberapa langkah utama: autentikasi multifaktor, pencadangan data secara offline, segmentasi jaringan, pembaruan perangkat lunak secara berkala, dan pelatihan staf secara rutin. Langkah-langkah itu tidak sempurna, tetapi dapat mengurangi risiko secara tajam. Begitu juga dengan merencanakan pemulihan sebelum serangan terjadi. Komunitas memerlukan sistem cadangan yang teruji, panduan darurat yang jelas, dan perjanjian bantuan timbal balik agar satu kantor lokal tidak dibiarkan menghadapi serangan serius sendirian.

Uang juga penting. Keamanan siber di tingkat lokal tidak bisa bergantung pada hibah sekali waktu setelah krisis terjadi. Diperlukan pendanaan yang stabil, layanan yang digunakan bersama, dan model dukungan regional yang memungkinkan komunitas kecil mengakses para ahli pertahanan siber yang tidak akan pernah bisa mereka rekrut sendiri. Beberapa negara bagian telah mulai bergerak ke arah itu dengan menawarkan operasi keamanan terpusat, pemantauan ancaman, dan dukungan respons insiden kepada pemerintah daerah dan distrik sekolah. Model seperti itu layak mendapatkan dukungan yang lebih luas.

Kesalahpahaman terbesar adalah bahwa pemerasan siber sebagian besar merupakan masalah bagi perusahaan kaya dan ibu kota yang jauh. Kenyataannya, garis depan sering kali berada di kota-kota kecil, sistem sekolah yang sederhana, dan layanan publik lokal yang digunakan orang setiap hari dan jarang terpikirkan sampai akhirnya gagal berfungsi. Itulah mengapa cerita ini penting. Ketika kejahatan siber menghantam lembaga-lembaga lokal, ia tidak hanya mencuri data. Ia mengganggu sistem sehari-hari yang membuat sebuah komunitas merasa aman, fungsional, dan nyata.