Ratusan Ribu Ancaman Siber Bukan Bukti Sistem Dibobol
Angka terbaru yang dilaporkan dari paparan OJK menunjukkan skala besar penanganan penipuan melalui Indonesia Anti-Scam Centre (IASC). Namun, dana yang diblokir bukan berarti seluruhnya sudah kembali ke korban. Berikut cara membaca datanya dan bertindak jika mengalami penipuan.
Angka yang ramai dibicarakan
Fakta: Bisnis.com pada 9 November 2026 melaporkan sekitar 350.600 aktivitas ancaman tercatat pada dashboard FortiGuard Labs untuk Indonesia dalam jendela 24 jam hingga 7 November. Artikel itu mengutip pakar keamanan siber yang menegaskan angka tersebut adalah upaya yang terdeteksi/diblokir oleh sensor, bukan jumlah sistem yang terbukti berhasil dibobol.
Fakta: Kompas.id sehari sebelumnya menyebut dashboard yang sama menampilkan 657.000 aktivitas dalam rentang 24 jam pada pemantauan 8 November pukul 13.37 WIB. Dalam laporan yang sama, seorang peneliti keamanan siber mengingatkan bahwa angka live threat map menunjukkan intensitas ancaman, bukan ukuran mutlak keberhasilan peretasan. Kompas juga mencatat ia tidak memiliki akses langsung ke telemetri internal FortiGuard atau seluruh sensor nasional untuk mengonfirmasi hitungan secara independen.
Fakta lain: Kompas melaporkan OJK telah berkoordinasi dengan personel TI bank untuk meningkatkan kewaspadaan. Ini tindakan kesiapsiagaan, bukan pengumuman bahwa bank tertentu telah diretas. OJK dalam siaran pers 27 Oktober menganjurkan korban transaksi penipuan segera melapor melalui IASC agar rekening terindikasi dapat ditangani.
Mengapa dua angka berbeda tidak otomatis berarti lonjakan?
Interpretasi — keyakinan tinggi: Angka 350.600 dan 657.000 berasal dari pemberitaan tentang pemantauan pada waktu yang berbeda. Liputan yang tersedia tidak memberikan metodologi lengkap, cakupan sensor, jenis peristiwa yang dihitung, atau data mentah untuk menyamakan kedua snapshot. Karena itu, keduanya tidak cukup untuk menyimpulkan ada lonjakan, apalagi menyimpulkan jumlah korban atau kebocoran.
Dashboard ancaman dapat menggabungkan beragam sinyal seperti pemindaian otomatis, percobaan eksploitasi, brute force, atau lalu lintas berbahaya yang ditolak sensor. Satu sistem bisa menghasilkan banyak sinyal; satu sinyal pun tidak selalu berarti serangan berhasil. Istilah “serangan diblokir” dalam berita perlu dibaca sesuai definisi penyedia sensor dan periode pengukurannya.
- Aktivitas terdeteksi: sensor melihat pola yang dianggap berbahaya dalam jangka dan ruang lingkup tertentu.
- Insiden terkonfirmasi: investigasi menemukan akses tanpa izin, gangguan, atau kompromi pada sistem tertentu.
- Dampak: data, layanan, atau dana benar-benar terdampak; perlu bukti dan keterangan pihak terkait.
Perbedaan ini penting: angka dashboard bukan laporan insiden individual, dan bukan dasar untuk menyatakan rekening atau data masyarakat telah dibobol. Sebaliknya, angka itu tetap berguna sebagai indikator bahwa organisasi perlu menjaga sistemnya dan pengguna perlu mempertahankan kebiasaan aman.
Apa yang perlu dilakukan masyarakat?
Anda tidak perlu panik atau mengganti semua sandi hanya karena melihat angka pemantauan. Lakukan kebiasaan yang menurunkan risiko nyata:
- Perbarui ponsel dan aplikasi melalui toko resmi, aktifkan pembaruan otomatis bila tersedia, dan hapus aplikasi yang tidak dikenal.
- Aktifkan verifikasi dua langkah pada email, akun pesan, dan layanan keuangan. Gunakan kata sandi unik, jangan gunakan ulang sandi penting.
- Abaikan tautan dan file mendadak, terutama pesan yang mendesak Anda memasang APK, memasukkan kode OTP, atau membuka tautan “verifikasi akun”. Buka aplikasi bank secara langsung.
- Jangan pernah membagikan OTP, PIN, atau kata sandi. Petugas resmi tidak membutuhkan kode rahasia itu melalui telepon atau chat.
- Jika menemukan transaksi tak dikenal, segera hubungi bank dari nomor resmi di aplikasi/kartu, minta pengamanan akun, simpan bukti, lalu lapor ke IASC melalui iasc.ojk.go.id. Kecepatan laporan membantu penanganan, tetapi tidak menjamin dana kembali.
Untuk pengelola usaha dan layanan
Dashboard publik bukan pengganti pemantauan sistem sendiri. Pastikan perangkat lunak dan layanan yang terpapar internet diperbarui, gunakan MFA untuk akun administrator, batasi akses sesuai kebutuhan, pantau log dan transaksi anomali, serta siapkan cadangan terpisah yang diuji pemulihannya. Bila ada indikasi kompromi, catat waktu, sistem terdampak, dan bukti; libatkan tim respons insiden dan ikuti kewajiban pelaporan yang berlaku. Jangan menunggu angka agregat untuk memulai pemeriksaan.
Batas informasi dan kesimpulan
Keyakinan tinggi: angka dari dashboard yang dikutip media adalah pengukuran aktivitas ancaman, bukan jumlah perangkat atau rekening yang dipastikan berhasil dibobol; baik Bisnis.com maupun Kompas memuat konteks itu. Keyakinan sedang: tingkat perubahan ancaman nasional tidak dapat ditentukan dari dua snapshot berita tersebut karena rincian metode dan data pembanding yang sebanding tidak tersedia.
Yang belum diketahui: data mentah FortiGuard, definisi rinci unit hitung dan sensor, berapa banyak upaya yang menyasar aset unik, serta jumlah insiden yang berhasil. Komdigi dalam laporan Kompas menyatakan perlu melakukan pengecekan lebih lanjut; laporan itu belum menyajikan verifikasi telemetri nasional independen. Untuk menilai tren, diperlukan rangkaian data yang konsisten, metode terbuka, dan konfirmasi insiden dari organisasi terdampak atau otoritas berwenang.
Kesimpulannya: waspada, bukan panik. Perhatikan pengumuman resmi tentang insiden nyata, dan lakukan pengamanan dasar yang melindungi akun maupun perangkat setiap hari.
Sumber: Bisnis.com — RI Digempur 350.600 Percobaan Serangan Siber, Pakar Bilang Begini (9 November 2026); Kompas.id — 657.000 Serangan Siber Hantam Indonesia dalam 24 Jam (8 November 2026); Kompas.id — OJK Perkuat Pengawasan Bank Hadapi Ancaman Siber (8 November 2026); OJK/Satgas PASTI — penanganan scam dan imbauan masyarakat (27 Oktober 2026).