Langkah Pertama Saat Kantor Terkena Ransomware: Panduan Tanggap Darurat
Jangan panik dan jangan langsung mematikan paksa server atau membayar tebusan. Ikuti prosedur standar cara mengatasi ransomware dalam 60 menit pertama.
Mengetahui prosedur cara mengatasi ransomware pada 60 menit pertama sejak layar komputer atau server menampilkan pesan tebusan (ransom note) sangat menentukan apakah insiden tersebut hanya berdampak pada satu perangkat atau melumpuhkan seluruh jaringan perusahaan. Kesalahan paling fatal yang sering dilakukan di lapangan adalah membiarkan komputer yang terinfeksi tetap terhubung ke LAN/Wi-Fi kantor, atau terburu-buru melakukan format ulang yang justru menghilangkan jejak forensik masuknya peretas.
6 Langkah Darurat Cara Mengatasi Ransomware Saat Menyerang Kantor
Jika tim IT Anda mendeteksi ekstensi file yang berubah secara masif atau munculnya pesan pemerasan siber, segera jalankan protokol Cyber Resilience berikut secara berurutan:
- Isolasi Perangkat dari Jaringan Seketika (Containment): Cabut kabel LAN (Ethernet) dan matikan koneksi Wi-Fi pada komputer atau server yang terindikasi terkena serangan. Jika perusahaan Anda telah menggunakan SentinelOne Endpoint Protection atau Datto EDR, segera jalankan fitur Network Quarantine / Host Isolation satu klik dari konsol untuk memutus penyebaran lateral ke file sharing (SMB) dan Domain Controller.
- Jangan Langsung Restart atau Mematikan Server Tanpa Analisis: Beberapa varian ransomware mengaktifkan skrip penghancuran tabel partisi saat sistem melakukan reboot, sementara mematikan daya (hard power-off) akan menghapus kunci enkripsi sementara atau jejak proses yang masih tersimpan di memori volatile (RAM).
- Amankan dan Periksa Repositori Backup: Pastikan sistem backup Anda tidak ikut terakses melalui jaringan produksi. Periksa konsol Datto BCDR atau penyimpanan immutable backup untuk mengidentifikasi Recovery Point terakhir yang bersih sebelum anomali enkripsi dimulai.
- Reset Kredensial Istimewa (Active Directory & Cloud Admin): Asumsikan bahwa kata sandi Domain Admin, akun VPN, dan Service Account telah dicuri. Segera cabut sesi login aktif, ganti seluruh kredensial administrator, dan paksa penggunaan Multi-Factor Authentication (MFA).
- Identifikasi Patient Zero & Celah Masuk (Root Cause Analysis): Telusuri melalui log Robusta SIEM atau tim RocketCyber MDR & SOC 24/7 bagaimana penyerang masuk—apakah melalui port RDP (3389) yang terbuka ke publik, celah VPN yang belum di-patch, atau lampiran email phishing. Jika celah awal ini belum ditutup, server yang baru saja di-restore akan kembali terinfeksi dalam hitungan jam.
- Lakukan Clean Recovery, Jangan Membayar Tebusan: Membayar tebusan kripto tidak menjamin decryptor yang diberikan peretas bekerja dengan baik, dan justru menandai perusahaan Anda sebagai target pemerasan berulang (double extortion). Gunakan fitur 1-Click Rollback pada SentinelOne atau Instant Virtualization dari Datto BCDR untuk memulihkan operasional secara bersih.
Pencegahan Agar Insiden Tidak Terulang
Setelah operasional pulih, evaluasi mengapa pertahanan awal berhasil ditembus dengan membaca perbandingan EDR vs Antivirus untuk perusahaan. Butuh bantuan mengamankan infrastruktur atau merancang arsitektur anti-ransomware? Hubungi tim keamanan One Data Asia sekarang.