National Cyber Security Centre (NCSC) Inggris memperingatkan bahwa malware bertenaga kecerdasan buatan (AI) sangat mungkin digunakan dalam serangan ransomware terhadap infrastruktur nasional kritis hingga 2028. Penilaian tersebut tercantum dalam Annual Review 2026 yang diterbitkan pada 3 November 2026.
NCSC menekankan bahwa pernyataan itu merupakan penilaian ancaman dan skenario kemungkinan, bukan konfirmasi bahwa serangan ransomware berbasis AI tertentu telah terjadi. Dalam pandangan lembaga tersebut, AI saat ini lebih berperan sebagai pengganda kekuatan bagi pelaku serangan daripada sebagai sistem yang sepenuhnya mampu mengoperasikan serangan siber dari awal hingga akhir tanpa campur tangan manusia.
AI mempercepat tahapan serangan yang sudah dikenal
Menurut penilaian NCSC, penggunaan AI dapat mempercepat, memperluas skala, dan meningkatkan efisiensi metode serangan siber yang telah digunakan sebelumnya. Teknologi ini berpotensi membantu pelaku dalam sejumlah tahap, mulai dari pengintaian terhadap target hingga pengembangan eksploitasi.
Tahapan lain yang dinilai dapat dibantu AI mencakup rekayasa sosial dan penemuan kerentanan. Dengan dukungan otomatisasi, pelaku dapat menyusun pendekatan yang lebih cepat atau menjalankan pekerjaan dalam skala lebih besar. Namun, hal itu tidak berarti seluruh proses serangan berlangsung secara mandiri.
NCSC menilai operator manusia masih sangat mungkin diperlukan untuk mengarahkan operasi, memilih target, menilai hasil, serta memvalidasi tindakan yang dilakukan sistem. Dengan demikian, risiko utama dalam waktu dekat bukan hanya muncul dari hadirnya malware baru, tetapi juga dari kemampuan AI untuk membuat teknik lama lebih cepat dan mudah diterapkan.
Ransomware menjadi perhatian pada infrastruktur kritis
Ransomware dapat mengganggu ketersediaan sistem dan data dengan cara mengunci atau mengenkripsi sumber daya, lalu menuntut pembayaran dari korban. Ketika serangan menyasar infrastruktur kritis, dampaknya berpotensi melampaui kerugian satu organisasi karena layanan penting bagi masyarakat dapat ikut terganggu.
Sektor yang perlu memperhatikan perkembangan ini mencakup energi, telekomunikasi, transportasi, layanan kesehatan, dan layanan publik. Ketergantungan sektor-sektor tersebut pada sistem digital membuat gangguan terhadap teknologi informasi atau teknologi operasional dapat memengaruhi kesinambungan layanan.
Peringatan NCSC tidak menyatakan bahwa semua operator infrastruktur kritis akan mengalami serangan. Penekanannya adalah bahwa kemampuan AI dapat meningkatkan peluang dan efisiensi operasi berbahaya, terutama ketika pelaku memanfaatkan kelemahan yang sudah ada pada sistem organisasi.
Sistem lama memperbesar permukaan serangan
NCSC juga menyoroti risiko dari sistem lama yang belum diperbarui, kerentanan yang tidak segera ditambal, dan proses pemeliharaan keamanan yang lambat. Komponen semacam itu dapat memberikan titik masuk bagi pelaku, khususnya apabila masih terhubung dengan jaringan atau layanan yang lebih baru.
Masalah tersebut dapat menjadi lebih kompleks ketika organisasi menerapkan AI tanpa tata kelola yang memadai. Sistem AI yang tidak diawasi dengan baik dapat menambah permukaan serangan, membuka akses baru, atau membuat organisasi kesulitan memahami bagaimana data dan keputusan diproses.
Bagi pengelola infrastruktur kritis, kondisi ini menunjukkan bahwa adopsi teknologi baru perlu berjalan bersama penguatan dasar keamanan. AI tidak menghapus kebutuhan untuk memperbarui sistem, melainkan membuat disiplin pengelolaan aset dan kerentanan semakin penting.
China dan Rusia diperkirakan rutin memakai AI
Dalam proyeksinya hingga 2028, NCSC menilai aktor negara seperti China dan Rusia, serta negara lain, kemungkinan akan menggunakan AI secara rutin untuk mendukung tujuan geopolitik melalui operasi siber. Penilaian ini menggambarkan arah perkembangan kapabilitas, bukan tuduhan bahwa setiap operasi yang melibatkan aktor tersebut pasti menggunakan AI.
Pemakaian secara rutin dapat mencakup bantuan AI dalam mengumpulkan informasi, meningkatkan kualitas rekayasa sosial, menemukan kelemahan, atau mengembangkan perangkat serangan. Efeknya bagi pertahanan siber adalah bertambahnya kecepatan yang harus dihadapi oleh tim keamanan.
Organisasi tidak lagi hanya perlu mengenali malware berdasarkan ciri teknis tertentu. Mereka juga perlu memperhitungkan bagaimana otomatisasi dapat mempercepat perubahan taktik, memperbanyak upaya serangan, dan mempersingkat waktu antara pengintaian dengan eksploitasi.
Pelajaran bagi operator di Indonesia
Meskipun penilaian NCSC berfokus pada infrastruktur nasional kritis Inggris, risikonya relevan bagi operator di Indonesia. Sektor energi, telekomunikasi, transportasi, kesehatan, dan layanan publik sama-sama bergantung pada ketersediaan sistem digital serta jaringan yang saling terhubung.
Langkah pertama yang penting adalah memiliki inventaris aset yang akurat. Organisasi perlu mengetahui perangkat, aplikasi, layanan, dan koneksi yang digunakan, termasuk sistem lama yang mungkin tidak lagi mendapatkan pembaruan rutin. Tanpa inventaris, tim keamanan akan kesulitan menentukan prioritas perlindungan dan penambalan.
Percepatan patching juga menjadi bagian penting dari pengurangan risiko. Kerentanan yang telah diketahui tetapi dibiarkan terbuka dapat menjadi sasaran sebelum organisasi sempat memperbaikinya. Proses ini perlu mempertimbangkan sistem yang menjalankan fungsi penting, sehingga pembaruan dapat dilakukan secara terencana tanpa mengabaikan kebutuhan operasional.
Selain itu, organisasi perlu meningkatkan pengawasan terhadap penggunaan AI. Tata kelola harus menjelaskan siapa yang boleh menggunakan alat AI, data apa yang dapat diproses, bagaimana hasilnya divalidasi, dan bagaimana akses dicabut jika terjadi penyalahgunaan. Penggunaan AI tanpa kontrol dapat menciptakan risiko baru di samping ancaman dari pelaku eksternal.
Kesiapan menghadapi ransomware tetap diperlukan
Pencegahan perlu dilengkapi dengan kemampuan merespons insiden. Operator infrastruktur kritis harus menyiapkan prosedur untuk mendeteksi aktivitas mencurigakan, mengisolasi sistem terdampak, memulihkan layanan, dan berkomunikasi ketika terjadi gangguan.
Latihan berkala dapat membantu menguji apakah rencana tersebut dapat dijalankan dalam kondisi tekanan. Organisasi juga perlu memastikan bahwa data dan sistem penting memiliki mekanisme pemulihan yang sesuai, sehingga gangguan tidak langsung berubah menjadi penghentian layanan berkepanjangan.
Peringatan NCSC menunjukkan bahwa perkembangan AI dapat mengubah skala dan kecepatan ancaman ransomware, tetapi teknologi itu bukan satu-satunya faktor penentu. Kelemahan yang belum ditangani, aset yang tidak terdata, dan kontrol internal yang lemah tetap menjadi persoalan mendasar.
Hingga 2028, tantangan bagi operator bukan menunggu munculnya serangan AI yang sepenuhnya otonom. Prioritasnya adalah memperkuat pertahanan terhadap metode yang sudah dikenal, sambil mempersiapkan diri menghadapi pelaku yang memanfaatkan AI untuk bekerja lebih cepat, lebih luas, dan lebih efisien.
