Kerugian Serangan Siber Indonesia Diproyeksi Tembus Rp 111 Triliun pada 2026

source: ChatGPT Image

Rp 111 triliun. Itu proyeksi kerugian ekonomi Indonesia akibat serangan siber sepanjang 2026, menurut Bank Indonesia. Gubernur BI Destry Damayanti menyampaikan angka itu dalam Festival Ekonomi Keuangan Digital Indonesia (FEKDI) ke-6 di Jakarta International Convention Center, Kamis, 24 September 2026, dengan data yang diambil dari Asosiasi Penyelenggara Jasa Internet Indonesia. Destry juga menyebut adopsi kecerdasan artifisial dan otomasi ikut menaikkan risiko serangan siber, penyalahgunaan data, fraud, dan scam.

Angka ini bukan proyeksi yang berdiri sendiri. Dua bulan sebelumnya, AwanPintar.id merilis data yang menunjukkan ke arah yang sama persis.

Serangan Naik Hampir Dua Kali Lipat dalam Enam Bulan

Sepanjang semester pertama 2026, serangan siber ke Indonesia melonjak 93,33 persen menjadi 257,98 juta, atau rata-rata 16 serangan per detik. Founder AwanPintar.id Yudhi Kukuh mengaitkan lonjakan ini dengan meluasnya attack surface akibat akselerasi transformasi digital di sektor pemerintahan, layanan publik, dan dunia usaha, termasuk masifnya pemanfaatan layanan cloud, AI, dan transaksi online. China menjadi sumber serangan utama ke Indonesia dengan porsi 21,94 persen, diikuti Amerika Serikat di angka 10,83 persen.

Yang lebih penting dari jumlah adalah pergeseran sasarannya. Upaya membocorkan informasi penting naik dari 4,66 persen pada semester pertama 2025 menjadi 13,97 persen pada semester pertama 2026. Sementara itu, kategori serangan yang paling dominan sepanjang semester ini, upaya merebut kendali penuh atas sistem lewat akses administrator, porsinya melonjak dari 2,76 persen ke 43,65 persen dalam setahun. Penyerang tidak lagi sekadar mencoba masuk. Mereka mengincar kendali penuh dan data yang bernilai jual.

BSSN Mencatat Lonjakan yang Setajam Itu

Data pemerintah mengonfirmasi pola yang sama. Badan Siber dan Sandi Negara mencatat jumlah serangan siber sepanjang 2025 mencapai 5,5 miliar, melonjak 714 persen dibanding rata-rata tahunan periode 2020-2024. Tren itu berlanjut di awal 2026, dengan 1,52 miliar serangan tercatat hanya dalam periode 1 Januari hingga 15 April. Di sisi lain, Indonesia sudah menduduki posisi sebagai sumber serangan DDoS terbesar di dunia selama setahun penuh, sejak kuartal ketiga 2024. Negara ini jadi korban sekaligus titik luncur serangan dalam waktu bersamaan.

Password Kuat Saja Sudah Tidak Cukup

Chairman Lembaga Riset Keamanan Siber CISSReC Pratama Persadha melihat pergeseran yang lebih mendasar dari sekadar jumlah serangan. Untuk 2026, ia memperkirakan kompromi identitas tetap jadi penyebab utama pelanggaran keamanan, dengan penyerang semakin mengandalkan pemutaran ulang token sesi, peniruan identitas eksekutif, pencurian identitas mesin, dan penyalahgunaan akun layanan. Ia mengutip data CrowdStrike: 75 persen intrusi melibatkan identitas yang dikompromikan atau kredensial valid, bukan malware.

Implikasinya langsung ke cara organisasi membangun pertahanan. Firewall dan antivirus dirancang untuk menghadang program jahat yang masuk dari luar. Begitu penyerang punya kredensial sah, kedua alat itu tidak melihat ada yang salah, karena secara teknis yang masuk memang "pengguna yang sah". Batas pertahanan bergeser dari perimeter jaringan ke manajemen akses: siapa yang punya hak masuk, ke sistem mana, dan untuk berapa lama.

Regulasi Sektoral Masih Bergerak Sendiri-Sendiri

Beberapa sektor sudah mulai merespons. Ditjen Perhubungan Laut Kemenhub menerbitkan Surat Edaran Nomor 16 Tahun 2024 yang mengatur penilaian dan prosedur keamanan siber dalam manajemen keamanan kapal dan fasilitas pelabuhan, sebagai langkah mitigasi risiko di sektor pelayaran. BI dan OJK mendorong kebijakan sistem pembayaran yang lebih aman lewat forum macam FEKDI. Masalahnya, langkah-langkah ini jalan sendiri-sendiri, dengan kecepatan dan standar yang berbeda di tiap sektor. Satu aturan di pelabuhan tidak otomatis mengangkat standar keamanan identitas di layanan publik digital atau di platform fintech.

Tiga rangkaian data di atas, proyeksi kerugian BI, lonjakan serangan versi AwanPintar.id dan BSSN, serta pergeseran ke serangan berbasis identitas menurut CISSReC, menunjuk ke kesimpulan yang sama: penyerang bergerak lebih cepat daripada mitigasi, dan jaraknya makin lebar tiap semester.

Yang Indonesia butuhkan sekarang bukan sekadar lebih banyak imbauan waspada. Tiga sektor yang paling sering jadi sasaran, perbankan, layanan publik digital, dan infrastruktur transportasi, perlu standar manajemen identitas dan akses yang setara dan wajib, bukan pedoman yang berhenti di level surat edaran sektoral. Kewajiban otentikasi multifaktor, audit akses berkala, dan pelaporan insiden yang cepat perlu jadi aturan lintas sektor, dikoordinasikan BSSN bersama regulator masing-masing industri, bukan inisiatif yang bergantung pada kesadaran tiap lembaga.

Rp 111 triliun adalah proyeksi tahun ini. Tanpa perubahan pendekatan, angka itu kemungkinan besar bukan yang terakhir.