Pakar Peringatkan AI Permudah Serangan Siber, Pemula pun Bisa Lancarkan Phishing

Jakarta, CNN Indonesia -- Kemajuan teknologi kecerdasan buatan (AI) tidak hanya membawa manfaat, tetapi juga membuka celah baru bagi pelaku kejahatan siber. Serangan kini dapat dilakukan dengan lebih mudah, biaya lebih murah, dan jangkauan yang jauh lebih luas. Ancaman ini tidak lagi hanya menyasar sektor perbankan atau lembaga pemerintah, melainkan merambah ke berbagai bidang, mulai dari rumah sakit hingga kantor pemerintahan daerah.

Presiden Korea Institute of Information Security and Cryptology (KIISC) Howon Kim mengungkapkan bahwa AI telah mengubah lanskap serangan siber secara signifikan. Jika sebelumnya diperlukan peretas dengan keahlian khusus, waktu, dan biaya besar, kini orang dengan kemampuan teknis terbatas pun dapat melancarkan serangan yang efektif. "AI membuat serangan siber jauh lebih mudah. Jika sebelumnya serangan yang efektif membutuhkan peretas terampil, waktu, dan biaya besar, kini pemula pun bisa membuat email phishing yang meyakinkan dalam berbagai bahasa tanpa kesalahan ejaan," ujar Howon dalam workshop Indonesian Next Generation Journalist Network on Korea (IKJN) di Jakarta, Jumat (30/10).

Lebih lanjut, Howon menjelaskan bahwa AI juga mampu meniru suara atau wajah seseorang dalam hitungan menit, menemukan celah keamanan, bahkan menulis kode serangan. "Akibatnya, serangan menjadi lebih murah, cepat, dan berskala jauh lebih besar," tambahnya. Menurutnya, kemampuan tersebut membuat siapa pun berpotensi menjadi target. Ia mencontohkan perawat rumah sakit yang menerima email palsu namun terlihat meyakinkan, pegawai kantor yang mendapat telepon deepfake dengan suara menyerupai atasan, hingga kantor pemerintah daerah yang menjadi sasaran.

"Penyerang tidak membutuhkan sistem keamanan yang sangat canggih untuk menembus organisasi. Mereka hanya membutuhkan satu orang yang mengeklik tautan berbahaya. Karena itu, setiap sektor dan setiap pekerja kini berada di garis depan menghadapi ancaman siber," tegas Howon. Meski demikian, ia menilai kebutuhan akan tenaga ahli keamanan siber tidak berkurang. Justru sebaliknya, organisasi memerlukan lebih banyak profesional untuk memantau ancaman, bertukar informasi, dan merespons serangan yang terus berkembang.

Howon menyoroti peran penting lembaga keamanan nasional seperti Korea Internet & Security Agency (KISA), tim tanggap darurat, serta tim keamanan perusahaan yang dipimpin oleh Chief Information Security Officer (CISO). Mereka bertugas memantau ancaman selama 24 jam dan memanfaatkan AI untuk mendeteksi serangan lebih cepat. "Para ahli menjadi pusat kendali, sementara setiap sektor dan semua orang berada di garis depan. Keduanya harus bekerja bersama," katanya.

Terkait kondisi di Indonesia, Howon mengaku pernah mengunjungi Badan Siber dan Sandi Negara (BSSN) beberapa tahun lalu. Saat itu, BSSN melaporkan sekitar 3 miliar anomali trafik yang sebagian besar berkaitan dengan malware. Ia menambahkan bahwa AI dapat mempercepat pencarian celah keamanan secara otomatis dan dalam skala besar, namun teknologi yang sama juga dapat dimanfaatkan untuk memperkuat pertahanan siber.

Dosen Hubungan Internasional Universitas Gadjah Mada (UGM) Dedy Permadi menilai tingkat kerentanan setiap sektor berbeda-beda, bergantung pada kemampuan penerapan sistem pengamanan. Menurut Dedy, sektor perbankan memiliki sistem keamanan siber yang relatif kuat meskipun tetap menjadi target utama karena berkaitan dengan keuangan. Sebaliknya, sektor publik cenderung lebih tertinggal dalam menerapkan mekanisme perlindungan. "Sektor perbankan memiliki sistem keamanan siber yang kuat, tetapi pada saat bersamaan juga rentan karena berbagai jenis serangan biasanya menyasar sektor keuangan. Sementara itu, sektor yang cenderung tertinggal adalah sektor publik karena biasanya lebih lambat menerapkan mekanisme pengamanan," ucap Dedy.

Untuk memperkuat perlindungan, Howon memaparkan tiga praktik yang diterapkan di Korea Selatan. Pertama, perusahaan perlu memiliki pemimpin khusus keamanan informasi atau CISO. Jika terjadi kebocoran serius akibat pengelolaan yang buruk, perusahaan dan pimpinannya dapat menghadapi sanksi serta pertanggungjawaban. Kedua, pelatihan keamanan informasi perlu diberikan kepada seluruh karyawan, tidak hanya tim TI, termasuk melalui simulasi phishing untuk menguji kesiapan pekerja. Ketiga, penyedia layanan daring berskala besar diwajibkan memiliki sertifikasi keamanan nasional Information Security Management System (ISMS) yang menilai tidak hanya teknologi tetapi juga tata kelola keamanan organisasi.

Howon juga mengingatkan pentingnya perlindungan data dalam pengembangan AI. Menurutnya, data di banyak organisasi masih tersebar, tidak lengkap, tidak konsisten, dan bercampur dengan informasi pribadi. Salah satu pendekatan yang dapat digunakan adalah synthetic data atau data sintetis, yaitu data buatan yang menyerupai pola data asli dan diperiksa secara cermat. "Data sintetis dapat mengurangi kebutuhan untuk membagikan catatan pribadi sehingga privasi tetap terlindungi. Data ini juga dapat membantu pengujian elemen AI, termasuk untuk menghadapi serangan siber," ujar Howon. Ia menambahkan setiap proyek kolaborasi AI perlu memperhatikan empat aspek: hak dan perlindungan data, evaluasi sistem menggunakan data lokal, pengawasan manusia terhadap keputusan yang berdampak pada keselamatan atau hak masyarakat, serta keamanan dan mekanisme penanganan insiden. Menurut Howon, Indonesia dan Korea Selatan dapat bekerja sama dengan memperkuat tim ahli keamanan siber sekaligus meningkatkan pelatihan bagi pekerja di berbagai sektor.