Pada 2 September 2026, Unit 42 dari Palo Alto Networks menerbitkan rincian investigasi atas pembobolan sebuah jaringan perusahaan. Angka yang menjadi inti laporan itu: penyerang memulai dari layanan web yang dapat diakses publik dan berakhir dengan akses tingkat root ke seluruh lingkungan dalam kurang dari sepuluh jam, pekerjaan yang memakan waktu kira-kira dua minggu bagi tim manusia.

Detail yang lebih penting adalah apa yang tidak terlibat. Tidak ada zero-day. Tidak ada teknik langka. Intrusi ini menggunakan lebih dari 50 teknik yang sudah tercatat dalam kerangka MITRE ATT&CK, yaitu teknik terdokumentasi dan terpublikasi yang sudah dikenal para pembela. Yang berubah bukan metodenya, melainkan temponya. Alih-alih menjalankan setiap tahap secara manual, operator mengarahkan agen AI yang memantau, menilai, bertindak, dan menyusun ulang rencana dalam satu siklus tanpa jeda yang tidak pernah berhenti dan tidak pernah tidur.

Apa yang terjadi dalam sepuluh jam itu

Urutannya seperti yang dijelaskan laporan:

  1. Masuk. Layanan web yang dapat diakses publik dibobol, lalu dibuat terowongan ke jaringan internal.
  2. Pengintaian. Agen otomatis memetakan layanan mikro internal tanpa keterlibatan manusia.
  3. Pengumpulan rahasia. Sub-agen menyisir repositori kode untuk mencari token akses dan kata sandi layanan yang ditulis langsung di dalam kode.
  4. Eskalasi. Token tersebut membuka sistem manajemen rahasia, yang menghasilkan kredensial administratif utama dengan akses root ke seluruh lingkungan.
  5. Pipeline. Pipeline build dan deploy dibajak melalui alur kerja khusus untuk mengeluarkan kunci akses cloud.
  6. Pembalikan. Kunci-kunci itu digunakan untuk mengubah endpoint AI milik korban sendiri menjadi infrastruktur pascakompromi bagi penyerang.

Baca lagi langkah terakhir itu. Langganan AI milik perusahaan sendiri menjadi alat di tangan siapa pun yang masuk, berjalan di akun perusahaan dan ditagihkan ke perusahaan. Ini pola baru yang layak ditambahkan ke daftar risiko Anda: setiap kunci API untuk model AI sekaligus merupakan aset operasional dan pos pengeluaran.

Angka yang perlu Anda perhatikan bukan sepuluh jam

Sepuluh jam memang angka yang mencolok, tetapi berasal dari satu insiden saja. Angka yang seharusnya benar-benar mengubah perencanaan Anda ada dalam CrowdStrike 2026 Global Threat Report, yang mengukur breakout time: selang waktu antara akses pertama penyerang dan saat ia mulai bergerak menuju sistem lain di dalam jaringan.

  • Rata-rata breakout time eCrime turun menjadi 29 menit, peningkatan kecepatan 65% dibanding tahun sebelumnya.
  • Kasus tercepat yang pernah tercatat: 27 detik.
  • Kenaikan 89% pada serangan yang dikaitkan dengan penyerang yang memanfaatkan AI.
  • 82% deteksi pada 2025 bebas malware, artinya penyerang masuk dengan kredensial yang sah alih-alih menanam virus.
  • Kenaikan 266% pada intrusi yang menyasar cloud oleh aktor yang terkait negara.

Arti 29 menit dalam praktik: rencana respons yang berasumsi seseorang akan melihat peringatan di pagi hari dan tim akan berkumpul setelah makan siang adalah rencana untuk era yang sudah berakhir. Dan angka 82% menyampaikan hal yang lebih keras lagi. Antivirus Anda tidak melihat serangan itu karena serangan itu tidak membawa apa pun yang bisa dilihatnya. Pembobolan modern bukanlah file berbahaya yang datang, melainkan akun sah yang disalahgunakan.

Mengapa berhasil: rahasia yang ditulis di dalam kode

Agen-agen itu tidak membobol enkripsi apa pun dan tidak menciptakan kerentanan apa pun. Mereka menemukan kata sandi yang ditulis di tempat yang seharusnya tidak pernah ada kata sandi, yaitu di dalam file proyek. Satu token yang sah membuka pengelola rahasia, dan pengelola rahasia membuka segalanya.

Ini bukan masalah yang hanya dialami perusahaan besar. Cocokkan daftar ini dengan proyek Anda sendiri:

  • Kunci payment gateway atau layanan pesan di file konfigurasi yang di-commit bersama kode.
  • Kata sandi database di dalam skrip deploy lama yang tidak pernah dibuka siapa pun.
  • Token akses milik karyawan atau pengembang eksternal yang sudah keluar setahun lalu, tetapi masih berlaku.
  • Repositori yang tadinya privat lalu menjadi publik setelah migrasi atau pergantian akun.
  • Salinan cadangan file konfigurasi di laptop seseorang.

Perbedaan antara agen dan penyerang manusia di sini bukan kecerdasan, melainkan kesabaran dan kapasitas kerja. Agen membaca seluruh repositori, setiap branch dan setiap revisi lama dalam riwayat, tidak melewatkan satu file pun, dan selesai dalam hitungan menit. Rahasia apa pun yang pernah Anda commit lalu hapus masih hidup di riwayat repositori, dan riwayat itulah tepatnya tempat ia mencari.

Apa yang harus dilakukan minggu ini

Lima langkah. Langkah pertama tidak memerlukan anggaran maupun vendor eksternal:

  1. Pindai repositori Anda untuk mencari rahasia. Alat pemindaian rahasia sudah tersedia dan tertanam di platform kode utama. Jalankan di seluruh riwayat, bukan hanya revisi saat ini.
  2. Jadikan rotasi kunci sebagai rutinitas, bukan tindakan darurat. Kunci yang tidak berubah selama dua tahun adalah kunci bocor yang belum Anda temukan. Dan saat merotasi setelah kebocoran, rotasi di semua tempat kunci itu digunakan, bukan hanya di satu tempat.
  3. Siapkan satu playbook pencabutan. Ini rekomendasi langsung Unit 42: mampu menjalankan penahanan tersinkron yang mencabut kredensial, sesi OAuth, pipeline CI/CD, dan akun cloud secara bersamaan. Cabut hanya separuhnya, dan Anda memberi penyerang waktu untuk masuk kembali lewat separuh lainnya.
  4. Kelola AI sebagai infrastruktur inti. Simpan inventaris setiap model dan kunci yang digunakan, tetapkan batas laju permintaan, terapkan hak akses minimum, dan aktifkan pencatatan diagnostik. Laporan tersebut merekomendasikan hal ini secara tegas, dan inilah yang mengubah insiden di atas dari bencana senyap menjadi peringatan dini.
  5. Wajibkan peninjauan kode oleh beberapa orang dan perlindungan branch. Terutama pada repositori infrastructure-as-code, karena itulah pintu tempat perubahan satu baris menanam backdoor. Selain itu, pantau perilaku alih-alih tanda tangan: lonjakan permintaan API dan perubahan status yang cepat adalah sidik jari agen otomatis.

Dalam konteks Arab Saudi, langkah-langkah ini bukan praktik baik yang opsional. Kontrol Keamanan Siber Esensial dari Otoritas Keamanan Siber Nasional (NCA) mencakup domain eksplisit untuk manajemen identitas dan akses serta untuk keamanan perubahan dan pengembangan, dan tanggung jawab melindungi data pribadi berada pada organisasi berdasarkan Undang-Undang Pelindungan Data Pribadi (PDPL). Pembobolan yang bermula dari kunci yang tertulis di kode sumber sama sekali tidak mengurangi tanggung jawab itu.

Pandangan Origami

Kami memandang insiden ini sebagai akhir dari satu gagasan: bahwa keamanan adalah sekumpulan alat yang Anda beli. Penyerang di sini tidak pernah berhadapan dengan firewall dan tidak pernah mengakali antivirus, karena keduanya tidak menghalangi jalannya. Ia masuk dengan kunci sah yang ditemukannya tertulis, dan bertindak dengan izin yang memang telah diberikan. Tidak ada produk yang Anda beli yang dapat memperbaikinya. Yang memperbaikinya adalah disiplin dalam cara kode ditulis, cara rahasia disimpan, serta cara izin diberikan dan dicabut.

Satu pola yang berulang kali kami temui pada klien: rahasia yang paling berbahaya jarang berada di sistem utama. Rahasia itu ada di proyek sampingan, skrip migrasi data yang ditulis sekali, dasbor pelaporan internal yang dibuat kontraktor, integrasi pemasok sementara yang sudah berjalan dua tahun. Semua itu tidak pernah masuk tinjauan keamanan karena tidak ada yang menganggapnya sebagai sistem. Penyerang tidak membuat pembedaan seperti itu. Saat meninjau lingkungan klien, kami memulai tepat dari sini: di mana kunci-kuncinya, siapa memegang izin apa, dan apa yang terjadi jika satu kunci bocor malam ini. Jika Anda menginginkan tinjauan dari sudut pandang itu, Anda dapat menemukan kami di halaman kontak.

Kesimpulan

Metode serangannya tidak berubah. Kecepatannya yang berubah. Lebih dari 50 teknik yang sudah dikenal dijalankan dalam kurang dari sepuluh jam karena agen otomatis menjalankannya tanpa jeda, dan rata-rata breakout time di dalam jaringan kini 29 menit. Pertahanan yang bergantung pada seseorang yang menyadarinya tepat waktu tidak lagi memadai. Mulailah dari pertanyaan paling sederhana sekaligus paling sulit: apakah Anda tahu di mana kunci-kunci Anda saat ini, dan siapa yang bisa membacanya?

Sumber