NCC Group memotret lanskap ancaman siber Agustus 2026 lewat laporan Cyber Threat Intelligence mereka: 1.073 organisas di seluruh dunia menjadi korban serangan ransomware. Angka itu rekor tertinggi sepanjang 2026, naik 12 persen dari 973 organisasi pada Juli.
Menurut Matt Hull, VP cyber intelligence and response NCC Group, lonjakan ini didorong kombinasi kemajuan AI yang cepat dan volatilitas geopolitik yang menyalakan ancaman bersponsor negara. Katanya, Agustus adalah bulan kedua berturut-turut dengan level ransomware tertinggi tahun ini, pola yang menunjukkan kenaikan aktivitas global, bukan lonjakan sesaat.
Dua Kelompok Teraktif
Dari serangan yang bisa ditelusuri ke pelaku spesifik, 164 insiden ransomware dikaitkan ke Qilin, sementara 116 lainnya ke The Gentlemen. Dua grup ini sepanjang 2026 terus bertukar tempat sebagai kelompok paling produktif, dan keduanya dikenal karena strategi pemerasan yang agresif.
Extortion Tanpa Enkripsi
Salah satu perubahan paling menarik datang dari Manchester Airport Group, yang jadi korban data breach, bukan enkripsi. Ini pengingat bahwa sebagian kelompok kriminal sudah meninggalkan pola “kunci file, minta tebusan” dan beralih ke pencurian data murni. Setelah data dicuri, ancamannya sederhana: publikasikan atau bayar.
Kaspersky bulan lalu juga menemukan pola serupa dari kelompok “Payload”. Mereka mengambil alih kendali jaringan dan mengunci komputer korban tanpa enkripsi file sama sekali, hanya menampilkan pesan tebusan sambil mencuri data sensitif. Teknik ini berhasil karena mereka menyalahgunakan aturan jaringan pusat atau GPO untuk memancing perangkat administrasi bernilai.
Katalog KEV: SharePoint dan MikroTik
CISA menambahkan dua celah ke katalog Known Exploited Vulnerabilities. Pertama, CVE-2026-65660 dengan skor CVSS 8.8, injeksi kode di Microsoft SharePoint yang memungkinkan eksekusi kode jarak jauh oleh penyerang terautentikasi berprivilege rendah. Celah ini memengaruhi SharePoint Server 2016, 2019, dan Subscription Edition.
Kedua, CVE-2026-67279, kelemahan protokol SSH di MikroTik RouterOS yang memungkinkan penyerang tidak terautentikasi melewati alur autentikasi, membuka sesi channel, dan menjalankan perintah pada perangkat. CERT Polska mengonfirmasi keduanya sudah dieksploitasi aktif di dunia nyata. Celah RouterOS, jika dirangkai dengan CVE-2026-86060, memberi akses admin penuh tanpa autentikasi, dan serangan terhadap perangkat RouterOS yang terhubung internet tercatat sejak 2 September 2026. CISA memerintahkan seluruh agensi federal menambal sebelum 28 September.
Yang Perlu Dicatat
Tiga hal layak diambil dari rangkaian ini. Pertama, selisih antara “patch tersedia” dan “patch terpasang” masih lebar. Celah JetBrains TeamCity sudah ditambal pada Juli, tapi CISA baru mengeluarkan peringatan eksploitasi ransomware pada 24 September karena banyak organisasi yang menunda.
Kedua, CI/CD dan server build adalah target bernilai tinggi. Sekali dikuasai, penyerang mendapat akses ke source code, kredensial, dan pipeline deploy yang sah, sehingga ransomware bisa disebarkan lewat mekanisme yang justru seharusnya aman.
Ketiga, hak akses admin yang berlebihan di jaringan internal adalah pengali utama. Pola extortion tanpa enkripsi hanya berhasil karena aturan kebijakan bisa dibajak, dan pemindaian malware pada endpoint tentu tidak cukup untuk menutup celah di lapisan kebijakan.
Bottom Line
Ransomware tidak hilang dengan deteksi signature yang lebih baik. Ia pindah ke lapisan yang lebih atas: kebijakan jaringan, kredensial admin, dan alur CI/CD yang tidak dipelihara. Organisasi yang disiplin pada patch management dan credential hygiene akan jauh lebih sulit ditembus dibanding yang hanya mengandalkan antivirus.