Anatomi Akira Ransomware: Cara Kerja, Risiko, dan Langkah Penanganan yang Tepat

Ransomware telah menjadi salah satu ancaman siber di tingkat global yang terus berkembang dan memberikan dampak signifikan terhadap berbagai sektor industri. Hingga tahun 2026, Akira Ransomware masih menjadi salah satu kelompok ransomware paling aktif di dunia. Berdasarkan berbagai laporan intelijen ancaman siber, kelompok ini telah mengklaim lebih dari 1.400 korban sejak pertama kali muncul pada 2023 dan diperkirakan telah memperoleh lebih dari US$245 juta per awal 2026. Dengan menerapkan teknik double extortion, yaitu mencuri data sebelum mengenkripsi sistem, Akira tidak hanya mengganggu operasional bisnis, tetapi juga meningkatkan risiko kebocoran data, kerugian finansial, serta kerusakan reputasi organisasi yang menjadi sasaran. Oleh karena itu, memahami karakteristik serangan serta langkah penanganan yang tepat menjadi hal penting bagi organisasi untuk meminimalkan dampak serangan Akira Ransomware.

Profil Grup Akira Ransomware

Akira Ransomware merupakan kelompok Ransomware-as-a-Service (RaaS) yang pertama kali teridentifikasi pada Maret 2023. Dalam model operasinya, Akira menyediakan ransomware payload, infrastruktur, dan portal negosiasi kepada afiliasi (affiliates) yang bertugas memperoleh akses ke jaringan korban dan menjalankan serangan. Model ini memungkinkan Akira memperluas jangkauan operasinya dengan cepat serta terus mengembangkan teknik dan infrastruktur serangan seiring meningkatnya aktivitas kelompok tersebut.

Berdasarkan pembaruan #StopRansomware Advisory dari FBI dan CISA, Akira diketahui menargetkan berbagai sektor penting, termasuk manufaktur, pendidikan, teknologi informasi, layanan kesehatan, layanan keuangan, serta pangan dan pertanian. Selain menyerang sistem Windows, Akira juga mengembangkan varian untuk lingkungan Linux yang mampu mengenkripsi infrastruktur virtual seperti VMware ESXi, Microsoft Hyper-V, dan yang terbaru Nutanix AHV, menunjukkan kemampuan kelompok ini dalam menyesuaikan teknik serangannya terhadap lingkungan enterprise modern.

Cara Kerja Akira Ransomware

Dalam praktiknya, aktor ancaman Akira memanfaatkan beberapa celah utama untuk menembus batas pertahanan organisasi:

• Penyalahgunaan Akses Jarak Jauh Tanpa MFA: Akira mengeksploitasi kredensial VPN yang bocor atau dibeli dari Initial Access Brokers (IAB). Target utamanya adalah VPN perimeter seperti Cisco ASA/FTD dan SonicWall. Hal ini terjadi karena sistem tidak menerapkan Multi-Factor Authentication (MFA) atau hanya mengandalkan otentikasi faktor tunggal.
• Eksploitasi Kerentanan Aplikasi Publik: Akira memanfaatkan kerentanan Common Vulnerabilities and Exposures (CVE) pada perangkat keras jaringan dan platform cadangan (backup). Celah kritis yang disasar meliputi Cisco ASA/FTD, Veeam Backup, SonicWall VPN. Kerentanan ini mencakup CVE-2020-3259, CVE-2023-27532 hingga CVE-2024-40766.
• Teknik Social Engineering “ClickFix” (Fake CAPTCHA): Selain mengeksploitasi celah teknis, Akira memanfaatkan metode ClickFix. Korban diarahkan ke situs tepercaya yang diretas lalu disajikan verifikasi CAPTCHA palsu (Prove You’re Human). Saat verifikasi diklik, script otomatis mengeksekusi Trojan/RAT di latar belakang. Proses ini losos dari deteksi antivirus dan memberikan peretas akses awal ke jaringan.

Setelah berhasil memperoleh kendali atas jaringan, Akira umumnya melakukan eksfiltrasi data sebelum menjalankan proses enkripsi. Pendekatan ini dikenal sebagai double extortion, yaitu mencuri data korban terlebih dahulu, kemudian mengenkripsi sistem dan meminta pembayaran tebusan. Dengan strategi tersebut, korban tidak hanya kehilangan akses terhadap data, tetapi juga menghadapi risiko publikasi atau penyalahgunaan data yang berhasil dicuri apabila tuntutan tebusan tidak dipenuhi.

Analisis Studi Kasus Dampak Nyata

Keagresifan Akira terbukti dari rentetan insiden besar yang terus berlanjut. Laporan industri intelijen mencatat lonjakan aktivitas di mana Akira berhasil mempublikasikan puluhan organisasi korban baru dalam waktu singkat, dengan rata-rata durasi waktu dari akses awal hingga enkripsi total dipangkas menjadi di bawah 4 jam.

Pada insiden RJS Corporation, Akira membuktikan fokus serangannya pada sektor manufaktur industri. Pelaku memanfaatkan kredensial terkompromikan untuk menerobos jaringan internal, lalu mengeksfiltrasi basis data penting berupa hak kekayaan intelektual, desain teknis, hingga dokumen pribadi karyawan. Untuk mengisolasi penyebaran malware, RJS Corporation terpaksa melakukan penghentian darurat pada sebagian sistem jaringan produksinya.

Sementara itu, pada kasus penyedia infrastructure cloud, Akira menunjukkan evolusi taktik melalui rekayasa sosial ClickFix. Korban dijebak menggunakan instruksi CAPTCHA palsu yang mengeksekusi script di latar belakang. Taktik ini memungkinkan peretas bersembunyi hingga 42 hari di dalam sistem tanpa terdeteksi sebelum akhirnya mengeksekusi penguncian secara serentak di tiga jaringan terpisah.

Risiko dan Dampak Serangan

Serangan Akira Ransomware tidak hanya menyebabkan file dan sistem menjadi tidak dapat diakses, tetapi juga dapat menghentikan operasional bisnis secara signifikan. Gangguan terhadap server, sistem produksi, layanan pelanggan, maupun aplikasi bisnis dapat mengakibatkan operational downtime. Kondisi ini sering kali membutuhkan proses pemulihan data server perusahaan agar operasional dapat kembali berjalan dengan baik.

Selain gangguan operasional, Akira juga menimbulkan risiko kebocoran data akibat penerapan teknik double extortion. Informasi sensitif seperti data pelanggan, dokumen internal, maupun informasi keuangan berpotensi dipublikasikan atau disalahgunakan apabila tuntutan pelaku tidak dipenuhi. Kondisi ini dapat menyebabkan kerugian finansial, menurunkan kepercayaan pelanggan, serta memunculkan risiko hukum dan kepatuhan terhadap regulasi perlindungan data.

Langkah Penanganan yang Tepat Saat Terkena Ransomware

Ketika terjadi serangan ransomware, tindakan awal sangat menentukan keberhasilan proses pemulihan. Dalam kondisi tertentu, organisasi membutuhkan bantuan penanganan ransomware dari pihak yang memiliki pengalaman dalam melakukan analisis dan pemulihan insiden. Kesalahan dalam penanganan dapat menyebabkan kerusakan semakin luas atau mengurangi peluang pemulihan data.

Berikut langkah yang disarankan:

• Isolasi Sistem yang Terinfeksi : Segera putuskan koneksi perangkat atau server yang terdampak dari jaringan untuk mencegah penyebaran ransomware ke sistem lain.
• Jangan Menghapus atau Mengubah File Terenkripsi : Hindari menghapus file terenkripsi, ransom note, maupun log sistem karena informasi tersebut dapat membantu proses analisis dan investigasi.
• Segera Hubungi Tim Penanganan Ransomware : Setelah sistem berhasil diisolasi, langkah berikutnya adalah menghubungi tim profesional yang berpengalaman dalam penanganan ransomware. Proses seperti identifikasi varian, analisis dampak, evaluasi kondisi data, hingga penyusunan strategi pemulihan sebaiknya dilakukan oleh tim yang memiliki kompetensi dan pengalaman dalam menangani insiden ransomware.
  

Mengapa Membutuhkan Tim Penanganan Profesional?

Ransomware bukan hanya masalah kehilangan file, tetapi merupakan insiden keamanan yang membutuhkan proses analisis mendalam. Oleh karena itu, banyak organisasi membutuhkan konsultan recovery ransomware untuk membantu melakukan analisis kondisi serangan dan menentukan strategi pemulihan yang tepat.

FixRansomware hadir sebagai tim profesional yang berfokus pada penanganan insiden ransomware, mulai dari identifikasi varian ransomware, analisis kondisi data terdampak, hingga membantu menentukan strategi pemulihan yang sesuai dengan kondisi setiap kasus. Dengan pengalaman menangani berbagai insiden ransomware pada lingkungan bisnis dan enterprise, FixRansomware membantu organisasi memahami situasi yang terjadi, menentukan langkah penanganan yang tepat, serta mendukung proses pemulihan data server perusahaan secara terstruktur.