5 Jenis Kejahatan Siber yang Mengincar UMKM: Ancaman, Dasar Hukum, dan Langkah Mitigasi

Usaha Mikro, Kecil, dan Menengah (UMKM) merupakan tulang punggung ekonomi Indonesia. Namun, seiring dengan percepatan digitalisasi, UMKM kini menjadi sasaran empuk bagi para pelaku kejahatan siber. Banyak pelaku usaha yang merasa bahwa bisnis mereka 'terlalu kecil' untuk menjadi target hacker, padahal statistik menunjukkan sebaliknya. Kerentanan sistem keamanan dan kurangnya pemahaman hukum digital membuat UMKM menjadi target yang sangat menarik.

Dalam artikel ini, kita akan membedah secara mendalam lima jenis kejahatan siber yang paling sering mengincar UMKM di Indonesia, lengkap dengan tinjauan hukum berdasarkan UU ITE dan UU Perlindungan Data Pribadi (UU PDP), serta langkah-langkah praktis untuk melindungi aset bisnis Anda.

1. Phishing dan Social Engineering

Phishing adalah teknik penipuan di mana pelaku menyamar sebagai institusi resmi (seperti bank, penyedia layanan e-commerce, atau instansi pemerintah) untuk mencuri informasi sensitif seperti kredensial login, nomor kartu kredit, atau data perusahaan. Bagi UMKM, ini sering kali berupa email palsu yang meminta konfirmasi pembayaran atau pembaruan akun marketplace.

Dasar Hukum: Tindakan ini dapat dijerat dengan Pasal 35 UU ITE No. 11/2008 jo. UU No. 1/2024 tentang manipulasi data seolah-olah data tersebut otentik. Ancaman pidananya mencapai 12 tahun penjara dan/atau denda hingga Rp12 miliar.

• Contoh: Seorang admin UMKM menerima WhatsApp yang mengaku dari kurir ekspedisi, meminta klik link untuk melacak paket. Link tersebut ternyata mengunduh malware yang mencuri saldo m-banking.

2. Serangan Ransomware

Ransomware adalah jenis malware yang mengunci atau mengenkripsi data penting perusahaan, lalu pelaku meminta tebusan (ransom) agar data tersebut bisa dibuka kembali. Bagi UMKM yang tidak memiliki cadangan (backup) data yang kuat, serangan ini bisa menghentikan operasional bisnis secara total dalam sekejap.

Dasar Hukum: Pelaku dapat dijerat dengan Pasal 30 jo. Pasal 46 UU ITE mengenai akses ilegal, serta Pasal 33 jo. Pasal 49 UU ITE mengenai tindakan yang mengakibatkan terganggunya sistem elektronik. Secara hukum, membayar tebusan tidak menjamin data kembali dan justru bisa menjerat perusahaan dalam masalah kepatuhan hukum terkait pendanaan kegiatan ilegal.

Skenario Hipotesis: Sebuah firma hukum kecil mendapati semua dokumen kliennya terkunci dengan ekstensi .crypt. Muncul pesan di layar meminta pembayaran 2 Bitcoin. Tanpa backup, firma tersebut kehilangan sejarah kasus bertahun-tahun.

3. Business Email Compromise (BEC)

BEC adalah skema penipuan canggih di mana pelaku meretas atau memalsukan akun email bisnis untuk menipu karyawan, vendor, atau pelanggan agar melakukan transfer dana ke rekening pelaku. Seringkali, pelaku memantau percakapan email selama berbulan-bulan sebelum akhirnya melakukan intervensi pada saat tagihan (invoice) dikirimkan.

Secara hukum, ini melibatkan tindak pidana penipuan (Pasal 378 KUHP) dan pelanggaran UU ITE terkait akses tidak sah. Dari sisi perdata, sengketa sering muncul mengenai siapa yang bertanggung jawab atas kerugian tersebut—apakah pengirim yang emailnya diretas atau penerima yang kurang teliti.

• Langkah Mitigasi: Selalu lakukan verifikasi melalui saluran komunikasi sekunder (telepon langsung) jika ada perubahan nomor rekening tujuan transfer pada invoice.

4. Pencurian Data Pribadi Pelanggan

Dengan berlakunya UU No. 27 Tahun 2022 tentang Perlindungan Data Pribadi (UU PDP), UMKM kini memiliki tanggung jawab hukum yang besar sebagai Pengendali Data Pribadi. Jika database pelanggan Anda (nama, alamat, nomor telepon) bocor karena sistem keamanan yang lemah, bisnis Anda tidak hanya rugi secara reputasi, tetapi juga terancam sanksi hukum yang berat.

Dasar Hukum: Pasal 67 UU PDP mengatur sanksi pidana bagi orang yang secara melawan hukum memperoleh atau mengumpulkan data pribadi yang bukan miliknya. Namun, bagi pemilik bisnis (UMKM), Pasal 46 UU PDP mewajibkan pemberitahuan tertulis dalam waktu 3x24 jam kepada subjek data dan otoritas jika terjadi kegagalan perlindungan data.

Kelalaian dalam melindungi data dapat berujung pada sanksi administratif berupa denda hingga 2% dari pendapatan tahunan, yang tentu saja bisa mematikan bagi skala UMKM.

5. Website Defacement dan Injeksi Malware

Banyak UMKM menggunakan platform open-source seperti WordPress tanpa pembaruan (update) keamanan yang rutin. Pelaku kejahatan sering melakukan 'defacement' (mengubah tampilan website) untuk menyebarkan pesan politik, atau yang lebih berbahaya, menyisipkan script judi online atau malware di latar belakang website Anda.

Dasar Hukum: Pasal 32 ayat (1) UU ITE melarang siapapun untuk mengubah, menambah, mengurangi, atau merusak informasi elektronik milik orang lain. Jika website UMKM Anda digunakan untuk memfasilitasi judi online (meskipun karena diretas), Anda sebagai pemilik platform bisa terseret dalam pemeriksaan kepolisian jika tidak bisa membuktikan adanya serangan siber.

Langkah Perlindungan Hukum dan Teknis bagi UMKM

Untuk meminimalisir risiko hukum dan finansial, setiap pemilik UMKM disarankan melakukan langkah-langkah berikut:

1. Audit Keamanan Mandiri: Pastikan semua perangkat lunak asli dan terupdate. Gunakan autentikasi dua faktor (2FA) pada semua akun bisnis.

2. Kebijakan Privasi (Privacy Policy): Buat dokumen kebijakan privasi yang jelas di website Anda sesuai standar UU PDP untuk menunjukkan kepatuhan hukum.

3. Penyusunan Kontrak dengan Vendor IT: Pastikan ada klausul tanggung jawab (liability) dan kerahasiaan data (NDA) dalam kontrak dengan penyedia jasa IT atau cloud.

4. Pelaporan ke Pihak Berwajib: Jika terjadi serangan, segera buat laporan polisi ke Direktorat Tindak Pidana Siber Bareskrim POLRI atau melalui portal patrolisiber.id untuk mendapatkan perlindungan hukum.

Kejahatan siber bukan lagi ancaman masa depan, melainkan realitas masa kini. Dengan memahami aspek hukum dan teknisnya, UMKM tidak hanya melindungi aset mereka, tetapi juga membangun kepercayaan pelanggan yang menjadi modal utama dalam ekonomi digital.

Jika bisnis Anda menjadi korban kejahatan siber atau ingin memastikan kepatuhan bisnis terhadap UU PDP, segera konsultasikan dengan ahli hukum teknologi untuk mitigasi risiko yang tepat.