Ransomware Rumah Sakit: Bahaya dan Dampak ke Layanan Kesehatan

October 13, 2026

Ditulis oleh :

rexy

Serangan ransomware pada rumah sakit kini menjadi ancaman nyata yang melumpuhkan berbagai sistem krusial, mulai dari rekam medis elektronik, layanan farmasi, hingga jadwal operasional. Ketika akses data terkunci oleh pesan tebusan, dokter dan tenaga medis terpaksa kembali ke metode manual yang berisiko memperlambat penanganan medis.

Kondisi ini menegaskan bahwa pertanyaan utamanya bukan lagi apakah rumah sakit akan diserang, melainkan seberapa lama layanan kesehatan mampu bertahan tanpa sistem informasi,serta seberapa besar dampaknya terhadap keselamatan pasien.

Pada Juli 2026, Rumah Sakit Universitas Indonesia (RSUI) menjadi korban serangan ransomware oleh kelompok Nova. Insiden ini bukan yang pertama di Indonesia, dan pasti bukan yang terakhir. Data global tidak memberi ampun. Sophos mencatat 88 kelompok ransomware berbeda aktif menargetkan organisasi kesehatan dalam setahun terakhir, dan 34% serangan berakhir dengan data yang benar-benar terenkripsi. Di Indonesia, BSSN mencatat 5,5 miliar anomali lalu lintas siber sepanjang 2025, lonjakan 714% dibanding rata-rata tahunan 2020-2024, dan tren itu berlanjut di 2026.

Penyebab Rumah Sakit Sering Menjadi Target Ransomware

Ada ironi yang menyakitkan. Rumah sakit adalah tempat menyelamatkan nyawa, tapi justru menjadi salah satu target paling menguntungkan bagi pelaku ransomware. Alasannya bukan teknis semata, melainkan kombinasi faktor yang membuat sektor kesehatan sangat rentan.

Pertama, urgensi operasional yang tidak bisa ditunda. Kalau perusahaan manufaktur terkena ransomware, produksi bisa dihentikan sementara. Kalau e-commerce lumpuh, transaksi tertunda beberapa jam. Tapi rumah sakit? Pasien di ICU tidak bisa menunggu. Operasi darurat tidak bisa dijadwalkan ulang. Obat harus diberikan tepat waktu dengan dosis yang tepat. Tekanan ini membuat rumah sakit lebih mungkin membayar tebusan, dan pelaku tahu itu.

Kedua, infrastruktur TI yang sering tertinggal. Anggaran rumah sakit prioritasnya jelas: peralatan medis, obat-obatan, tenaga medis. Investasi keamanan siber sering masuk kategori “kalau ada sisa anggaran.” Akibatnya, banyak rumah sakit masih menjalankan sistem operasi yang sudah tidak didukung vendor, jaringan yang tidak tersegmentasi, dan backup yang tidak pernah diuji restorasi.

Ketiga, permukaan serangan yang luas. Rumah sakit modern bukan hanya tentang komputer di meja perawat. Ada ratusan, bahkan ribuan, perangkat yang terhubung ke jaringan: monitor pasien, pompa infus, mesin MRI, sistem PACS untuk pencitraan medis, IoT sensor, CCTV, hingga sistem HVAC. Banyak perangkat medis menggunakan firmware lawas yang tidak bisa di-patch tanpa mengganggu sertifikasi alat.

Faktor Kerentanan	Kondisi di Banyak RS Indonesia	Dampak
Sistem operasi usang	Windows 7/XP masih digunakan di beberapa unit	Tidak menerima security patch
Segmentasi jaringan	Flat network, semua perangkat di subnet yang sama	Ransomware menyebar cepat ke seluruh RS
Backup	Ada tapi jarang diuji restore	Saat dibutuhkan, backup ternyata corrupt atau incomplete
Perangkat medis terhubung	Firmware lawas, tidak bisa di-patch	Jadi entry point serangan
Kesadaran staf	Pelatihan keamanan siber minim	Phishing email jadi pintu masuk utama
Tim IT security	Sering hanya 1-2 orang atau bahkan tidak ada	Tidak mampu monitoring 24/7

Keempat, nilai data medis di dark web. Data rekam medis lengkap, yang memuat nama, alamat, tanggal lahir, nomor identitas, riwayat penyakit, asuransi, bahkan informasi keuangan, bernilai jauh lebih tinggi dibanding data kartu kredit. Kartu kredit bisa diblokir dalam hitungan menit. Tapi data medis? Tidak bisa “di-reset.” Begitu bocor, bocor selamanya.

Tahapan Serangan Ransomware di Rumah Sakit

Serangan ransomware terhadap rumah sakit biasanya tidak terjadi dalam hitungan menit. Pelaku sudah berada di dalam jaringan berminggu-minggu, kadang berbulan-bulan, sebelum mengaktifkan enkripsi. Fase ini disebut “dwell time,” dan selama periode itu, pelaku memetakan jaringan, mengidentifikasi data paling berharga, dan menghapus atau mengenkripsi backup.

Pola umumnya seperti ini:

Minggu 1-2: Initial Access. Email phishing dikirim ke staf administrasi atau bagian keuangan. Lampiran berisi macro berbahaya, atau link mengarah ke halaman login palsu. Satu klik dari satu orang sudah cukup. Alternatif lain: eksploitasi kerentanan pada VPN atau aplikasi web rumah sakit yang menghadap internet.

Minggu 2-4: Lateral Movement. Malware bergerak dari workstation yang terinfeksi ke server lain di jaringan. Di jaringan yang tidak tersegmentasi, proses ini sangat cepat. Pelaku mencuri kredensial administrator, mengakses Active Directory, dan mulai mengeksfiltrasikan data sensitif.

Minggu 4-6: Preparation. Backup diidentifikasi dan dihapus atau dienkripsi. Shadow copies dihapus. Pelaku memastikan tidak ada jalan keluar mudah setelah enkripsi diaktifkan.

Hari-H: Deployment. Ransomware diaktifkan secara simultan di seluruh sistem. Dalam hitungan menit, workstation, server, database, dan bahkan beberapa perangkat medis menampilkan pesan tebusan.

Kasus RSUI pada Juli 2026 mengikuti pola serupa. Kelompok Nova, yang juga dikenal menargetkan institusi kesehatan dan pendidikan di Asia Tenggara, berhasil mengenkripsi sebagian besar sistem informasi rumah sakit. Meski tim IT RSUI merespons relatif cepat, dampak operasional tetap signifikan.

Dampak Serangan Ransomware terhadap Pelayanan Klinis

Diskusi tentang ransomware di rumah sakit sering terjebak pada aspek teknis: berapa server yang terenkripsi, berapa tebusan yang diminta, berapa lama recovery. Tapi dampak yang paling serius justru terjadi di sisi klinis, di samping tempat tidur pasien.

Penundaan tindakan medis. Ketika sistem PACS (Picture Archiving and Communication System) offline, dokter tidak bisa mengakses hasil CT scan, MRI, atau rontgen secara digital. Hasil harus dicetak manual, kalau printer masih berfungsi. Operasi yang membutuhkan referensi pencitraan bisa tertunda berjam-jam, bahkan berhari-hari.

Kesalahan medikasi. Sistem farmasi rumah sakit modern melakukan pengecekan otomatis: interaksi obat, alergi pasien, dosis berdasarkan berat badan. Ketika sistem ini offline, pengecekan kembali dilakukan manual. Probabilitas medication error meningkat drastis. Tim University of Minnesota menautkan serangan ransomware ke kenaikan angka kematian in-hospital sekitar 34-38% pada pasien yang sudah dirawat saat serangan terjadi, berdasarkan analisis klaim Medicare yang dipublikasikan di American Economic Journal: Economic Policy.

Pengalihan pasien. Ambulans dialihkan ke rumah sakit lain. Pasien yang seharusnya mendapat penanganan di RS terdekat harus menempuh perjalanan lebih jauh. Dalam kasus stroke atau serangan jantung, setiap menit keterlambatan berarti kerusakan jaringan yang irreversible.

Gangguan pada perangkat medis. Pompa infus yang terhubung jaringan mungkin kehilangan konfigurasi. Monitor pasien yang terintegrasi dengan nurse station tidak mengirimkan alert. Ventilator yang terhubung ke sistem sentral mungkin tetap berfungsi secara standalone, tapi data pasien harus dicatat manual.

Fungsi Klinis	Dampak Saat Sistem Offline	Risiko bagi Pasien
Rekam medis elektronik (EMR)	Tidak bisa akses riwayat pasien	Keputusan klinis tanpa informasi lengkap
Sistem farmasi	Tidak ada pengecekan interaksi obat otomatis	Medication error
PACS (pencitraan medis)	Hasil imaging tidak bisa diakses digital	Penundaan diagnosis dan operasi
Sistem laboratorium (LIS)	Hasil lab harus dikomunikasikan manual	Keterlambatan hasil dan risiko salah transkrip
Jadwal operasi	Scheduling manual	Penundaan operasi elektif dan darurat
Nurse call system	Tergantung apakah terhubung jaringan IT	Alert terlambat atau tidak terkirim

Kecepatan pemulihan sangat bervariasi. Sophos melaporkan 58% organisasi kesehatan bisa pulih dalam satu minggu pada 2025, naik dari 21% pada 2024, tapi masih ada 12% yang butuh satu sampai enam bulan. Artinya ada rumah sakit yang berminggu-minggu berjalan dalam mode degradasi. Tiga minggu di mana setiap proses yang biasanya otomatis harus dilakukan manual. Tiga minggu di mana risiko kesalahan medis meningkat eksponensial.

Kasus Serangan Ransomware pada Fasilitas Kesehatan

Indonesia bukan beroperasi dalam vakum. Kasus-kasus ransomware di rumah sakit sudah terjadi di banyak negara, dan polanya konsisten.

WannaCry Mei 2017, RS Harapan Kita dan RS Kanker Dharmais, Jakarta. Ini adalah wake-up call pertama bagi sektor kesehatan Indonesia. Ransomware WannaCry yang memanfaatkan kerentanan EternalBlue menginfeksi sistem di kedua rumah sakit besar di Jakarta. Meski dampak operasional relatif terkendali karena banyak proses masih manual pada saat itu, insiden ini mengungkap betapa rentannya infrastruktur TI rumah sakit.

Change Healthcare, AS, Februari 2024. Serangan ransomware ALPHV/BlackCat terhadap Change Healthcare, perusahaan yang memproses klaim asuransi kesehatan untuk sepertiga populasi AS, menjadi salah satu insiden siber paling masif di sektor kesehatan. Dampaknya: klinik dan apotek di seluruh AS tidak bisa memproses klaim selama berminggu-minggu. Beberapa praktik medis kecil nyaris bangkrut karena tidak bisa menerima pembayaran.

RSUI, Jakarta, Juli 2026. Serangan oleh kelompok Nova menunjukkan bahwa bahkan institusi dengan afiliasi universitas ternama tidak kebal. Insiden ini memicu diskusi lebih luas tentang kesiapan sektor kesehatan Indonesia menghadapi ancaman siber.

Ascension Health, AS, Mei 2024. Jaringan rumah sakit dengan 140 rumah sakit di seluruh AS terkena ransomware Black Basta. Ambulans dialihkan, operasi dibatalkan, dan staf kembali ke pencatatan kertas selama berminggu-minggu.

Pola dari semua kasus ini sama: serangan tidak pernah datang di saat yang “nyaman.” Selalu terjadi ketika dampaknya paling terasa dan tekanan untuk membayar paling tinggi.

Risiko dan Alasan Tidak Membayar Tebusan Ransomware

Ketika sistem lumpuh dan nyawa pasien di ujung tanduk, godaan untuk membayar tebusan sangat besar. Beberapa rumah sakit secara global memang membayar, dan beberapa mendapatkan kunci dekripsi yang berfungsi.

Tapi data menunjukkan realitas yang lebih suram. Sophos mencatat hanya 49% organisasi yang membayar tebusan benar-benar mendapatkan kembali datanya, dan dari yang datanya terenkripsi, 97% berhasil dipulihkan, sebagian besar lewat backup, bukan lewat kunci tebusan. Sisanya mendapat kunci dekripsi yang korup, hanya sebagian data yang bisa dipulihkan, atau, dalam kasus terburuk, pelaku menghilang setelah menerima pembayaran.

Lebih dari itu, membayar tebusan menciptakan lingkaran setan. Organisasi yang diketahui membayar menjadi target berulang, baik oleh kelompok yang sama maupun kelompok lain. FBI, CISA, dan hampir semua otoritas keamanan siber global merekomendasikan untuk tidak membayar tebusan.

Di Indonesia, membayar tebusan juga berpotensi melanggar regulasi anti-pencucian uang, karena dana bisa berakhir di entitas yang terkena sanksi internasional. Belum lagi implikasi hukum dari UU Perlindungan Data Pribadi (UU PDP No. 27 Tahun 2022), di mana kebocoran data pasien akibat ransomware bisa berujung pada sanksi administratif dan perdata yang signifikan.

Strategi Pencegahan Ransomware di Rumah Sakit

Melindungi rumah sakit dari ransomware membutuhkan pendekatan berlapis yang melampaui sekadar membeli firewall atau antivirus terbaru. Ini adalah upaya organisasional yang melibatkan manajemen puncak, tim klinis, tim IT, dan seluruh staf.

1. Business Continuity Plan yang Realistis

Setiap rumah sakit harus punya jawaban konkret: “Kalau seluruh sistem informasi mati besok pagi, apa yang kita lakukan?” Bukan jawaban teoretis di dokumen BCP yang disimpan di rak, tapi prosedur yang sudah dilatihkan, diuji, dan dipahami seluruh staf.

BCP untuk rumah sakit harus mencakup prosedur downtime untuk setiap unit klinis, komunikasi darurat ketika email dan sistem internal mati, mekanisme identifikasi pasien tanpa barcode atau wristband elektronik, dan prosedur manual untuk pemberian obat, pencatatan lab, serta koordinasi antar unit.

2. Segmentasi Jaringan

Ini mungkin investasi teknis paling penting. Jaringan rumah sakit harus disegmentasi sehingga perangkat medis, workstation administratif, sistem keuangan, dan jaringan tamu berada di segmen terpisah. Kalau ransomware masuk melalui workstation di bagian admisi, seharusnya tidak bisa menjangkau sistem PACS atau server database rekam medis.

3. Backup yang Diuji dan Terisolasi

Memiliki backup tidak cukup. Backup harus mengikuti prinsip 3-2-1: tiga salinan data, di dua media berbeda, dengan satu salinan offline atau air-gapped. Yang paling penting, dan paling sering diabaikan, adalah pengujian restore secara berkala. Backup yang tidak bisa di-restore sama saja tidak ada.

4. Monitoring dan Deteksi 24/7

Serangan ransomware tidak terjadi secara instan. Ada jendela waktu berminggu-minggu antara initial access dan deployment. Organisasi dengan kemampuan monitoring dan deteksi yang baik bisa mengidentifikasi aktivitas mencurigakan sebelum ransomware diaktifkan.

Untuk rumah sakit yang tidak mampu membangun SOC internal, dan ini berlaku untuk mayoritas rumah sakit di Indonesia, Managed Detection and Response (MDR) menjadi opsi yang realistis. MDR menyediakan monitoring 24/7, threat hunting, dan incident response tanpa memerlukan investasi besar dalam infrastruktur dan talenta security.

5. Patch Management yang Disiplin

Kerentanan yang tidak di-patch adalah pintu masuk favorit pelaku ransomware. Tantangan di rumah sakit: banyak perangkat medis yang tidak bisa di-patch tanpa approval vendor atau gangguan layanan. Solusinya bukan mengabaikan patch, tapi memprioritaskan berdasarkan risiko dan mengisolasi perangkat yang tidak bisa di-patch di segmen jaringan yang terkontrol ketat.

6. Pelatihan Staf yang Kontekstual

Pelatihan keamanan siber untuk staf rumah sakit harus relevan dengan pekerjaan mereka sehari-hari. Dokter dan perawat tidak butuh pemahaman mendalam tentang arsitektur jaringan, tapi mereka perlu bisa mengenali email phishing, tahu siapa yang harus dihubungi kalau ada yang mencurigakan, dan memahami kenapa tidak boleh menggunakan USB drive pribadi di workstation klinis.

Lapisan Pertahanan	Tindakan Prioritas	Timeline Implementasi
Governance	BCP khusus ransomware, kebijakan incident response	1-3 bulan
Arsitektur jaringan	Segmentasi, microsegmentation untuk perangkat medis	3-6 bulan
Data protection	Backup 3-2-1, uji restore bulanan, air-gapped backup	1-3 bulan
Deteksi dan respons	MDR atau SOC, EDR di semua endpoint	1-3 bulan
Vulnerability management	Patch management, virtual patching untuk perangkat legacy	Ongoing
Human layer	Phishing simulation, pelatihan kontekstual per departemen	Quarterly

Aturan dan Regulasi Keamanan Data Kesehatan di Indonesia

Sektor kesehatan Indonesia menghadapi tekanan regulasi yang makin ketat terkait keamanan data.

UU PDP No. 27 Tahun 2022 mengkategorikan data kesehatan sebagai data spesifik yang memerlukan perlindungan ekstra. Rumah sakit yang mengalami kebocoran data akibat ransomware wajib melakukan notifikasi kepada subjek data dan Lembaga PDP. Sanksi administratif bisa mencapai 2% dari pendapatan tahunan, angka yang signifikan untuk rumah sakit.

Permenkes tentang Rekam Medis Elektronik mensyaratkan kerahasiaan, integritas, dan ketersediaan data rekam medis. Serangan ransomware yang menyebabkan data tidak bisa diakses selama berminggu-minggu jelas melanggar prinsip ketersediaan ini.

Perpres Nomor 82 Tahun 2022 tentang Pelindungan Infrastruktur Informasi Vital menempatkan sektor kesehatan sebagai salah satu sektor vital. Rumah sakit tertentu, terutama RS rujukan tipe A dan B, berpotensi ditetapkan sebagai penyelenggara IIV dengan standar keamanan dan pelaporan insiden yang lebih tinggi.

Kepatuhan terhadap regulasi ini bukan hanya soal menghindari sanksi. Ini tentang membangun fondasi keamanan yang melindungi hal yang paling penting: keselamatan pasien.

Kesimpulan: Pentingnya Keamanan Siber Rumah Sakit

Ransomware di rumah sakit bukan isu IT. Ini isu keselamatan pasien. Ketika sistem informasi lumpuh, yang terdampak bukan hanya server dan database, tapi pasien yang menunggu diagnosis, obat yang terlambat diberikan, dan operasi yang harus ditunda.

Data menunjukkan ancaman ini nyata dan meningkat. BSSN mencatat anomali siber yang terus bertambah. Kelompok ransomware makin canggih dan secara aktif menargetkan sektor kesehatan. Pemulihan penuh bisa memakan waktu berminggu-minggu, tiga minggu di mana rumah sakit beroperasi dalam kondisi yang jauh dari ideal.

Kabar baiknya: rumah sakit tidak harus memulai dari nol. Framework yang ada, ISO 27001, standar BSSN, best practice dari NIST dan ENISA, memberikan panduan yang jelas. Yang dibutuhkan adalah komitmen manajemen, investasi yang proporsional, dan kesadaran bahwa keamanan siber di rumah sakit adalah bagian dari keselamatan pasien.

Mulai dari yang paling berdampak: backup yang teruji, segmentasi jaringan, dan kemampuan deteksi 24/7. Lalu bangun dari sana. Setiap langkah mengurangi kemungkinan insiden, dan meminimalkan dampak kalau insiden memang terjadi.

Layanan Keamanan Siber Rumah Sakit dari Proxsis IT

Proxsis IT membantu organisasi di sektor kesehatan membangun ketahanan siber yang komprehensif, mulai dari asesmen keamanan informasi, implementasi ISO 27001, hingga perencanaan Business Continuity yang realistis dan teruji. Dengan pengalaman mendampingi berbagai industri termasuk kesehatan, kami memahami tantangan unik yang dihadapi rumah sakit dalam menyeimbangkan keamanan siber dengan kebutuhan operasional klinis.

Konsultasikan Keamanan Siber Rumah Sakit Anda →

Pertanyaan Umum (FAQ) Seputar Ransomware Rumah Sakit

Berapa lama rata-rata rumah sakit pulih dari serangan ransomware?

Kecepatan pemulihan bervariasi: Sophos mencatat 58% rumah sakit pulih dalam satu minggu pada 2025, tapi pemulihan penuh ada yang memakan waktu berminggu-minggu. Beberapa fungsi bisa dipulihkan lebih cepat dengan prioritas, misalnya sistem gawat darurat dan farmasi dalam 2-3 hari, sementara sistem non-kritis bisa menyusul kemudian.

Apakah rumah sakit kecil juga berisiko?

Justru rumah sakit kecil sering lebih berisiko karena keterbatasan anggaran dan tim IT. Pelaku ransomware tidak hanya menargetkan rumah sakit besar, mereka mencari target yang paling mudah disusupi dan paling mungkin membayar.

Apa langkah pertama yang harus dilakukan rumah sakit?

Mulai dari tiga hal: pastikan backup berfungsi dan teruji, segmentasi jaringan agar perangkat medis terisolasi dari jaringan umum, dan pastikan ada kemampuan deteksi, minimal melalui layanan Managed Detection and Response.

Bagaimana hubungannya dengan UU PDP?

Data kesehatan adalah data spesifik menurut UU PDP yang memerlukan perlindungan ekstra. Kebocoran akibat ransomware wajib dilaporkan ke Lembaga PDP dan subjek data. Kegagalan melindungi data bisa berujung sanksi administratif hingga 2% pendapatan tahunan.