Saat Server Backup Jadi Pintu Masuk Penyerang

Mulai 7 Oktober 2026, penyerang membobol konsol backup AhsayCBS yang bisa diakses dari internet dan menguasai servernya tanpa kata sandi. Versi perbaikannya sudah ada: 10.3.4.45 untuk v10 dan 9.15.2.70 untuk versi lama. Pelajarannya sederhana. Layar pengelola backup tidak boleh terbuka untuk seluruh internet, apa pun merek software-nya.

AhsayCBS adalah konsol pengelola untuk software backup buatan Ahsay. Pemakai utamanya penyedia jasa IT yang mengurus backup banyak perusahaan sekaligus. Di bawah ini saya uraikan kronologinya, alasan konsol backup jadi sasaran empuk, dan apa yang perlu dicek minggu ini, baik Anda mengelolanya sendiri maupun membayar pihak lain.

Apa yang terjadi antara 4 dan 14 Oktober?

Dua celah keamanan diumumkan pada 4 Oktober. Tiga hari kemudian, perusahaan keamanan Huntress sudah melihat keduanya dipakai menyerang. Seminggu setelah itu, badan siber pemerintah AS (CISA) memasukkan keduanya ke daftar celah yang terbukti dieksploitasi.

Menurut Horizon3.ai, skor keparahan (CVSS, skala 0–10 yang dipakai industri) kedua celah ini 7,3 dan 10,0. Skor 10 itu batas atas: penyerang tidak perlu akun dan mendapat kendali penuh.

Bagian yang paling perlu diperhatikan adalah koreksi 12 Oktober. Tim yang sigap menambal setelah pengumuman pertama ternyata masih menyisakan celah. Kalau tim Anda sudah menandai urusan ini selesai sebelum 12 Oktober, cek ulang nomor versinya.

Bagaimana penyerang masuk tanpa kata sandi?

Celah pertama mirip pintu karyawan yang mau dibuka siapa saja asal orangnya mengaku "saya orang dalam". Horizon3.ai menemukan bahwa konsol tidak memeriksa kata sandi bila permintaan yang masuk membawa satu penanda tertentu ("FromServlet":"Y"). Penyerang tinggal menambahkan penanda itu.

Celah kedua ada di fitur penerima replikasi (replication receiver), yaitu fitur yang menerima salinan backup dari server lain. Setelah melewati pintu pertama, penyerang bisa menaruh berkas di folder halaman web milik konsol. Berkas itu lalu berjalan sebagai SYSTEM, akun dengan hak tertinggi di Windows.

Langkah kedua ini hanya berhasil di server yang disiapkan atau berlisensi sebagai penerima replikasi. Di penyedia jasa backup, pengaturan seperti itu lumrah, karena salinan di lokasi kedua memang hal yang dibayar pelanggan.

Apa yang dilakukan penyerang setelah masuk?

Kasus yang dicatat Huntress punya pola serupa:

• web shell, halaman web tersembunyi yang membuat penyerang bisa mengirim perintah ke server kapan saja, ditanam di folder web konsol;
• penambang mata uang kripto yang menyamar sebagai Microsoft Edge (edge.exe), dijaga tetap hidup oleh layanan Windows palsu bernama MicrosoftEdgeUpdateSvc;
• skrip PowerShell yang menghentikan penambang selama Task Manager terbuka, lalu menutup Task Manager bila dibiarkan terbuka terlalu lama.

Dalam kasus ini, penambang kripto justru termasuk akibat paling ringan. Listrik dan prosesor terkuras, tetapi datanya tidak disentuh. Dengan akses SYSTEM yang sama, penyerang bisa saja menghapus set backup, memendekkan masa simpan supaya salinan lama hilang pelan-pelan, atau menyalin data klien ke luar.

Mengapa penyerang mengincar backup lebih dulu?

Backup menentukan apakah korban bisa pulih tanpa membayar tebusan. Survei Veeam terhadap 1.200 pemimpin IT dalam Ransomware Trends Report 2023 mencatat bahwa 93% insiden ransomware menyasar penyimpanan backup, dan 75% korban kehilangan sebagian backup-nya dalam serangan itu.

Isi konsol backup juga lengkap sekali. Ia tahu mesin mana saja yang dilindungi, lokasi salinannya, dan jadwal backup-nya. Di konsol milik penyedia jasa, semua informasi itu tersimpan untuk seluruh klien sekaligus. Satu kali bobol, banyak bisnis ikut terdampak. Polanya sama dengan aplikasi bantuan jarak jauh yang diserang September lalu.

Apakah bisnis di Indonesia ikut terdampak?

Secara langsung, hanya jika AhsayCBS dipakai di salah satu mata rantai backup Anda. Ahsay berjualan terutama lewat mitra dan penyedia jasa, jadi paket "backup cloud" dari penyedia lokal bisa saja berjalan di atasnya tanpa nama Ahsay muncul di tagihan. Dari luar, Anda tidak bisa memastikannya. Tanyakan ke penyedia Anda software apa yang menjalankan konsol backup dan dari mana konsol itu bisa diakses.

Secara tidak langsung, pelajarannya berlaku untuk semua produk backup dan perangkat penyimpanan yang punya halaman admin berbasis web. Celahnya berganti tiap tahun. Kesalahan yang terus berulang tetap sama: halaman admin dibiarkan terbuka ke internet.

Apa yang perlu dilakukan minggu ini?

Jika Anda menjalankan AhsayCBS sendiri:

Jika backup Anda dikelola pihak lain:

1. Tanyakan software apa yang menjalankan konsol backup dan apakah konsol itu bisa diakses dari internet.
2. Minta versi terpasang dan tanggal penambalannya secara tertulis.
3. Tanyakan apakah ada minimal satu salinan data Anda yang tidak bisa dihapus dari konsol itu, termasuk oleh admin.
4. Tanyakan kapan terakhir kali mereka mencoba memulihkan data Anda dan berapa lama prosesnya.

Pertanyaan ketiga yang membedakan gangguan biasa dari bencana.

Bagaimana merancang backup yang tetap selamat meski konsolnya dibobol?

Anggap saja suatu hari konsol akan dibobol. Tugas kita memastikan hari itu masih bisa dilewati.

• Jauhkan halaman admin dari internet. Agen backup di komputer klien mungkin perlu menghubungi server backup, tetapi halaman admin tidak. Taruh di balik VPN.
• Simpan satu salinan di luar jangkauan konsol. Bisa berupa disk yang dicabut setelah backup, atau penyimpanan immutable: penyimpanan yang menolak mengubah atau menghapus salinan sampai tanggal tertentu, sekalipun perintahnya datang dari admin. Inilah angka "1" tambahan pada aturan 3-2-1-1: tiga salinan, dua jenis media, satu di lokasi lain, satu yang tidak bisa diubah.
• Pisahkan akun. Login sistem backup jangan sama dengan login domain atau server yang dilindunginya.
• Uji pemulihan, bukan hanya jadwal backup. Status "backup berhasil" hanya membuktikan ada berkas yang tertulis. Cara mengujinya ada di artikel verifikasi backup Postgres, sedangkan alasan disk cadangan bukan pengganti backup ada di RAID bukan pencadangan.

Di sebagian besar sistem, semua langkah ini tidak butuh software baru. Yang diatur hanya letak dan hak akses. Biayanya jauh lebih kecil daripada baru tahu saat diserang ransomware bahwa backup-nya sudah lebih dulu hilang.

Jika Anda ingin pendapat kedua tentang posisi konsol backup dan siapa saja yang bisa menjangkaunya, saya meninjau hal ini dalam layanan konsultasi arsitektur sistem.