Kloning Suara dan Serangan AI Makin Canggih, Indonesia Kejar Ketertinggalan

Seorang eksekutif Ferrari nyaris tertipu oleh panggilan telepon yang meniru suara atasannya sendiri. Suara, gaya bicara, hingga intonasi yang begitu ia kenali ternyata hasil kloning berbasis AI. Ia selamat bukan karena naluri curiga, melainkan satu pertanyaan spontan yang gagal dijawab oleh suara di ujung telepon.

Kejadian ini diungkap Shawnee Delaney, CEO Vaillance Group, dalam forum keamanan siber Rapid7 Take Command Summit 2025. Ia mencontohkan bagaimana serangan siber kini bekerja jauh lebih meyakinkan dibanding sebelumnya.

Secara teknis, metode ini disebut voice cloning. Caranya tidak serumit yang dibayangkan. Cukup dengan sampel suara beberapa detik dari rekaman rapat, wawancara, atau video di media sosial, model AI bisa mempelajari karakteristik akustik seseorang: nada dasar, kecepatan bicara, jeda napas, hingga logat khas. Begitu pola terekam, sistem mampu menghasilkan ucapan baru dengan suara yang sama, mengucapkan kalimat apa pun dengan intonasi meyakinkan.

Teknologi serupa sebenarnya dipakai untuk keperluan positif seperti sulih suara film. Namun di tangan yang salah, ia menjadi salah satu senjata rekayasa sosial paling efektif yang pernah ada.

Kasus Ferrari hanyalah satu gejala dari pergeseran besar dalam lanskap kejahatan siber. Badan Siber dan Sandi Negara (BSSN) mencatat, sepanjang 2025 terjadi 5,5 miliar serangan siber di Indonesia, naik 714 persen dari rata-rata 2020-2024. Memasuki 2026, tren ini tidak melambat: hanya dalam rentang Januari hingga pertengahan April, tercatat 1,52 miliar serangan baru. Sasarannya pun bergeser, ransomware kini paling sering menghantam sekolah, kampus, dan pemerintah daerah.

Sektor kesehatan juga pernah merasakan, lewat lumpuhnya RS Harapan Kita dan RS Dharmais akibat WannaCry pada 2017. Namun kasus terbesar terjadi di Pusat Data Nasional Sementara Surabaya, yang diserang ransomware Brain Cipher (varian LockBit 3.0) pada Juni 2024 dan mengganggu 282 layanan publik, termasuk layanan keimigrasian, selama beberapa hari.

Cara Kerja Serangan Siber Berbasis AI

Yang membuat gelombang serangan ini berbeda, pelakunya tak perlu jago meretas, cukup tahu memakai alat yang tepat. Alat itu berakar dari large language model (LLM), teknologi yang sama yang menjadi fondasi ChatGPT: model yang dilatih dengan miliaran teks untuk mengenali pola bahasa, sehingga mampu menyusun kalimat baru yang terasa seperti ditulis manusia.

Prinsip serupa dipakai versi gelapnya, WormGPT dan FraudGPT, yang beredar di forum bawah tanah seharga puluhan euro per bulan, lengkap dengan dukungan pelanggan. Bedanya, alat-alat ini sengaja dibuat tanpa batasan etis, sehingga bisa menulis email phishing tanpa cacat tata bahasa sekaligus mempelajari gaya komunikasi target dari jejak digitalnya.

Data Harvard Business Review yang dipaparkan VP Data and AI Rapid7, Laura Ellis, mencatat biaya serangan phishing dan rekayasa sosial turun hingga 95 persen berkat otomatisasi semacam ini, sementara riset firma keamanan Hoxhunt menunjukkan performa phishing buatan AI kini mengungguli kemampuan tim red team manusia. Kejahatan siber yang dulu butuh keahlian bertahun-tahun, sekarang cukup dibeli dengan kartu kredit.

Kecepatan serupa juga terjadi pada eksploitasi celah keamanan. Pada 2020, penyerang butuh rata-rata 700 hari untuk mengeksploitasi kerentanan baru. Di 2025, angka itu menyusut drastis jadi 44 hari saja. AI mengotomatiskan hampir seluruh tahapannya, sehingga eksekusi serangan berjalan nyaris tanpa campur tangan manusia.

Alhasil, jendela waktu yang dimiliki organisasi untuk menambal celah keamanan kini jauh lebih sempit, dan terus menyempit.

Ancaman ini pun tidak berhenti di email atau telepon palsu. Rantai pasok perangkat lunak ikut kebanjiran kode berbahaya buatan AI. Riset Sonatype mencatat, jumlah paket berbahaya di repositori seperti npm melonjak dari 55.000 pada 2022 menjadi 454.600 pada 2025.

Sebagian bahkan dibuat menyerupai perangkat lunak sah, lengkap dengan dokumentasi dan unit test palsu, sehingga berhasil lolos dari pemindai keamanan. Ancaman semacam ini menyusup jauh ke dalam fondasi perangkat lunak yang dipakai jutaan pengguna, jauh sebelum korban menyadarinya.

Di ranah kebijakan, sebenarnya Indonesia sudah punya modal awal. UU Perlindungan Data Pribadi berlaku penuh sejak Oktober 2024, dengan ancaman denda hingga 2 persen dari pendapatan tahunan bagi korporasi yang lalai menjaga data. Sayangnya, implementasinya masih pincang. Dirjen Aplikasi Informatika Kominfo sendiri sempat mengakui, Lembaga Pengawas PDP belum disahkan lewat aturan turunan. Ironisnya, hingga awal 2026, pembentukan lembaga itu masih jadi agenda prioritas yang belum juga tuntas. Regulasi yang kuat di atas kertas tak banyak berarti tanpa kelembagaan yang benar-benar menegakkannya.

Lalu, bagaimana semestinya kita merespons? Dr. Pratama Persadha, Chairman Lembaga Riset Keamanan Siber CISSReC, mengingatkan bahwa organisasi yang masih mengandalkan metode deteksi lama akan cepat tertinggal menghadapi serangan yang terus bermutasi.

"Hanya pertahanan yang didukung AI yang dapat menandingi serangan berbasis AI," tegasnya. Pandangan senada disampaikan Bondan Widiawan, Deputi Bidang Operasi Keamanan Siber dan Sandi BSSN. Menurutnya, kemajuan AI memang tak bisa dihindari, tapi tantangannya adalah memastikan teknologi ini dimanfaatkan untuk kepentingan nasional tanpa mengorbankan keamanan dan kedaulatan data. "AI tidak boleh hanya canggih, tetapi juga harus beretika, transparan, dan dapat dipertanggungjawabkan," ujarnya.

Di titik inilah istilah "perlombaan senjata AI" terasa pas. Kedua kubu sama-sama punya akses ke alat yang canggih, yang membedakan hanyalah siapa yang lebih cepat beradaptasi. Dan berdasarkan data yang ada, perlombaan ini masih menguntungkan pihak penyerang. Indonesia memang belum masuk sepuluh besar target phishing global, tapi dengan ekosistem digital domestik yang terus tumbuh, celah waktu untuk berbenah itu tidak akan terbuka selamanya.

Namun perlombaan ini bukan cuma urusan BSSN atau tim keamanan siber korporasi besar. Bagi masyarakat yang kesehariannya bergantung pada WhatsApp, mobile banking, dan telepon dari nomor tak dikenal, serangan siber serupa mengintai dalam skala yang lebih kecil namun jauh lebih personal. Eksekutif Ferrari tadi selamat bukan karena firewall canggih, melainkan satu pertanyaan spontan yang membongkar kejanggalan. Di tengah serangan yang makin sulit dibedakan dari komunikasi asli, memahami cara kerja teknologi di baliknya, sesederhana apa pun itu, sudah menjadi lapisan pertahanan yang tak kalah penting dari firewall mana pun.