Lebih dari 1.000 organisasi di 42 negara — mulai dari klinik gigi di Slovenia hingga kantor akuntansi di Brasil — telah terinfeksi melalui satu celah yang sama: pembaruan perangkat lunak akuntansi buatan Eropa. Serangan beruntun ini bukan kecelakaan teknis, melainkan kampanye terkoordinasi oleh kelompok peretas bernama TeamPCP, yang kini dua anggotanya resmi ditahan oleh Europol dan otoritas Jerman pada awal Mei 2024.
Bagaimana Perangkat Lunak Akuntansi Jadi Pintu Belakang
TeamPCP tidak menyerang langsung server korporat atau mencuri kredensial lewat phishing. Mereka memilih jalur yang jauh lebih efisien: menyusup ke dalam proses distribusi pembaruan perangkat lunak. Kelompok ini berhasil menginjeksi kode berbahaya ke dalam mekanisme update otomatis salah satu aplikasi akuntansi populer di Eropa Tengah — yang digunakan oleh ratusan penyedia layanan akuntansi kecil-menengah (mid-tier accounting firms). Ketika klien-klien firma tersebut menerima pembaruan, mereka sebenarnya mengunduh backdoor yang kemudian membuka akses penuh ke sistem internal mereka. Ars Technica AI melaporkan bahwa modus ini memungkinkan TeamPCP menjangkau korban secara eksponensial tanpa perlu interaksi satu-per-satu.
Yang membuat serangan ini istimewa adalah skalanya yang tak lazim untuk kelompok non-negara. Dalam kurun waktu 14 bulan, TeamPCP berhasil menginfeksi lebih dari 1.000 entitas — jumlah yang setara dengan 70% dari seluruh serangan ransomware berbasis rantai pasok yang terdeteksi oleh CERT-EU pada periode yang sama. Tidak ada kelompok kriminal lain yang menggunakan vektor serupa dengan tingkat keberhasilan sebesar itu sejak kasus SolarWinds 2020.
Baca juga: Eroom's Law dan Jerat Biaya Obat Baru di Era AI
Apa yang Hilang dari Respons Regulator Indonesia
Di Indonesia, tidak ada regulasi spesifik yang mengatur keamanan pembaruan perangkat lunak untuk aplikasi bisnis skala menengah. UU ITE dan Permenkominfo No. 4/2019 fokus pada perlindungan data pribadi dan klasifikasi sistem informasi kritis — tapi tidak menyentuh aspek software supply chain integrity. Padahal, menurut laporan APJII 2023, 68% UMKM akuntansi dan konsultan pajak di Jawa-Bali masih menggunakan software lokal atau versi lisensi resmi dari vendor Eropa yang tidak memiliki sertifikasi ISO/IEC 27001 untuk proses distribusi update-nya. Artinya, risiko serupa bukan teori: ia sudah ada di dalam jaringan internal kantor-kantor tersebut, hanya menunggu eksploitasi.
Dilansir Ars Technica AI, tim investigasi Europol menemukan bahwa TeamPCP bahkan tidak perlu mengembangkan alat baru. Mereka memanfaatkan fitur bawaan dari platform akuntansi tersebut — yaitu mekanisme 'remote patching' yang dirancang untuk mempercepat perbaikan bug — sebagai senjata utama. Di Indonesia, fitur serupa banyak ditemukan di software payroll dan HRIS lokal, namun tidak ada audit independen yang memverifikasi apakah mekanisme itu benar-benar aman dari manipulasi pihak ketiga.
Baca juga: Agen AI Bukan Asisten, Tapi Rekan Kerja yang Punya Memori dan Kebijakan
Ini bukan soal kecanggihan teknis semata, melainkan soal asumsi keamanan yang rapuh: bahwa vendor perangkat lunak pasti bisa dipercaya, dan bahwa pembaruan otomatis selalu aman. Padahal, dalam praktiknya, banyak vendor lokal justru mengandalkan infrastruktur hosting murah tanpa enkripsi end-to-end, tanpa signature verifikasi, dan tanpa log aktivitas update yang transparan.
Kasus TeamPCP juga mengungkap kelemahan struktural dalam ekosistem keamanan siber nasional: tidak adanya pusat koordinasi nasional yang khusus menangani insiden rantai pasok perangkat lunak. Berbeda dengan CISA di AS atau NCSC-UK yang punya unit khusus Software Supply Chain Security, Indonesia belum memiliki satuan kerja di BSSN atau Kominfo yang fokus pada audit keamanan proses distribusi software komersial — terutama untuk segmen UMKM dan profesional independen.
Rangkuman dampak langsung dari penangkapan ini jelas: serangan berbasis rantai pasok tidak lagi menjadi ancaman abstrak bagi organisasi kecil. Ia sudah nyata, terukur, dan terbukti mampu menjangkau ribuan korban hanya lewat satu celah di satu aplikasi. Bagi Indonesia, ini tidak hanya peringatan — tapi juga sinyal bahwa perlindungan keamanan siber harus turun ke level operasional harian: dari cara kantor akuntansi menginstal pembaruan, hingga bagaimana regulator memverifikasi integritas kode yang masuk ke jutaan komputer UMKM tiap minggu.