Freezer di sebuah supermarket di Estonia mencapai suhu 50°C minggu ini, dan itu bukan kerusakan, melainkan serangan siber. Enam negara diserang semalaman. Toko-toko di Irlandia menarik semua makanan dingin mereka, seorang tukang daging di Belgia membuang ratusan kilogram daging, dan beberapa bisnis ini masih menggunakan kata sandi default pada tahun 2026. Ini adalah hal yang tidak dipahami orang tentang keamanan siber, bukan hanya tentang kripto atau kata sandi Anda lagi. Seseorang yang duduk di sebuah ruangan di suatu tempat bisa merusak seluruh pasokan makanan sebuah negara hanya dengan laptop. Serangan siber berikutnya tidak akan mengosongkan dompet Anda, tetapi mungkin akan mengosongkan kulkas Anda.

Seseorang bisa membuka ponsel Anda dengan foto cetak wajah Anda, dan kebanyakan dari Anda bahkan tidak menyadarinya. Sebagian besar ponsel Android menggunakan kamera 2D dasar untuk membuka kunci wajah, tanpa inframerah, tanpa penginderaan kedalaman, hanya pencocokan gambar datar. Para peneliti telah membuktikan selama bertahun-tahun bahwa foto sederhana sudah cukup untuk melewati sistem ini. Itulah “keamanan” yang berada di depan aplikasi perbankan Anda, dompet kripto Anda, seed phrase Anda, seluruh hidup Anda. Dan setiap kali Anda menggunakannya, kamera depan Anda memproses satu frame wajah Anda dan menyimpannya secara lokal di folder sistem yang belum pernah Anda buka. Tidak dienkripsi, tidak dilindungi, hanya dibiarkan begitu saja. Jika Anda menggunakan face unlock pada perangkat apa pun yang bukan flagship dengan penginderaan kedalaman yang tepat, segera ganti ke sidik jari atau PIN kuat hari ini. Wajah Anda adalah satu-satunya kata sandi yang tidak pernah bisa Anda atur ulang.

Aplikasi yang Anda unduh untuk melindungi akun Anda bisa jadi penyebab akun Anda diretas. Microsoft Authenticator di Android memiliki kerentanan yang memungkinkan aplikasi jahat mencuri token akses akun kerja Anda tanpa memerlukan izin apa pun. Ini adalah aplikasi yang berada di ponsel Anda dan melakukan apa pun yang diinginkannya. Kelemahan ini ada pada komponen broker, yaitu bagian yang menangani otentikasi antar aplikasi. Itu tidak memeriksa dengan benar, sehingga aplikasi acak mana pun bisa masuk dan mengambil token Anda seolah-olah itu miliknya. Microsoft sudah memperbaikinya (CVE-2026-80097, CVSS 8.6 yang termasuk tingkat keparahan tinggi), tetapi jika Anda belum memperbarui aplikasi Authenticator baru-baru ini, Anda mungkin masih terpapar. Ini bagian yang membuat saya kesal. Orang-orang menginstal aplikasi authenticator karena mereka diberi tahu bahwa itu adalah hal yang aman, dan memang begitu. Tetapi ketika alat keamanan itu sendiri memiliki celah, kebanyakan orang tidak akan pernah berpikir untuk memeriksanya. Perbarui aplikasi Anda. Bukan hanya OS ponsel Anda, tetapi juga aplikasi-aplikasi Anda. Terutama yang paling Anda percayai. Karena itulah aplikasi yang membuat Anda berhenti waspada.

Saya membuat postingan tentang apa yang terjadi di internet beberapa hari lalu, dan postingan itu mencapai 2,3 juta tayangan. Sejak itu, situasinya menjadi lebih buruk. Kerentanan Brotli yang secara tidak sengaja ditemukan OpenAI? Itu berkembang. Mereka sekarang menyebutnya HTTP2Shell, dan dampaknya mencakup semua browser utama, semua sistem operasi, serta aplikasi seperti Discord, Slack, VS Code, 1Password. Perbaikan belum tersedia untuk semua hal. CEO Cloudflare mengatakan, “Setiap minggu akan terasa seperti langit sedang runtuh.” Polymarket bahkan secara resmi membuka pasar taruhan apakah akan ada lebih banyak kelemahan besar yang diungkapkan bulan ini. Peretas menggunakan model AI untuk mengotomatisasi serangan terhadap lebih dari 400 bank di Amerika Latin secara bersamaan, tanpa henti, 24 jam sehari. X memiliki bug di mana Anda bisa masuk ke akun orang asing hanya dengan memasukkan nomor telepon Anda. Dompet perangkat keras Keystone diretas melalui API Shopify mereka, nama dan alamat rumah pelanggan bocor. Sebuah perusahaan cloud Jepang kehilangan 27.000 server, dan Jepang mengaktifkan pertahanan siber tingkat militer untuk pertama kalinya dalam sejarah. Perbarui browser Anda. Perbarui aplikasi Anda. Ganti kata sandi Anda. Aktifkan 2FA di semua tempat. Oktober belum selesai dengan kita.

Seorang pengembang baru saja menaruh $2.000 dalam bitcoin di sebuah server dengan kerentanan PHP dan menantang seluruh internet untuk mencurinya. 17 jam kemudian, uangnya masih ada di sana. Orang-orang mencoba membanjiri server, tetapi tidak ada yang berhasil memanfaatkan kerentanan tersebut. Ingat ketika saya memposting tentang Marcus Hutchins yang mengekspos berbagai eksploitasi palsu yang dihasilkan AI di GitHub? Ini buktinya. Kerentanannya nyata. Tetapi benar-benar menggunakannya adalah cerita yang sama sekali berbeda. $2.000 duduk di server yang rusak, dan seluruh internet tidak bisa menyentuhnya.

Satu bug saja membuat setiap browser, setiap sistem operasi, dan hampir semua aplikasi yang Anda gunakan berisiko diretas. Kerentanan Brotli yang secara tidak sengaja ditemukan OpenAI saat melakukan red-teaming terhadap sistem mereka sendiri kini telah berkembang dari “node2shell” menjadi sesuatu yang para peneliti sebut HTTP2Shell, dan dampaknya sangat luas. Kita tidak lagi berbicara tentang satu perpustakaan saja. Kita berbicara tentang semua browser utama: Chrome, Edge, Firefox. Semua sistem operasi termasuk iOS. Aplikasi Electron seperti Discord, Slack, VSCode, 1Password, Notion. Alat gambar, pembaca PDF, perangkat lunak arsip, aplikasi AI desktop, bahkan curl. Pada dasarnya, jika aplikasi tersebut terhubung ke internet atau menangani data terkompresi, kemungkinan besar terdampak. CVE-2026-111497 awalnya sudah buruk—eksekusi kode jarak jauh tanpa otorisasi melalui data terkompresi jahat— tetapi cakupannya kini meluas hingga mencakup hampir semua yang Anda gunakan sehari-hari. Perbaikan bahkan belum tersedia untuk semua layanan yang terdampak. Perbarui semuanya sekarang. Browser terlebih dahulu, lalu aplikasi desktop, lalu alat pengembangan. Jika ada sesuatu yang menawarkan pembaruan hari ini, jangan bertanya-tanya, langsung instal. Internet berjalan di atas fondasi yang retak, dan retakannya kini jauh lebih besar.

Pria IT ini baru saja menyelamatkan seluruh perusahaan dari serangan ransomware pada tengah malam, dan kisah ini gila. Dia benar-benar sedang menonton Netflix ketika ponselnya tiba-tiba dipenuhi notifikasi server. Dia mengakses jarak jauh dan menyaksikan file perusahaan berubah nama satu per satu secara real time, semuanya berubah menjadi teks acak yang tak terbaca. Pria ini langsung mengambil kunci mobil dan mengendarainya ke kantor seperti orang gila. Tiba pukul 12:20 AM, gelap gulita, ia berjalan dari meja ke meja, mencabut kabel LAN dari 40 PC dengan tangan yang bergetar. Catatan tebusan di setiap layar? Bayar seluruh keuntungan bulanan kami dalam bitcoin dalam waktu 72 jam. Bosnya menelepon dan berkata, "Bayar saja, kita butuh file-file itu untuk Senin." Dia menolak. Perusahaan yang membayar tebusan akan menjadi sasaran lagi. Dia mencoba memulihkan dari cadangan, tetapi server cadangan juga diserang. Jaringan sama, ransomware sama. Ia mengatakan pikirannya benar-benar kosong. Tapi ia masih punya satu kartu terakhir. Setiap Rabu, dalam perjalanan pulang, ia secara manual mencadangkan data perusahaan ke hard drive eksternal dan menyimpannya di laci mejanya—kebiasaan yang hampir ia hentikan karena merasa itu pemborosan waktu. Hard drive di laci itulah yang menyelamatkan seluruh perusahaan. Ia membangun ulang semuanya sepanjang akhir pekan, dan pada Senin pagi, semua pengiriman keluar tepat waktu. Bosnya tertawa dan berkata, "Aku senang kamu tidak mengirim bitcoin itu." Minggu depan, dua hard drive lagi muncul di mejanya. Kebiasaan membosankan yang tak ada yang mau lakukan justru satu-satunya hal yang berhasil.

OpenAI secara tidak sengaja menemukan kerentanan yang bisa membahayakan jutaan server, dan mereka bahkan tidak mencarinya. Mereka berusaha menghentikan model AI mereka dari mengakses internet selama pelatihan, sehingga membangun seluruh dunia offline untuk mereka. Saat melakukan red-teaming terhadap pengaturan itu, mereka menemukan kerentanan di Brotli, salah satu pustaka kompresi paling banyak digunakan di internet. Kelemahan ini memungkinkan penyerang menjalankan kode mereka sendiri di sistem mana pun yang terdampak dengan mengirimkan data terkompresi jahat. Tidak perlu login, tidak perlu akun pengguna. Cukup kirimkan, dan Anda sudah masuk. Brotli terintegrasi ke dalam Node.js, Bun, Envoy, dan hampir semua yang menangani lalu lintas web terkompresi. Kerentanan ini secara teknis telah diperbaiki pada Februari, tetapi pada saat itu tidak ada yang menyadari bahwa itu adalah masalah keamanan. Selama berbulan-bulan, patch tersebut ada, tetapi hampir tidak ada yang menerapkannya karena tampak seperti pembaruan rutin. Kadang-kadang, penemuan paling menakutkan terjadi ketika Anda bahkan tidak sedang mencarinya.

Mereka menyebutnya “Oktober Hitam,” dan saya rasa orang-orang belum menyadari betapa seriusnya ini. Dalam 48 jam terakhir, terjadi lebih dari 27 insiden siber besar. Bukan dalam sebulan. Bukan dalam seminggu. Dalam 48 jam. SATU pun dari insiden ini biasanya akan menjadi berita terbesar sepanjang tahun. PHP: kerentanan kritis pada perangkat lunak yang menjalankan 80% web. tingkat keparahan 9,2 dari 10. Node.js: celah tingkat tinggi yang memungkinkan penyerang mengambil alih server dari jarak jauh. Mempengaruhi versi 22, 24, dan 26. Java: juga tercompromise. Tiga dari bahasa pemrograman paling banyak digunakan di dunia diserang secara bersamaan. GitLab: celah tingkat keparahan sempurna 10 dari 10 di semua versi sejak 2014. Railway: platform hosting tercompromise. Kunci API untuk OpenAI, Claude, Stripe berpotensi terekspos. Signal: bug yang bisa membuat mikrofon dan kamera Anda tetap menyala setelah Anda mengakhiri panggilan. WordPress: peretas mencuri kunci pembuat plugin dan menanam backdoor di situs web. LiteLLM: alat AI yang diunduh 3,4 juta kali per hari diracuni dengan password stealer. Dan itu bahkan belum separuh daftarnya. Ribuan swarm agen AI dilaporkan sedang memindai dan menyerang server yang rentan saat ini. Otomatis. 24 jam sehari. Para peneliti keamanan mengatakan ini mungkin tahap awal dari insiden siber global yang belum sepenuhnya dipahami siapa pun. Jika Anda menjalankan situs web, menggunakan layanan cloud, menyimpan kunci API di platform hosting, atau menggunakan perangkat lunak yang dibangun di atas PHP, Node.js, atau Java, Anda berpotensi terdampak. Perbarui semuanya. Putar ulang kunci API Anda. Ubah kata sandi Anda di layanan penting. Aktifkan 2FA di semua tempat yang belum Anda lakukan. Ini bukan minggu biasa di internet. Ini sesuatu yang berbeda.

Revolut lagi, bro. Pelanggaran data yang bocor nama, alamat, foto paspor, dan riwayat transaksi kripto. Beberapa minggu lalu. Seorang pria berpotensi dirampok dengan ancaman pisau senilai $800K karena data yang bocor itu. Minggu lalu. Sekarang, gangguan layanan yang memengaruhi jutaan pengguna hari ini. “Uang dan data Anda aman,” kata mereka. Pada titik ini, berapa kali Revolut harus muncul di berita karena alasan yang salah sebelum orang mulai bertanya pertanyaan serius? Data Anda bocor. Layanan Anda down. Dan yang Anda dapatkan hanyalah “kami meminta maaf atas ketidaknyamanan ini.” Pencurian $800K bukan ketidaknyamanan, bro.