92 Persen UMKM Indonesia Alami Insiden Siber: Panduan Keamanan Dasar bagi Pemilik Usaha

Jakarta, CMNexus — Survei terbaru Kaspersky mencatat 92 persen perusahaan kecil dan menengah di Indonesia mengalami setidaknya satu insiden keamanan siber dalam 12 bulan terakhir. Angka itu membuat Indonesia menjadi negara ketiga dengan tingkat insiden tertinggi di Asia Pasifik, setelah Vietnam (97 persen) dan Malaysia (95 persen), serta di atas India (87 persen). Survei yang sama menemukan rata-rata global sebesar 86 persen, sementara Thailand dan Tiongkok melaporkan angka di bawah rata-rata kawasan, masing-masing 82 persen dan 67 persen (Periskop.id, 14 September 2026; VOI, 18 September 2026).

Survei dilakukan Pusat Penelitian Internal Kaspersky terhadap 1.800 pengambil keputusan serta spesialis TI dan keamanan siber di 18 negara, termasuk Indonesia. Dalam survei ini, Kaspersky menggunakan definisi small and medium-sized business (SMB) untuk perusahaan dengan jumlah karyawan kurang di bawah 500 orang (Periskop.id).

Bagi pemilik usaha, angka-angka itu bukan sekadar statistik industri. Insiden siber pada skala kecil biasanya berujung pada tiga hal yang sangat praktis: transaksi tidak bisa diproses, data pelanggan bocor, dan waktu kerja habis untuk memulihkan sistem — bukan untuk melayani pembeli.

Hanya 13 persen yang lolos

Temuan yang paling perlu digarisbawahi: di kawasan Asia Pasifik, hanya 13 persen perusahaan berstaf di bawah 500 karyawan yang berhasil terhindar dari insiden siber selama setahun terakhir (Medcom.id, 16 September 2026). Artinya, mayoritas bisnis kecil di kawasan ini sudah pernah mengalami setidaknya satu insiden.

Kaspersky juga mencatat lebih dari separuh penawaran akses awal ke jaringan perusahaan yang diperdagangkan di forum dark web berkaitan dengan bisnis kecil dan menengah. Salah satu penyebabnya adalah sistem keamanan mereka yang cenderung lebih terbatas, tetapi tetap bisa menjadi pintu masuk ke perusahaan lain dalam rantai pasok (Periskop.id).

Tiga pintu masuk yang paling sering terjadi

Di Asia Pasifik, organisasi rata-rata menghadapi tiga jenis insiden keamanan berbeda dalam satu tahun. Untuk kelompok UMKM, urutan jenis serangan yang paling sering dilaporkan adalah (Periskop.id; VOI):

eksploitasi kerentanan perangkat lunak: 20 persen;
phishing: 19 persen;
serangan malware massal: 18 persen.

Sebanyak 6 persen organisasi bahkan mengalami eksploitasi zero-day, yaitu celah keamanan yang belum diketahui atau belum memiliki pembaruan dari pengembang, sehingga relatif sulit dicegah.

Perlu dicatat, eksploitasi celah perangkat lunak berada di peringkat pertama — bukan penyerangan canggih yang tak terhindarkan, melainkan celah yang sebenarnya bisa ditutup dengan pembaruan rutin.

Masalah terbesar bukan teknologinya, tapi orangnya

Ketika responden diminta menyebut faktor yang meningkatkan peluang serangan berhasil, persoalan sumber daya manusia muncul di urutan teratas (Periskop.id; VOI; Tek.id):

26 persen menyoroti rendahnya kesadaran keamanan di kalangan karyawan non-TI;
24 persen menyebut kurangnya keahlian tenaga keamanan TI;
23 persen menunjuk penggunaan perangkat lunak atau perangkat keras yang usang;
22 persen menilai tidak ada asesmen risiko secara rutin;
22 persen menyebut tidak adanya solusi keamanan yang memadai.

Kaspersky juga menemukan 13 persen perusahaan di Asia Pasifik menempatkan kerentanan yang berkaitan dengan AI sebagai salah satu ancaman keamanan utama; di Indonesia porsinya 10 persen. Teknologi generatif, menurut laporan itu, membuat serangan lebih murah dan mudah dilakukan dalam skala besar — mulai dari menyusun pesan phishing yang lebih meyakinkan, meniru suara melalui vishing, hingga membuat deepfake (Periskop.id).

"Survei kami menunjukkan bahwa mereka menjadi sasaran utama pelaku ancaman modern yang menggunakan taktik tingkat perusahaan yang sama persis," kata Managing Director Kaspersky untuk Asia Pasifik, Adrian Hia (VOI, 18 September 2026).

"Kenyataan saat ini, di mana perusahaan dari berbagai skala dapat menjadi sasaran berbagai metode serangan, mendorong dunia bisnis untuk meninjau kembali postur keamanan mereka," ujar Ilya Markelov, Head of Unified Platform Product Line di Kaspersky (Periskop.id, 14 September 2026).

Anggaran keamanan mulai naik

Tekanan ancaman tampaknya mulai mengubah perilaku bisnis. Survei mencatat 78 persen UMKM di Asia Pasifik meningkatkan anggaran keamanan siber pada tahun ini. Hampir separuhnya, 48 persen, mengalokasikan dana tambahan untuk memperluas tim TI dan keamanan TI, sedangkan 32 persen mengarahkannya ke solusi seperti XDR, NDR, dan SIEM. Di tingkat perusahaan Asia Pasifik secara umum, 75 persen berencana memperkuat fungsi keamanan TI (VOI; Tek.id).

Angka itu penting untuk dibaca secara realistis: tidak semua pemilik usaha kecil punya ruang anggaran seperti itu. Karena itu, urutan prioritas menjadi penting.

Lima langkah yang bisa dikerjakan minggu ini

Rekomendasi Kaspersky yang dirangkum dari pemberitaan mengarah pada penguatan proses dasar, bukan pembelian alat yang rumit (Tek.id, 14 September 2026; Uzone.id):

Rapikan aturan akses. Tinjau siapa saja yang punya akses ke sumber daya internal dan layanan cloud, batasi sesuai kebutuhan peran, dan segera cabut akses karyawan yang sudah tidak bekerja.
Perbarui perangkat. Prioritaskan pembaruan perangkat lunak dan perangkat keras, karena eksploitasi kerentanan menjadi jenis insiden paling banyak dilaporkan pada kelompok UMKM.
Nyalakan pencadangan otomatis. Simpan salinan data secara rutin dan terpisah dari sistem utama, agar operasional tetap berjalan saat terjadi gangguan seperti ransomware.
Latih karyawan non-TI. Materi pelatihan tidak berhenti pada phishing, tetapi mencakup deepfake dan vishing yang kini memanfaatkan AI.
Jadwalkan asesmen risiko berkala dan gunakan autentikasi serta pengelolaan kredensial yang memadai, sesuai skala dan kemampuan sumber daya usaha.

Untuk bisnis yang baru mulai menata, urutan paling masuk akal adalah memperbaiki kebiasaan harian lebih dulu — kata sandi, pencadangan, dan pembaruan — sebelum menambah lapisan teknologi. Prinsip yang sama berlaku pada sistem apa pun yang dipakai usaha: pencatatan transaksi, pengelolaan stok, dan data pelanggan harus punya satu sumber data yang terlindungi. Bahasan sejenis dapat ditemukan di kanal berita CMNexus.

Catatan metodologi

Survei Kaspersky bersifat global dengan sampel 1.800 responden di 18 negara, dan angka "92 persen" merujuk pada perusahaan kecil dan menengah di Indonesia dengan definisi karyawan di bawah 500 orang. Angka ini menggambarkan pengalaman responden survei, bukan sensus seluruh UMKM Indonesia yang jumlahnya puluhan juta unit. Karena itu, hasilnya paling tepat dibaca sebagai indikator arah risiko di segmen usaha kecil dan menengah, bukan angka mutlak.

Sumber:

Periskop.id — "Survei: 92% UMKM Indonesia Alami Insiden Siber, Celah Software Jadi Ancaman Utama" (14 September 2026) — https://periskop.id/bisnis/20260914/survei-92-umkm-indonesia-alami-insiden-siber-celah-software-jadi-ancaman-utama
VOI.id — "Kaspersky: 92 Persen UMKM di Indonesia Alami Insiden Siber Setahun Terakhir" (18 September 2026) — https://voi.id/teknologi/594675/kaspersky-92-persen-umkm-di-indonesia-alami-insiden-siber-setahun-terakhir
Medcom.id — "92% Ancaman Siber di Indonesia Makin Menyasar Bisnis Kecil" (16 September 2026) — https://www.medcom.id/teknologi/news-teknologi/0KvZjjpK-92-ancaman-siber-di-indonesia-makin-menyasar-bisnis-kecil
Bisnis.com — "Kaspersky: 92% UMKM Indonesia Alami Insiden Siber, Phishing-Malware Paling Sering" (14 September 2026) — https://teknologi.bisnis.com/read/20260914/84/2003898/kaspersky-92-umkm-indonesia-alami-insiden-siber-phishing-malware-paling-sering
Tek.id — "92% UMKM di Indonesia Alami Insiden Siber, Phishing hingga Malware Jadi Ancaman" (14 September 2026) — https://www.tek.id/insight/92-umkm-di-indonesia-alami-insiden-siber-b2qbi9ug5
Uzone.id — "Waspada! 92 Persen UMKM RI Jadi Sasaran Penjahat Siber, Ini Modusnya" — https://uzone.id/waspada-92-persen-umkm-ri-jadi-sasaran-penjahat-siber-ini-modusnya

Jakarta, CMNexus — A recent survey by Kaspersky reveals that 92 percent of small and medium-sized enterprises in Indonesia experienced at least one cybersecurity incident in the past 12 months. This figure places Indonesia as the country with the third-highest incident rate in the Asia-Pacific region, trailing Vietnam (97 percent) and Malaysia (95 percent), and ranking above India (87 percent). The same survey found a global average of 86 percent, while Thailand and China reported figures below the regional average, at 82 percent and 67 percent, respectively (Periskop.id, September 14, 2026; VOI, September 18, 2026).

The survey was conducted by Kaspersky's Internal Research Center among 1,800 decision-makers, IT specialists, and cybersecurity professionals across 18 countries, including Indonesia. In this study, Kaspersky defined small and medium-sized businesses (SMBs) as enterprises with fewer than 500 employees (Periskop.id).

For business owners, these figures are not merely industry statistics. Cyber incidents at a small scale typically result in three very tangible consequences: transactions cannot be processed, customer data is leaked, and working hours are drained attempting to restore systems—rather than serving customers.

Only 13 percent spared

The most notable finding: in the Asia-Pacific region, only 13 percent of companies with fewer than 500 employees managed to avoid cyber incidents over the past year (Medcom.id, September 16, 2026). This means the overwhelming majority of small businesses in the region have experienced at least one incident.

Kaspersky also noted that more than half of the initial network access offers traded on dark web forums involved small and medium-sized businesses. A primary reason is their comparatively limited security systems, which can nonetheless serve as an entry point into other companies across the supply chain (Periskop.id).

Three most common entry points

In Asia-Pacific, organizations faced an average of three different types of security incidents in a single year. For the MSME segment, the most frequently reported attack types were (Periskop.id; VOI):

software vulnerability exploitation: 20 percent;
phishing: 19 percent;
mass malware attacks: 18 percent.

As many as 6 percent of organizations even suffered zero-day exploits—security vulnerabilities that are either previously unknown or lack patches from developers, making them relatively difficult to prevent.

Notably, software vulnerability exploitation ranked first—not unavoidable advanced attacks, but vulnerabilities that could fundamentally be closed through routine patching.

The biggest issue is not the technology, but the people

When respondents were asked to identify factors that increase the likelihood of a successful attack, human resource issues emerged at the top (Periskop.id; VOI; Tek.id):

26 percent highlighted low security awareness among non-IT staff;
24 percent cited a shortage of IT security expertise;
23 percent pointed to the use of outdated software or hardware;
22 percent noted the absence of regular risk assessments;
22 percent pointed to the lack of adequate security solutions.

Kaspersky also found that 13 percent of companies in Asia-Pacific ranked AI-related vulnerabilities among their primary security threats; in Indonesia, the share stood at 10 percent. According to the report, generative technologies have made attacks cheaper and easier to execute at scale—from drafting more convincing phishing messages and spoofing voices via vishing to generating deepfakes (Periskop.id).

"Our survey shows that they are prime targets for modern threat actors deploying the exact same enterprise-grade tactics," said Adrian Hia, Managing Director for Asia-Pacific at Kaspersky (VOI, September 18, 2026).

"The current reality, where companies of all sizes can be targeted by a wide range of attack methods, is compelling businesses to reassess their security posture," said Ilya Markelov, Head of Unified Platform Product Line at Kaspersky (Periskop.id, September 14, 2026).

Security budgets begin to rise

Mounting threats appear to be driving shifts in business behavior. The survey recorded that 78 percent of MSMEs in Asia-Pacific are increasing their cybersecurity budgets this year. Nearly half, 48 percent, are allocating additional funds to expand IT and IT security teams, while 32 percent are directing resources toward solutions such as XDR, NDR, and SIEM. Across Asia-Pacific enterprises in general, 75 percent plan to strengthen their IT security functions (VOI; Tek.id).

It is important to view these figures realistically: not all small business owners have such budget flexibility. Therefore, establishing clear priorities is essential.

Five steps you can take this week

Kaspersky's recommendations, compiled from reporting, focus on reinforcing foundational processes rather than purchasing complex tools (Tek.id, September 14, 2026; Uzone.id):

Clean up access policies. Review who has access to internal resources and cloud services, restrict access based on role necessity, and promptly revoke credentials for former employees.
Update devices. Prioritize software and hardware updates, as vulnerability exploitation remains the most commonly reported incident type among MSMEs.
Enable automated backups. Maintain data backups regularly and isolate them from primary systems so operations can continue in the event of disruptions such as ransomware.
Train non-IT staff. Training materials should not stop at phishing, but also cover deepfakes and vishing, which now leverage AI.
Schedule periodic risk assessments and implement adequate authentication and credential management aligned with the business's scale and available resources.

For businesses just beginning to structure their defenses, the most sensible approach is to fix daily operational habits first—passwords, backups, and updates—before adding layers of technology. The same principle applies to any system a business uses: transaction records, inventory management, and customer data must rely on a single, secure source of truth. Related discussions can be found on the CMNexus news channel.

Methodological note

The Kaspersky survey was global, with a sample of 1,800 respondents across 18 countries, and the "92 percent" figure refers to small and medium-sized enterprises in Indonesia defined as businesses with fewer than 500 employees. This figure reflects the experiences of survey respondents rather than a comprehensive census of Indonesia's tens of millions of MSMEs. Consequently, the results are best interpreted as an indicator of risk trends within the small and medium-sized business segment, rather than absolute metrics.

Sources:

Periskop.id — "Survei: 92% UMKM Indonesia Alami Insiden Siber, Celah Software Jadi Ancaman Utama" (September 14, 2026) — https://periskop.id/bisnis/20260914/survei-92-umkm-indonesia-alami-insiden-siber-celah-software-jadi-ancaman-utama
VOI.id — "Kaspersky: 92 Persen UMKM di Indonesia Alami Insiden Siber Setahun Terakhir" (September 18, 2026) — https://voi.id/teknologi/594675/kaspersky-92-persen-umkm-di-indonesia-alami-insiden-siber-setahun-terakhir
Medcom.id — "92% Ancaman Siber di Indonesia Makin Menyasar Bisnis Kecil" (September 16, 2026) — https://www.medcom.id/teknologi/news-teknologi/0KvZjjpK-92-ancaman-siber-di-indonesia-makin-menyasar-bisnis-kecil
Bisnis.com — "Kaspersky: 92% UMKM Indonesia Alami Insiden Siber, Phishing-Malware Paling Sering" (September 14, 2026) — https://teknologi.bisnis.com/read/20260914/84/2003898/kaspersky-92-umkm-indonesia-alami-insiden-siber-phishing-malware-paling-sering
Tek.id — "92% UMKM di Indonesia Alami Insiden Siber, Phishing hingga Malware Jadi Ancaman" (September 14, 2026) — https://www.tek.id/insight/92-umkm-di-indonesia-alami-insiden-siber-b2qbi9ug5
Uzone.id — "Waspada! 92 Persen UMKM RI Jadi Sasaran Penjahat Siber, Ini Modusnya" — https://uzone.id/waspada-92-persen-umkm-ri-jadi-sasaran-penjahat-siber-ini-modusnya

92 Persen UMKM Indonesia Alami Insiden Siber: Panduan Keamanan Dasar bagi Pemilik Usaha

92% of Indonesian MSMEs Hit by Cyber Incidents: Security Guide for Business Owners