Serangan Rantai Pasok Software Kembali Marak: Pelajaran dari Injective, Jscrambler, dan npm v12

Dalam rentang hanya empat hari pada Juli 2026, dua insiden serangan rantai pasok perangkat lunak (software supply chain attack) mengguncang ekosistem open-source npm — repositori paket JavaScript yang menjadi fondasi hampir semua aplikasi web dan mobile modern. Peristiwa ini menjadi pengingat keras bagi bisnis Indonesia: ancaman siber tidak lagi hanya menyerang pengguna akhir lewat email palsu, tetapi menyusup jauh ke hulu, yaitu ke dalam kode yang dipakai para pengembang untuk membangun aplikasi.

Apa yang Terjadi?

Insiden pertama — Injective SDK (8 Juli 2026). Penyerang membajak akun GitHub seorang kontributor tepercaya proyek Injective Labs, lalu menerbitkan versi jahat paket @injectivelabs/sdk-ts (versi 1.20.21) ke npm. Paket ini adalah SDK untuk membangun aplikasi di blockchain Injective; BleepingComputer menyebutnya diunduh sekitar 50.000 kali per minggu, sementara Datadog Security Labs mencatat sekitar 175.000 unduhan per bulan. Kode jahatnya dirancang mencuri private key dan seed phrase dompet kripto, lalu menyamarkan data curian sebagai "telemetri" agar terlihat seperti lalu lintas normal. Respons tim cukup cepat—versi bersih dirilis sekitar 49 menit kemudian—dan CEO Injective, Eric Chen, menyatakan tidak ada dana pengguna yang hilang.

Insiden kedua — Jscrambler (11 Juli 2026). Ironisnya, korban kali ini justru vendor keamanan. Penyerang memakai kredensial penerbitan npm yang dicuri untuk merilis lima versi jahat paket jscrambler dalam waktu sekitar tiga jam. Paket yang seharusnya melindungi kode JavaScript ini malah disisipi infostealer berbasis Rust yang berjalan hanya dengan menjalankan npm install. Malware tersebut memburu kredensial cloud (AWS, Google Cloud, Azure), token npm dan GitHub, sesi peramban, dompet kripto, hingga file konfigurasi alat coding AI. Perusahaan keamanan Socket mendeteksinya hanya enam menit setelah dipublikasikan, dan Jscrambler segera mencabut kredensial serta merilis versi bersih.

Mengapa Ini Penting — Bahkan Bila Anda Bukan Proyek Kripto

Kedua serangan ini memiliki pola yang sama dan berbahaya: keduanya tidak menyerang blockchain, server, atau firewall. Keduanya menyerang "pabrik" tempat perangkat lunak dibuat — laptop pengembang dan pipeline CI/CD. Inilah inti serangan rantai pasok: alih-alih menembus benteng perusahaan besar satu per satu, penyerang meracuni satu komponen tepercaya yang dipakai ribuan organisasi sekaligus.

Ini bukan insiden terisolasi. Sepanjang 2025–2026, ekosistem open-source dihantam worm swa-replikasi seperti Shai-Hulud yang mencuri kredensial lalu menyebarkan dirinya secara otomatis ke paket-paket lain. Laporan Group-IB (Februari 2026) memperingatkan bahwa serangan rantai pasok telah berevolusi menjadi "ekosistem terintegrasi", di mana satu celah bisa menjangkau ribuan korban di hilir. Bagi Indonesia—salah satu komunitas pengembang terbesar di Asia Pasifik—relevansinya nyata: makin banyak bisnis membangun aplikasi sendiri, makin luas pula permukaan serangan dari pustaka pihak ketiga yang dipasang tanpa banyak diperiksa.

Konteks Indonesia

Deputi BSSN Slamet Aji Pamungkas telah secara terbuka mengakui pergeseran pola ini: penyerang kini lebih banyak menyasar pihak ketiga atau rantai pasok, dan aplikasi dari pihak ketiga ternyata menjadi salah satu sumber serangan terhadap sektor perbankan nasional. Ketua CISSReC Pratama Persadha juga memperkirakan serangan terhadap rantai pasok digital akan meningkat pada 2026, dengan prinsip "satu pemasok lemah dapat membahayakan puluhan organisasi sekaligus."

Dari sisi regulasi, Indonesia belum memiliki kewajiban khusus soal keamanan rantai pasok perangkat lunak atau SBOM (Software Bill of Materials). Rancangan Undang-Undang Keamanan dan Ketahanan Siber memang memuat bab tentang keamanan rantai pasokan, tetapi masih berupa rancangan. Artinya, untuk saat ini, perlindungan sepenuhnya bergantung pada kesadaran dan praktik masing-masing organisasi.

Babak Baru: npm v12

Kabar baiknya, ekosistem mulai berbenah. GitHub merilis npm versi 12.0.0 pada 8 Juli 2026 yang mematikan install script secara default—perubahan keamanan paling signifikan dalam 16 tahun sejarah npm. Skrip seperti preinstall dan postinstall dari dependensi kini tidak lagi berjalan otomatis kecuali diizinkan eksplisit. GitHub menyebut install script sebagai "permukaan eksekusi kode terbesar di ekosistem npm", padahal hanya sekitar 2% paket yang benar-benar membutuhkannya. Namun serangan Jscrambler menunjukkan celahnya: penyerang memindahkan pemicu malware ke kode utama sehingga tetap aktif walau install script dimatikan—bukti bahwa satu perubahan default saja tidak cukup.

Checklist Praktis untuk Tim IT dan Pengembang

1. Pin versi & gunakan lockfile. Jangan biarkan npm install menarik versi terbaru otomatis; kunci versi dan tinjau setiap pembaruan dependensi.
2. Perbarui ke npm v12 dan aktifkan mode pembatasan skrip di CI setelah daftar izin skrip dikomit ke source control.
3. Aktifkan 2FA/MFA pada setiap akun yang menyentuh pipeline penerbitan: GitHub, npm, dan cloud.
4. Rotasi kredensial bila terpapar. Jika Anda memasang versi paket yang terinfeksi, anggap semua rahasia di mesin itu tercuri—rotasi kunci cloud, token npm/GitHub, dan pindahkan aset kripto ke dompet baru.
5. Terapkan SBOM. Buat daftar seluruh komponen dan dependensi secara otomatis agar saat kerentanan baru muncul, Anda langsung tahu apakah terdampak.
6. Gunakan pemindaian berbasis perilaku (maintainer baru, kenaikan versi mendadak, panggilan jaringan saat instalasi), bukan hanya mengandalkan daftar CVE yang sudah diketahui.
7. Audit log instalasi & CI untuk jejak file mencurigakan dan eksekusi skrip tak dikenal.

Penutup

Serangan Injective dan Jscrambler membuktikan satu hal: di era pengembangan cepat berbasis open-source dan AI, setiap dependensi yang Anda pasang mewarisi kepercayaan—dan akses—Anda. Keamanan kode kini sama pentingnya dengan keamanan jaringan.

Siberindo membantu bisnis Indonesia membangun perangkat lunak secara aman sejak baris kode pertama—mulai dari pengembangan software kustom, penataan infrastruktur TI, hingga analitik berbasis AI dan big data—dengan praktik pengembangan yang memperhitungkan risiko rantai pasok. Menjadikan keamanan sebagai bagian dari proses, bukan tambalan setelah insiden, adalah investasi paling murah yang bisa dilakukan hari ini.