AI Perkuat Serangan Siber ke Sekolah dan Kampus di Inggris

Telset.id – Sektor pendidikan di Inggris menghadapi peningkatan risiko serangan siber seiring dimulainya tahun ajaran baru, karena AI membuat kampanye phishing lebih meyakinkan sekaligus memperluas permukaan serangan melalui identitas mesin (non-human identities) yang tidak terkelola. Data survei pelanggaran keamanan siber Pemerintah Inggris mencatat 27% institusi pendidikan tinggi dan lanjutan mengalami pelanggaran atau serangan setidaknya satu kali per minggu, jauh lebih tinggi dibandingkan 14% sekolah dasar dan 20% sekolah menengah.

Anne Cutler, VP of Global Communications di Keeper Security, menyatakan bahwa penyerang terus gigih dan sektor pendidikan tetap menjadi target utama. Tekanan operasional awal tahun ajaran—pembuatan akun massal, pendaftaran perangkat dalam jumlah besar, dan onboarding aplikasi pihak ketiga secara serentak—menciptakan risiko miskonfigurasi serta pemberian hak akses berlebihan. Laporan ini menjadi peringatan bagi institusi pendidikan di berbagai negara, termasuk Indonesia, yang tengah mempercepat digitalisasi layanan belajar.

Survei Pemerintah Inggris juga menemukan tidak ada satu pun jenjang pendidikan yang mayoritas institusinya patuh terhadap seluruh 10 Langkah Keamanan Siber pemerintah. Hanya 14% sekolah dasar, 23% sekolah menengah, 33% perguruan tinggi pendidikan lanjutan, dan 45% institusi pendidikan tinggi yang mencakup kesepuluh langkah tersebut. Kondisi ini membuat celah kontrol keamanan semakin sulit diidentifikasi ketika ribuan identitas dan perangkat baru masuk ke lingkungan yang sudah rentan.

AI Memperbesar Ancaman Phishing dan Identitas Non-Manusia

Phishing menjadi ancaman utama yang diidentifikasi institusi yang mengalami pelanggaran. Email phishing kini dapat meniru komunikasi dari kantor pendanaan mahasiswa, helpdesk IT, atau pimpinan universitas dengan sangat presisi, tanpa penanda merah tradisional yang dulu memudahkan deteksi. Penelitian Keeper Security tentang AI dan keamanan siber di pendidikan menemukan 41% sekolah pernah mengalami insiden siber terkait AI, termasuk phishing dan misinformasi, sementara 90% pemimpin pendidikan menyatakan kekhawatiran terhadap ancaman keamanan siber terkait AI. Namun hanya satu dari empat responden yang merasa sangat percaya diri mengenali ancaman berbasis AI seperti deepfake atau phishing yang digerakkan AI.

Di balik fokus pada akun manusia, terdapat populasi identitas digital yang jauh lebih besar dan mudah luput dari perhatian: Non-Human Identities (NHIs). Identitas ini tertanam di seluruh lingkungan pendidikan modern, mulai dari akun layanan yang menyinkronkan data siswa dengan platform pembelajaran, kunci API yang menghubungkan aplikasi pihak ketiga, buku teks digital, hingga sistem pembayaran. Identitas mesin dan sertifikat mengautentikasi segalanya, dari Wi-Fi kampus dan papan pintar hingga peralatan laboratorium dan kamera keamanan, sementara beban kerja cloud mengotomatiskan pencadangan, jalur riset, dan proses administrasi. Agen AI yang menggerakkan chatbot penerimaan mahasiswa, helpdesk, dan alat penilaian menambah lapisan identitas serta hak akses baru yang harus dikelola institusi.

Identitas-identitas tersebut penting untuk menjaga operasional sekolah dan universitas, tetapi dapat menciptakan celah keamanan signifikan ketika kredensial jarang dirotasi, token integrasi lama masih aktif, atau akun otomatis diberi akses melebihi kebutuhan. Berbeda dari karyawan dan siswa, NHIs tidak secara alami tertangkap oleh proses onboarding dan offboarding. Tanpa inventaris lengkap, organisasi akan sulit mengetahui identitas apa yang ada, siapa pemiliknya, dan apa yang dapat mereka akses.

Percakapan keamanan siber di pendidikan secara historis berpusat pada perlindungan siswa, guru, dan administrator. Namun identitas mesin yang menggerakkan EdTech modern layak mendapat pengawasan yang sama, karena terlepas dari apakah pelanggaran berasal dari manusia atau mesin, dampaknya tetap sama. Momen kembali ke sekolah menjadi kesempatan untuk meninjau keseluruhan estate identitas—baik manusia maupun non-manusia—menghapus identitas yang tidak lagi diperlukan, dan memperketat akses bagi yang tersisa.

Langkah yang Bisa Diambil Tim IT Pendidikan

Bagi sebagian besar institusi, dasar pengelolaan identitas manusia masih dapat ditangani. Celah kritisnya terletak pada visibilitas dan tata kelola NHIs yang menggerakkan EdTech modern, seperti akun layanan, token API, sertifikat mesin, dan agen AI yang berlipat ganda seiring setiap integrasi baru. Keeper Security merekomendasikan sejumlah langkah yang dapat diambil tim keamanan untuk mengamankan NHIs maupun manusia.

1. Aktifkan multi-factor authentication (MFA). Saat semester baru dimulai, organisasi harus memastikan MFA diberlakukan di seluruh akun fakultas, staf, dan siswa, dengan pengguna baru langsung diarahkan ke MFA sejak akun dibuat. MFA tetap menjadi pertahanan fundamental terhadap serangan berbasis kredensial.
2. Audit akses istimewa. Banyak akun memberikan pengguna akses istimewa melebihi kebutuhan perannya. Hak istimewa harus diaudit untuk manusia maupun non-manusia, termasuk menghapus akses bagi karyawan dan siswa yang sudah pergi, menonaktifkan akun layanan yang kedaluwarsa, dan menghilangkan hak administratif yang tidak perlu.
3. Terapkan enterprise password manager. Keamanan kata sandi tetap menjadi salah satu masalah tersulit bagi tim keamanan. Kesadaran dan pelatihan dapat memberi siswa, fakultas, dan staf pengetahuan membuat kata sandi kuat, tetapi mengubah pengetahuan itu menjadi praktik sulit karena penggunaan ulang kata sandi, kata sandi tertulis, dan penyimpanan di browser masih umum. Enterprise password manager menutup celah tersebut dengan memungkinkan pengguna membuat dan menyimpan kredensial yang kuat serta unik.
4. Bangun inventaris identitas non-manusia. Institusi tidak dapat mengamankan apa yang tidak terlihat. Sekolah harus mengatalogkan setiap akun layanan, kunci API, sertifikat mesin, identitas cloud, dan agen AI, lalu menetapkan kepemilikan dan mencatat apa yang dapat diakses setiap identitas.
5. Tetapkan kebijakan rotasi kredensial. Kebijakan rotasi kredensial untuk identitas mesin penting, terutama untuk agen AI dan integrasi EdTech pihak ketiga yang ditambahkan pada tahun ajaran baru. Peretasan sistem manajemen pembelajaran Canvas yang dilaporkan pada April 2026 memengaruhi hampir 9.000 institusi pendidikan secara global, menjadi pengingat bahwa kredensial pihak ketiga memerlukan disiplin rotasi yang sama seperti akun internal. Akses pihak ketiga harus diperiksa secara rutin dan tim keamanan perlu meneliti keamanan semua mitra serta pemasok saat ini dan potensial.
6. Perbarui pelatihan. Pelatihan kesadaran keamanan perlu mengikuti perkembangan lanskap ancaman, terutama terkait phishing, di mana pesan yang dihasilkan AI bisa sulit dibedakan dari komunikasi institusi yang sah. Staf harus memverifikasi permintaan yang tidak biasa secara independen, bukan hanya mengandalkan petunjuk visual.

Ancaman ini tidak hanya relevan bagi institusi di Inggris. Indonesia tengah mendorong percepatan transformasi digital pendidikan melalui berbagai platform dan perangkat, seperti yang terlihat dari peluncuran perangkat edukasi dan pengakuan terhadap platform pembelajaran lokal. Setiap integrasi baru menambah populasi identitas mesin yang harus dikelola, sehingga prinsip yang sama—hak akses yang tepat, untuk tujuan yang tepat, dan hanya selama diperlukan—berlaku universal.

Momen kembali ke sekolah akan selalu menempatkan tim IT pendidikan di bawah tekanan, tetapi hal itu tidak harus membuka jendela bagi penyerang. Saat institusi memulai tahun ajaran baru, keamanan harus melampaui onboarding siswa dan staf untuk memahami setiap identitas yang memiliki akses ke sistem dan data kritis. Dengan memberlakukan autentikasi kuat, memperketat akses istimewa, memperbaiki higiene kredensial, dan mendapatkan visibilitas atas populasi identitas non-manusia yang terus bertambah, tim IT dapat menekan eksposur secara signifikan. Keamanan harus diperlakukan sebagai disiplin berkelanjutan, bukan sekadar daftar periksa awal tahun ajaran.