Serangan Supply Chain Semakin Marak: Mengapa Third-Party Risk Butuh Continuous Testing

Pendahuluan
Keterlibatan pihak ketiga dalam data breach meningkat dua kali lipat dari 15 persen menjadi 30 persen dalam satu tahun, lonjakan tahunan terbesar yang pernah tercatat dalam Verizon 2025 Data Breach Investigations Report. Ini bukan tren yang bertahap, melainkan pergeseran struktural dalam cara attacker menjangkau target mereka. Alih-alih membobol perusahaan secara langsung, mereka menyasar vendor, software dependency, atau service provider yang diam-diam berada di dalam trust boundary perusahaan tersebut. Sebagai perusahaan cybersecurity terdepan di Indonesia, ITSEC Asia bekerja sama dengan organisasi di sektor finance, healthcare, dan technology yang baru menyadari bahwa pertahanan internal mereka sendiri ternyata bukan gambaran utuh, karena sebuah breach bisa bermula dari tiga vendor jauhnya dan tetap berujung tepat di meja mereka.

Source: Supply Chain Attack Statistics 2026, Stingrai Research · Supply Chain Attack Statistics for 2026, Swif

Angka-Angka di Balik Pergeseran Ini
Supply chain compromise kini rata-rata menelan biaya 4,91 juta dolar AS dan membutuhkan waktu 267 hari untuk diidentifikasi dan ditangani, lifecycle terpanjang dari semua breach vector yang tercatat dalam IBM's Cost of a Data Breach Report. Artinya, hampir sembilan bulan lamanya sebuah vulnerability yang dibawa masuk oleh vendor, plugin, atau open source package bisa tidak terdeteksi, sementara attacker bergerak lateral melalui sistem-sistem yang saling terhubung. Skala masalah ini terlihat jelas begitu data-data yang terpisah ini dijajarkan satu per satu.

1. Supply chain breach rata-rata menelan biaya 4,91 juta dolar AS dan butuh 267 hari untuk diidentifikasi dan ditangani, lifecycle terpanjang dari semua breach vector yang tercatat IBM
2. Sonatype mengidentifikasi lebih dari 454.600 malicious open source package baru sepanjang 2025, lonjakan 75 persen dari tahun sebelumnya
3. Riset Checkmarx menemukan bahwa 63 persen organisasi mengalami supply chain attack dalam dua tahun terakhir

Jika digabungkan, angka-angka ini menunjukkan bahwa ini bukan lagi kejadian langka yang hanya menimpa perusahaan besar dengan jaringan vendor yang kompleks, melainkan sesuatu yang kini semestinya diantisipasi oleh sebagian besar organisasi.

Source: Supply Chain Attack Statistics for 2026, Swif · Supply Chain Attack Statistics 2026: 65+ Key Facts & Data, AppSec Santa

Mengapa Model Vendor Review Lama Sudah Tidak Lagi Memadai
Sebagian besar organisasi masih mengelola third-party risk dengan cara yang sama seperti dulu, yaitu melalui questionnaire yang dikirim setahun sekali dan compliance checklist yang ditandatangani lalu diarsipkan hingga masa perpanjangan berikutnya. Pendekatan ini berasumsi bahwa security posture vendor pada hari mereka direview akan tetap sama dua belas bulan kemudian, dan pengamatan lebih dekat pada bagaimana vendor access sesungguhnya berperilaku menunjukkan mengapa asumsi tersebut jarang bertahan menghadapi kenyataan.

1. 60 persen security leader melaporkan peningkatan insiden keamanan pihak ketiga dalam setahun terakhir, menurut survei CISO 2026 dari Panorays
2. Hanya 15 persen dari CISO tersebut mengaku memiliki visibilitas penuh terhadap third-party risk mereka, naik dari hanya 3 persen setahun sebelumnya
3. Vendor access saat ini mencakup platform SaaS, API, integrasi cloud, identity provider, dan tim development outsourced, yang seringkali sulit dibedakan dari akses internal

Review tahunan yang bersifat statis sama sekali tidak bisa mengimbangi kecepatan perubahan akses tersebut, beserta risiko yang menyertainya. Continuous testing menutup celah ini dengan memvalidasi permukaan exposure vendor secara berkelanjutan, sehingga bisa menangkap momen ketika sebuah integrasi baru atau dependency yang belum di-patch membuka celah yang tidak akan pernah terdeteksi oleh checklist tahunan hingga semuanya sudah terlambat.

Source: 2026 Study from Panorays: 85% of CISOs Can't See Third-Party Threats, CIO · Third-Party Risk Statistics 2026, DeepStrike

Menutup Celah dengan Continuous Validation
Inilah pergeseran yang sedang dibantu ITSEC Asia untuk dilakukan oleh para kliennya, yaitu mengubah third-party risk management dari sekadar urusan administratif menjadi proses yang tervalidasi secara berkelanjutan. Melalui Bronyx, platform autonomous penetration testing berbasis AI milik ITSEC Asia, organisasi dapat memperluas disiplin continuous testing yang mereka terapkan pada infrastruktur mereka sendiri ke vendor, API, dan software dependency yang terhubung dengannya, sehingga celah yang bisa dieksploitasi di seluruh extended attack surface dapat ditemukan tanpa harus bergantung pada questionnaire self-reported dari vendor. Mengingat sebuah supply chain breach kini rata-rata menelan biaya sekitar 4,91 juta dolar AS dan butuh lebih dari delapan bulan untuk diselesaikan, secara ekonomi jauh lebih menguntungkan untuk menangkap integrasi vendor yang salah konfigurasi atau dependency yang rentan sejak dini, saat masih murah untuk diperbaiki, dibanding baru menyadarinya setelah attacker sudah berada di dalam sistem selama berbulan-bulan. Bagi organisasi Indonesia yang tunduk pada UU PDP, di mana kegagalan pihak ketiga tetap dapat memicu tanggung jawab regulasi perusahaan itu sendiri, perbedaan ini bukan sekadar teori, melainkan perbedaan antara perbaikan rutin dan breach notification.

Source: Supply Chain Attack Statistics for 2026, Swif · Supply Chain Risk in 2026, Cyberlab
 

Diskusikan Third-Party Risk Bersama ITSEC Asia
Ekosistem vendor dan partner bukan lagi kasus pengecualian dalam threat model sebuah organisasi, melainkan jalur default yang sudah digunakan attacker. Kunjungi bronyx.ai atau hubungi tim ITSEC Asia di itsec.asia/contact untuk melihat bagaimana continuous testing berbasis AI dapat memvalidasi vendor dan integrasi yang menjadi tumpuan organisasi Anda, sebelum semuanya berubah menjadi titik masuk berikutnya bagi attacker.