Serangan Siber Malaysia: Apa Sebenarnya Yang Berlaku?

Dua tiga hari ni kecoh cerita Malaysia kena cyberattack. Ada yang share peta serangan siber siap dengan garisan merentasi negara. Ada yang risau sistem perbankan kena godam. Ada juga yang kata orang Malaysia dah mula serang balik.

Kalau tengok sekali imbas, macam tengah berlaku perang siber.

Tapi bila aku baca laporan berita dan kenyataan rasmi, rupanya ada beberapa cerita berbeza yang bercampur jadi satu.

Dan satu benda yang aku rasa menarik, peta yang nampak macam menunjukkan satu negara sedang menyerang negara lain tu sebenarnya tak semudah yang kita sangka.

Setakat semakan 8 November 2026, insiden web defacement Bank Rakyat telah disahkan, dan tahap ancaman negara kekal sederhana menurut kenyataan MKN pada 7 November. Tetapi dakwaan Malaysia melancarkan serangan balas belum disokong pengesahan rasmi dalam sumber yang dirujuk.

Kronologi ringkas: Apa berlaku dari 4 hingga 8 November?

• 4 November: NACSA menaikkan tahap ancaman siber negara daripada rendah kepada sederhana sebagai langkah berjaga-jaga. Ini berlaku sebelum insiden Bank Rakyat menjadi tular.
• 6 November, malam: Website berkaitan Bank Rakyat dilaporkan mengalami perubahan paparan. Gangguan capaian turut dimaklumkan oleh bank.
• 7 November, pagi: Tangkap layar peta ancaman FortiGuard Labs dan cerita kononnya Malaysia menyerang balas tersebar di media sosial. Dakwaan serangan balas belum disahkan.
• 7 November: Bank Rakyat menjelaskan skop gangguan website korporat. Menteri Komunikasi mengesahkan insiden web defacement, manakala MKN menyatakan pemantauan diteruskan.
• 8 November: Setakat semakan artikel ini, kenyataan rasmi terbaru yang dikenal pasti mengenai tahap ancaman masih bertarikh 7 November. Siasatan dan pemantauan boleh terus berkembang.

Kronologi ini menggabungkan kenyataan rasmi dan laporan yang dipautkan dalam bahagian di bawah. Ia bukan bukti bahawa semua kejadian mempunyai penyerang atau punca yang sama.

Apa yang jadi pada website Bank Rakyat?

Menurut laporan RTM pada 7 November, Menteri Komunikasi Fahmi Fadzil mengesahkan insiden web defacement pada website Bank Rakyat yang dikendalikan pihak ketiga. Laporan itu menyatakan operasi sistem perbankan tidak terjejas.

Web defacement maksudnya paparan website diubah tanpa kebenaran. Bayangkan papan tanda sebuah kedai ditukar oleh orang luar. Perubahan itu memang satu pencerobohan, tetapi papan tanda sahaja tak memberitahu kita sama ada peti wang di dalam kedai turut dibuka.

Dalam kenyataan asal Bank Rakyat bertarikh 7 November, bank menyatakan gangguan terhad kepada website korporat dan berpunca daripada isu teknikal pada sistem penyedia pihak ketiga. Bank memberi jaminan operasi perbankan berjalan seperti biasa, manakala data peribadi, maklumat perbankan dan simpanan pelanggan tidak terjejas.

Itu jaminan pihak bank, bukannya hasil audit bebas artikel ini. Kenyataan tersebut juga tidak menghuraikan kaedah pencerobohan atau keseluruhan hasil siasatan teknikal.

Dua penjelasan tadi perlu dibaca bersama: bank menerangkan skop gangguan, sementara menteri mengesahkan perubahan paparan tanpa kebenaran. Jangan ringkaskan semuanya menjadi “semua sistem bank dah kena hack”, atau anggap insiden ini remeh sebab cuma nampak pada website.

Tahap ancaman dinaikkan sebelum insiden ini tular

Pada 4 November 2026, NACSA menaikkan Tahap Ancaman Keselamatan Siber Negara daripada rendah kepada sederhana. Menurut laporan Bernama tentang kenyataan MKN, langkah berjaga-jaga itu melibatkan kesiapsiagaan infrastruktur kritikal, termasuk pemantauan 24 jam, tampalan sistem dan pengesahan berbilang faktor.

Susunan tarikh ni penting. Kenaikan tahap ancaman berlaku sebelum insiden website Bank Rakyat pada malam 6 November menjadi berita. Jadi, kita tak boleh terus kata tahap ancaman dinaikkan kerana kejadian bank itu.

Pada 7 November, The Star melaporkan kenyataan MKN bahawa NACSA mengambil maklum insiden dan gangguan melibatkan beberapa institusi kewangan. Situasi negara dinyatakan terkawal, tahap ancaman dikekalkan sederhana dan pemantauan diteruskan bersama pihak berkaitan.

MKN turut meminta orang ramai merujuk saluran rasmi dan tidak menyebarkan dakwaan yang belum disahkan. “Terkawal” bukan janji tiada lagi insiden boleh berlaku. Ia menerangkan penilaian pihak berkuasa ketika kenyataan dikeluarkan.

Kenapa peta serangan tak cukup untuk buktikan “serang balik”?

Sinar Harian pada 7 November melaporkan perkongsian tangkap layar peta ancaman FortiGuard Labs di Threads, bersama dakwaan tindakan balas. Ini liputan tentang perkara yang diperkatakan di media sosial; ia tidak mengesahkan bahawa operasi balas benar-benar berlaku.

Kalau kau tak biasa tengok cybersecurity dashboard, peta dengan garisan merah, titik berkelip dan nama pelbagai negara memang boleh nampak macam babak filem hacker. Tak pelik kalau orang tertanya-tanya apa yang sedang berlaku.

Garisan pada peta boleh nampak dramatik. Tapi tangkap layar itu sahaja tidak menunjukkan sama ada cubaan berjaya, data dicuri, atau siapa yang mengarahkan aktiviti tersebut. Untuk membuat kesimpulan begitu, kita perlukan bukti tentang sasaran, masa, kaedah dan pihak yang terlibat.

Lokasi IP juga tidak semestinya lokasi pelaku. FBI menerangkan bagaimana proxy kediaman boleh menyembunyikan lokasi sebenar penjenayah dengan menjadikan peranti atau sambungan orang lain sebagai perantara. Penjelasan umum ini bukan bukti bahawa teknik tersebut digunakan dalam insiden Bank Rakyat.

Jadi, titik di Malaysia pada peta belum cukup untuk membuktikan kerajaan Malaysia melancarkan serangan. Dakwaan individu atau kumpulan bertindak sendiri pun perlu disemak berasingan. Jangan campurkan kedua-duanya di bawah satu label “Malaysia serang balik”.

Lima istilah yang selalu bercampur

Jadual ni panduan membaca berita, bukan senarai teknik yang disahkan digunakan dalam kejadian Bank Rakyat.

Advisory NC4 pula cerita bila?

Dalam senarai rasmi NC4, amaran NC4-ALR-2026-000008 bertarikh 8 Oktober 2026. Ia tentang peningkatan risiko aktiviti hacktivist dan serangan oportunistik terhadap institusi kewangan Malaysia, sebulan sebelum kejadian ini.

Amaran tersebut memberi perhatian kepada akaun berkeistimewaan seperti akaun pentadbir, serta pertahanan DDoS. Ia turut menerangkan risiko DDoS digunakan untuk mengalih perhatian daripada pencerobohan lain.

Itu konteks ancaman sektor kewangan. Ia bukan laporan forensik Bank Rakyat dan tidak membuktikan semua kaedah tersebut digunakan pada 6 November. Tarikh asal dokumen penting supaya amaran lama tak disalah anggap sebagai pengesahan baru.

Kalau kau pelanggan, apa yang berguna sekarang?

Bank Rakyat menyenaraikan iRakyat, aplikasi iRakyat, BRICK, QR2E dan i-bizRAKYAT sebagai saluran alternatif dalam kenyataan 7 November. Semak kemas kini bank untuk status semasa saluran yang kau perlukan.

• Buka app rasmi atau alamat bank yang kau sudah sahkan. Elakkan mencari pautan login melalui mesej yang datang tiba-tiba.
• Jangan kongsi OTP, PIN, kata laluan atau kod kelulusan dengan sesiapa yang mengaku sedang “selamatkan akaun”.
• Semak notifikasi dan transaksi. Kalau ada urusan yang kau tak kenal, hubungi bank melalui saluran rasmi dengan segera.
• Pastikan peranti dan app dikemas kini, serta gunakan pengesahan tambahan yang disediakan.
• Bila berkongsi berita, sertakan sumber dan tarikh. Screenshot tanpa konteks mudah membawa cerita yang berbeza.

Contoh mesej palsu yang perlu diwaspadai: “Akaun perlu disahkan semula kerana serangan siber. Klik pautan ini.” Ini contoh risiko phishing, bukan laporan bahawa kempen tertentu sudah disahkan dalam kejadian ini.

Soalan yang masih perlukan jawapan

Bagi aku, perkara paling berguna selepas insiden macam ni ialah penjelasan yang spesifik: bahagian mana terjejas, apa yang diperiksa, apa yang dipulihkan dan bila kemas kini seterusnya boleh dijangka. Jaminan umum membantu, tetapi butiran yang boleh disemak lebih membantu pembaca memahami batas kejadian.

Dalam sumber yang dirujuk di sini, kaedah tepat pencerobohan dan skop penuh akses pelaku belum dihuraikan secara terbuka. Kekosongan itu bukan alasan untuk mengisi ruang dengan teori, dan bukan juga bukti bahawa semua dakwaan penggodam betul.

Apa yang paling menarik bagi aku bukan sekadar peta yang viral tu, tapi cara satu cerita berkembang dalam timeline kita. Ada insiden sebenar, ada kenyataan rasmi, ada screenshot teknikal yang perlukan konteks, dan ada pula teori yang muncul bila orang cuba menghubungkan semuanya.

Aku tak rasa salah untuk orang ramai bertanya atau risau. Bila melibatkan sistem kewangan, memang wajar kita ambil serius. Cuma kita juga kena bezakan antara apa yang berlaku, apa yang orang dakwa berlaku, dan apa yang masih belum diketahui.

Sebab kadang-kadang, benda yang paling menakutkan di internet bukan semestinya garisan merah pada peta serangan. Tetapi betapa cepatnya kita boleh yakin dengan satu cerita sebelum semua fakta diketahui.

Disemak pada 8 November 2026, waktu Malaysia. Kenyataan rasmi paling lewat yang dapat dikenal pasti untuk penilaian tahap ancaman dalam semakan ini bertarikh 7 November. Artikel ini berdasarkan sumber awam, bukan pemeriksaan sistem bank; maklumat boleh berubah selepas siasatan atau kemas kini baharu.

Imej utama ialah ilustrasi editorial janaan AI, bukan screenshot sistem, peta trafik sebenar atau bukti serangan.

Sumber

• Bank Rakyat, 7 November — kenyataan asal melalui Jabatan Penerangan (PDF): skop gangguan dan jaminan bank.
• Bernama, 4 November: kenaikan tahap ancaman dan langkah kesiapsiagaan.
• RTM, 7 November: pengesahan web defacement oleh Menteri Komunikasi.
• The Star, 7 November: kenyataan MKN tentang tahap ancaman dan pemantauan.
• Sinar Harian, 7 November: konteks dakwaan yang tersebar di Threads.
• Senarai amaran rasmi NC4 dan NC4-ALR-2026-000008: tarikh serta konteks ancaman sektor kewangan.
• FBI — penerangan proxy kediaman: sebab lokasi IP tidak semestinya mengenal pasti pelaku.