Cyber Trust
Outlook 2027
Pariwisata Indonesia

Pariwisata Indonesia sedang berubah lebih cepat daripada beberapa tahun sebelumnya. Wisatawan menemukan destinasi lewat media sosial, merencanakan perjalanan dengan bantuan kecerdasan artifisial (AI), lalu memesan dan membayar lewat aplikasi. Hotel dan villa membalas tamu lewat chatbot, mengelola kamar dengan sistem yang terhubung ke banyak platform, dan menyimpan data tamu di layanan cloud. Pada saat yang sama, data wisatawan semakin sering berpindah: dari aplikasi pemesanan ke sistem hotel, dari hotel ke vendornya, dari meja resepsionis ke Imigrasi, hingga lintas negara ketika tamu datang dari luar negeri.

Perubahan ini membawa manfaat yang nyata, dan juga membawa risiko. Edisi ini tidak berangkat dari pertanyaan apakah digitalisasi dan AI aman atau tidak. Risiko selalu ada, dengan atau tanpa AI. Yang menentukan adalah apakah risiko itu sudah dikenali, sudah ditimbang, dan sudah disiapkan langkah mitigasinya.

Karena itu, setiap bagian disusun dengan pola yang sama: apa yang sedang terjadi, celah apa yang kini sudah diketahui, dan langkah apa yang sudah terbukti membantu. Pembahasan mengikuti perjalanan seorang wisatawan, dari mencari informasi, menghubungi penginapan, memesan, membayar, sampai menerima layanan di tempat tujuan. Cerita pendek di dalamnya menggunakan tokoh rekaan, sedangkan pola kejadiannya diambil dari kasus yang tercatat.

Tujuan edisi ini sederhana: memberi gambaran yang utuh dan berimbang bagi semua yang menjaga pariwisata kita, dari pejabat kementerian dan dinas, pemilik hotel dan villa, pengurus asosiasi, sampai pekerja di balik meja resepsionis, supaya keputusan untuk beradaptasi bisa diambil dengan lebih yakin. Celah yang dulu tidak terlihat kini sudah bisa dipetakan, dan sebagian besar sudah punya jawaban.

TIM PENULIS

I Gede Putu Rahman Desyanta, S.Si., S.Kom., M.M

CEO Baliola, Cyber Trust & Digital Transformation Consultant, Penyusun CTMF™

Tuhu Nugraha Dewanto, S.IP., M.M.

Digital Business & Emerging Technology Advocate, Indonesia Blockchain Society

BAGIAN A · FEATURE

Kepercayaan yang
Pindah ke Layar

Pariwisata selalu menjual kepercayaan. Yang berubah, kepercayaan itu kini dibangun dan dicuri di tempat yang sama.

Gambar dibuat AI

Sarah dan suaminya sudah merencanakan liburan itu sejak awal tahun. Mereka menemukan villa di Ubud lewat Google: foto kolam renang menghadap sawah, ulasan bintang lima, dan nomor WhatsApp yang responsif. Admin yang membalas pesan mereka ramah sekali, lalu menawarkan potongan sepuluh persen kalau mereka membayar penuh hari itu juga.

Sarah membayar.

Tiga minggu kemudian, mereka tiba pukul sembilan malam setelah penerbangan panjang dari Melbourne. Resepsionis villa itu kebingungan. Tidak ada pemesanan atas nama Sarah. Nomor WhatsApp itu bukan milik villa, dan rekening tujuan transfer juga bukan rekening mereka.

Cerita ini ilustrasi, tetapi polanya nyata. Pada Agustus 2024, Perhimpunan Hotel dan Restoran Indonesia (PHRI) mencatat 369 hotel di berbagai provinsi menjadi korban pemalsuan data di Google Bisnis. Nomor kontak mereka diganti orang lain, dan tamu yang menelepon nomor itu diarahkan mentransfer ke rekening penipu.

Perhatikan satu hal. Villa dalam cerita tadi tidak dibobol. Sistemnya aman, kamarnya terkunci, satpamnya berjaga. Yang dicuri adalah sesuatu yang tidak bisa dikunci dengan gembok: keyakinan tamu bahwa ia sedang berbicara dengan villa yang benar.

A1. Nama yang benar belum membuktikan kanal yang benar

Sekarang bayangkan Sarah sempat memeriksa. Ia mencari nama villa itu di daftar usaha resmi, dan namanya ada. Alamatnya benar, fotonya sama. Tetapi nomor WhatsApp yang membalas pesannya tetap nomor penipu. Penipu tidak perlu membuat villa baru. Ia cukup meminjam identitas villa yang asli untuk mengarahkan pembayaran ke rekeningnya sendiri.

Jadi pemeriksaan tidak boleh berhenti di pertanyaan “apakah villa ini ada?”. Sarah juga perlu tahu apakah nomor yang menghubunginya diakui villa itu, apakah rekening tujuan memang berwenang menerima pembayaran, dan apakah pemesanannya benar-benar tercatat. Nama usaha yang benar tidak otomatis membuat setiap pesan yang memakai nama itu menjadi benar.

Satu hal lagi: tempat memeriksa harus ditemukan lewat jalur yang sudah dipercaya, bukan lewat tautan yang dikirim oleh pihak yang sedang meminta uang. Di sinilah verifikasi menjadi konkret, yaitu menghubungkan identitas usaha dengan kanal, rekening, dan transaksi yang benar.

A2. Lebih dari kunci dan satpam

Kalau hotel diibaratkan bangunan, keamanan siber adalah kunci pintu, satpam, dan CCTV-nya. Siber sendiri berasal dari kata Inggris cyber, yang artinya segala sesuatu yang berhubungan dengan komputer dan internet. Tanpa keamanan siber, hotel mana pun akan kebobolan.

Tetapi tamu tidak memilih hotel karena kuncinya. Tamu memilih hotel karena percaya: percaya kamar yang ia pesan benar-benar ada, percaya fotokopi paspornya tidak beredar ke mana-mana, percaya pesan “pembayaran Anda belum masuk” memang dikirim oleh hotel, dan percaya bahwa kalau terjadi sesuatu, ada yang segera tahu dan bisa membereskannya.

Kumpulan keyakinan itulah yang kami sebut cyber trust, atau kepercayaan digital.

Keamanan siber adalah bagian darinya, tetapi bukan keseluruhannya. Sebuah hotel bisa punya sistem yang aman dan tetap kehilangan kepercayaan tamunya, seperti villa dalam cerita Sarah. Kepercayaan yang terjaga jarang lahir dari teknologi saja. Ia lahir dari kebiasaan orang-orangnya, aturan yang benar-benar dijalankan, dan cara sebuah usaha membuktikan bahwa ia layak dipercaya.

Untuk membaca kepercayaan digital secara lebih rinci, Outlook ini memakai kerangka bernama CTMF™, yang dibahas di bagian The Framework. Untuk sekarang, cukup diingat satu hal: pariwisata menjual pengalaman, dan pengalaman itu dimulai jauh sebelum tamu tiba, yaitu saat ia mencari, memesan, dan membayar lewat layar.

A3. Industri raksasa yang berjalan di atas layar

Skalanya tidak kecil. Sepanjang 2025, Indonesia menerima 15,39 juta kunjungan wisatawan mancanegara, sementara wisatawan nusantara mencatat rekor 1,2 miliar perjalanan. Devisa pariwisata mencapai 18,28 miliar dolar AS, dan sektor ini mempekerjakan 25,91 juta orang. Tahun 2026 bergerak lebih cepat lagi: hingga Agustus, kunjungan wisman sudah 10,58 juta, tertinggi untuk periode yang sama sejak 2020.

Setiap perjalanan itu meninggalkan jejak data: nama, nomor paspor atau KTP, nomor telepon, rekening, tanggal datang, nomor kamar. Data itu berpindah dari tamu ke aplikasi pemesanan, dari aplikasi ke sistem hotel, dari sistem hotel ke vendornya, dan sering kali dari meja resepsionis ke grup WhatsApp staf.

Cara orang berwisata juga berubah dengan cepat. Laporan e-Conomy SEA 2026 dari Google, Temasek, dan Bain mencatat nilai transaksi perjalanan daring di Asia Tenggara mencapai 59 miliar dolar AS, dan AI generatif kini sudah menyalip media sosial sebagai kanal kedua untuk merencanakan perjalanan. Wisatawan bertanya kepada AI, “Susunkan rencana empat hari di Labuan Bajo dengan anggaran sepuluh juta,” lalu mengikuti jawabannya. Kementerian Pariwisata sendiri sudah menghadirkan MaiA, asisten perjalanan berbasis AI di Indonesia.travel.

Di sisi usaha, survei h2c terhadap 113 jaringan hotel menemukan 91 persen sudah memakai AI, dan hampir dua dari tiga memakai chatbot untuk membalas tamu.

Semua ini kabar baik. Tetapi setiap layar baru adalah tempat baru di mana kepercayaan bisa dibangun, dan sekaligus tempat baru di mana kepercayaan bisa ditiru.

A4. Penjahat mengikuti tamu

Pariwisata tidak sekadar ikut terkena kejahatan digital. Sektor ini memang sedang diincar.

Lembaga riset Check Point, seperti dikutip laporan triwulanan University of West London tentang ancaman siber di sektor hotel dan pariwisata, mencatat setiap organisasi di sektor ini rata-rata menghadapi 2.291 serangan per minggu pada Mei 2026. Angka itu naik 24 persen dalam setahun, sementara rata-rata seluruh industri hanya naik 2 persen.

Alasannya sederhana. Pariwisata memegang tiga hal yang paling dicari penjahat sekaligus: identitas dalam bentuk salinan paspor dan KTP, uang karena tamu terbiasa membayar di muka dan sering terburu-buru, dan kepercayaan karena tamu yang belum mengenal medan cenderung mempercayai pesan apa pun yang terlihat resmi.

A5. Satu rantai, tiga korban

Data tamu berjalan seperti tongkat dalam lomba lari estafet. Ia berpindah dari satu tangan ke tangan berikutnya, dan bisa jatuh di tangan siapa pun. Ketika jatuh, yang kalah bukan hanya pelari yang menjatuhkannya, tetapi seluruh tim.

Laporan University of West London untuk kuartal kedua 2026 menemukan bahwa sangat sedikit insiden di sektor ini yang berasal dari dalam organisasi korban. Penjahat lebih sering masuk lewat sistem yang dikelola pihak lain: platform pemesanan, software yang dipakai bersama ratusan hotel, atau penyimpanan data vendor yang lupa dikunci. Hotel yang sudah berhati-hati pun bisa ikut terdampak, karena kepercayaan tamu bergantung pada seluruh rantai, bukan hanya pintu depan hotel.

Ketika satu mata rantai putus, hampir selalu ada tiga korban.

Organisasi kehilangan kendali atas wajahnya sendiri. Profil Google Bisnisnya diganti, akunnya di aplikasi pemesanan diambil alih, atau datanya bocor dari penyimpanan vendor.

Wisatawan kehilangan uang, dan data mereka menjadi bahan untuk menipu lagi. Pesan palsu yang memuat nomor pemesanan, tanggal kedatangan, dan jenis kamar yang asli hampir tidak memberi alasan untuk curiga. Bentuknya bisa permintaan membayar ulang, “konfirmasi kartu”, atau tawaran yang terdengar menyenangkan seperti upgrade kamar asal membayar sekarang. Dan korbannya bukan hanya turis asing. Dengan 1,2 miliar perjalanan wisnus setahun, korban terbesar di Indonesia sangat mungkin sesama warga yang sedang berlibur.

Pekerja memegang peran yang jarang dibicarakan: mereka adalah pintu masuk sekaligus korban. Pada 2023, jaringan resor MGM di Amerika Serikat lumpuh setelah seorang penyerang mencari profil karyawan di LinkedIn, lalu menelepon bagian layanan IT dan menyamar sebagai karyawan itu. Tamu terkunci di luar kamar, sistem reservasi berhenti, dan kerugiannya sekitar 100 juta dolar AS. Pada 2026, data sekitar 8,7 juta pelanggan operator kapal pesiar Carnival bocor karena seorang karyawan memberi akses kepada orang yang memintanya. Semua sistem keamanannya bekerja normal. Yang dimanfaatkan adalah keinginan seorang pekerja untuk membantu.

Pekerja juga menjadi sasaran langsung. Data pribadi 1.941 pekerja kasual Shangri-La di Hong Kong pernah bocor. Di Indonesia, penipuan lowongan kerja termasuk lima modus terbanyak yang dilaporkan ke Indonesia Anti-Scam Centre, dengan lebih dari 23 ribu laporan. Bagi sektor yang mempekerjakan 25,91 juta orang, banyak di antaranya pekerja harian dan outsourcing, ini bukan angka yang bisa diabaikan.

EXHIBIT 2

Data tamu berpindah dari aplikasi pemesanan ke sistem hotel, dari sistem hotel ke vendornya, dan sering kali dari meja resepsionis ke grup WhatsApp staf. Gambar dibuat AI.

A6. Tiga angin yang meniup api

Jenis kejahatannya sebenarnya tidak baru. Penipuan, pencurian data, dan penyamaran sudah ada sejak dulu. Yang berubah adalah kecepatan, skala, dan daya tipunya. Ibarat api unggun yang tiba-tiba ditiup angin kencang, ada tiga angin yang sedang bertiup di sektor pariwisata.

Angin pertama adalah AI. Dulu pesan penipuan mudah dikenali dari ejaan yang berantakan. Sekarang, dengan AI, penipu bisa menulis pesan yang rapi dalam bahasa apa pun. Laporan IBM Cost of a Data Breach 2026, yang meneliti 602 organisasi di 16 negara dan kawasan, menemukan lebih dari satu dari empat serangan kini digerakkan oleh AI, naik 56 persen dalam setahun. Jenis terbanyaknya adalah deepfake, yaitu tiruan suara atau video seseorang yang dibuat AI, dan penyamaran.

Bayangkan versi pariwisatanya. Kasir hotel menerima telepon dengan suara persis GM-nya, ditiru dari video sambutan di Instagram hotel. “Tolong segera proses refund untuk tamu VIP ke rekening yang saya kirim. Saya sedang rapat, jangan telepon balik.” Berapa banyak kasir yang berani menolak?

AI juga membuka pintu baru di dalam hotel. Survei h2c menemukan 60 persen pemakaian AI sehari-hari di jaringan hotel dilakukan lewat alat eksternal seperti ChatGPT, bukan lewat sistem yang diawasi hotel. Seorang staf yang menempelkan daftar tamu ke AI gratis supaya dirangkum sebenarnya sedang menitipkan buku tamu kepada orang asing. IBM mencatat insiden yang melibatkan shadow AI, yaitu alat AI yang dipakai staf tanpa izin organisasi, melonjak dari 20 persen menjadi 43 persen dalam setahun.

Angin kedua adalah Wi-Fi. Tamu menanyakan kata sandi Wi-Fi bahkan sebelum menanyakan jam sarapan. Pada 2024, Polisi Federal Australia mendakwa seorang pria yang membuat jaringan Wi-Fi palsu di beberapa bandara dan di dalam pesawat untuk mencuri akun penumpang. Pada Juli 2026, Microsoft mengungkap sesuatu yang lebih serius: kelompok peretas yang membajak jaringan Wi-Fi resmi hotel di berbagai negara untuk memata-matai pelancong bisnis dan pejabat. Di sini, infrastruktur milik hotel sendirilah yang dipakai untuk menyerang tamu. Bagi Indonesia, yang pada 2024 saja menyelenggarakan 54 pertemuan internasional di Bali, risiko ini terutama menyangkut tamu bernilai tinggi.

Angin ketiga, dan yang paling kencang, adalah rekayasa sosial, yaitu cara menipu dengan memainkan perasaan korban: rasa takut, terburu-buru, atau senang mendapat tawaran. Hampir setiap kasus di atas berawal dari sini. Laporan IBM menemukan cara masuk yang paling mahal justru yang paling sederhana: penipuan lewat telepon atau SMS, dengan biaya rata-rata 5,29 juta dolar AS per kebocoran. Di Indonesia, modus mengaku sebagai pihak atau institusi tertentu mencatat kerugian Rp2,09 triliun di Indonesia Anti-Scam Centre, terbesar di antara modus-modus utama.

Gartner, dalam survei terhadap pimpinan keamanan siber yang dirilis September 2026, menyarankan satu perubahan cara berpikir. Berhentilah mengandalkan kemampuan staf untuk mengenali pesan palsu, karena AI membuatnya semakin sulit dikenali. Jadikan verifikasi sebagai kebiasaan wajib. Dalam bahasa sehari-hari: kalau ada permintaan transfer, refund, atau perubahan rekening, tutup teleponnya, lalu hubungi kembali orangnya lewat nomor yang sudah Anda simpan sendiri.

A7. Kenapa pemeriksaan perlu diperkuat sekarang

Penipuan sudah lama ada. Yang baru adalah kemampuan menggabungkan penyamaran, informasi pribadi, dan otomatisasi menjadi satu rangkaian yang tampak meyakinkan. Pesan yang rapi, suara yang dikenal, dan balasan yang cepat tidak lagi cukup dijadikan dasar untuk mengirim uang atau memberi akses.

Ini bukan sekadar kekhawatiran. Pada Desember 2024, FBI memperingatkan pemakaian AI untuk membuat konten penipuan dan rekaman suara tiruan. Pada Juni 2025, otoritas antipenipuan dan keamanan siber Kanada mengeluarkan peringatan bersama tentang pesan suara buatan AI yang meniru tokoh publik untuk mencuri uang dan informasi.

Lalu ada agen AI, yaitu program AI yang tidak hanya menjawab pertanyaan, tetapi bisa menjalankan serangkaian tugas sendiri dengan alat digital, sesuai akses yang diberikan kepadanya. Pada November 2025, sebuah penyedia AI melaporkan penyalahgunaan agen AI untuk membantu operasi spionase siber, termasuk mencari celah dan mengolah informasi curian. Laporan itu menggambarkan kasus yang ditangani penyedianya sendiri, bukan ukuran seberapa sering serangan seperti itu terjadi di sektor pariwisata.

Bayangkan versi pariwisatanya. Penipu meniru sebuah agen perjalanan, memakai AI untuk membalas calon tamu dalam beberapa bahasa, dan memakai detail reservasi yang bocor supaya pesannya terasa personal. Pesan suara tiruan lalu menguatkan permintaan pembayaran, dan otomatisasi membantu mengulang pendekatan yang sama ke ratusan sasaran sekaligus. Ini ilustrasi gabungan risiko, bukan laporan satu kasus nyata di Indonesia.

Ancaman juga bisa saling menyambung: akun dibajak, informasi diambil, lalu informasi itu dipakai untuk menipu tamu di kanal lain. Karena itu, keamanan sistem, pengendalian akses, dan verifikasi transaksi perlu bekerja bersama. Wisatawan tidak semestinya dibiarkan menebak sendiri apakah sebuah suara terdengar palsu.

Ada satu arah lagi yang perlu diantisipasi. Kalau pencarian dan pemesanan makin sering dibantu agen AI milik wisatawan, informasi tentang sebuah usaha juga perlu bisa diperiksa oleh sistem yang mewakili wisatawan itu. Nama dan foto yang meyakinkan tidak cukup untuk menentukan kanal, rekening, atau status pemesanan yang benar. Seberapa cepat ini terjadi di tiap destinasi bisa berbeda-beda.

Alasan untuk bertindak sudah ada dalam keputusan sehari-hari: kepada siapa uang dibayar, siapa diberi akses, dan data apa yang dibagikan. Aturan pelindungan data memperkuat tanggung jawab itu. Perubahan cara penipuan bekerja memberi alasan praktis untuk mulai sekarang.

AI yang sama juga bisa menjadi penolong. IBM mencatat organisasi yang memakai AI dan otomatisasi secara luas dalam pengamanannya menekan biaya kebocoran sekitar 1,93 juta dolar AS, dan menemukan kebocoran 65 hari lebih cepat. Pertanyaannya bukan apakah kita memakai AI, tetapi apakah kita memakainya dengan aturan yang jelas.

A8. Lima tagihan dari satu insiden

Kerugian akibat kepercayaan yang dibobol jarang datang sendirian. Ia datang sebagai tumpukan tagihan.

Tagihan pertama adalah reputasi. Wisatawan yang tertipu jarang bercerita, “Saya ditipu agen tak terdaftar bernama si A.” Ia bercerita, “Hati-hati kalau ke Labuan Bajo.” Penjahat paham betul hal ini. IBM mencatat 41 persen serangan ransomware kini disertai ancaman mempermalukan korban di depan publik. Ransomware adalah program jahat yang mengunci atau mencuri data lalu meminta tebusan, ibarat penyandera digital.

Tagihan kedua adalah uang. Bagi organisasi menengah dan besar, IBM mencatat rata-rata biaya satu kebocoran data di sektor hospitality mencapai 4,33 juta dolar AS pada 2026. Di ASEAN, rata-ratanya 4,12 juta dolar AS. Hampir dua pertiga biaya itu habis bukan untuk tebusan, melainkan untuk menyelidiki apa yang terjadi dan menanggung bisnis yang hilang. Bagi villa lima kamar, angkanya tentu jauh lebih kecil, tetapi proporsinya bisa lebih menyakitkan: satu transfer Rp20 juta ke rekening penipu bisa setara keuntungan sebulan.

Tagihan ketiga adalah operasional. Ketika Pusat Data Nasional Sementara diserang ransomware pada Juni 2024, INTERPOL mencatat lebih dari 280 layanan esensial terganggu, termasuk imigrasi di Soekarno-Hatta, Ngurah Rai, dan Pelabuhan Batam Centre. Tamu yang tertahan berjam-jam di gerbang negara tidak membedakan siapa yang salah.

Tagihan keempat adalah kekayaan intelektual: resep andalan, strategi harga, daftar tamu VIP, foto dan konten promosi. Aset ini tidak tercatat di neraca, tetapi menurut IBM, kekayaan intelektual dicuri dalam 32 persen kebocoran data dan menjadi jenis data termahal, rata-rata 196 dolar AS per catatan.

Tagihan kelima adalah sanksi, dan inilah tagihan yang baru akan benar-benar terasa pada 2027.

A9. Ketika kerugian masuk ke arus kas

Bagi usaha kecil, akibat sebuah insiden paling mudah dipahami lewat uang yang harus keluar dan penerimaan yang tertunda. Ambil contoh sebuah penginapan yang mengalami 20 pembatalan malam kamar dengan tarif Rp750 ribu. Nilai pemesanan yang batal Rp15 juta. Pemiliknya juga mengeluarkan Rp5 juta untuk memulihkan sistem dan akun, serta Rp3 juta untuk membantu tamu yang terdampak. Semua angka ini asumsi untuk ilustrasi, bukan data kejadian atau rata-rata industri.

Rp15 juta itu nilai pemesanan yang hilang, bukan otomatis laba yang hilang, karena sebagian biaya pelayanan juga tidak jadi keluar. Kalau kontribusi setiap pemesanan setelah biaya variabel diasumsikan 60 persen, kontribusi yang hilang menjadi Rp9 juta. Ditambah biaya tambahan Rp8 juta, dampak ekonominya sekitar Rp17 juta. Angka ini belum memasukkan waktu staf dan kerusakan reputasi.

Arus kas bisa lebih tertekan lagi kalau pembayaran yang sudah diterima harus dikembalikan, padahal uangnya telanjur dipakai untuk operasional. Bagi pemilik, pertanyaannya menjadi sangat praktis: apakah kas yang tersisa masih cukup untuk gaji, pemasok, dan cicilan bulan ini?

Kerugian wisatawan yang mentransfer ke penipu juga perlu dipisahkan dari kerugian usaha. Usaha tidak otomatis wajib mengganti seluruh uang tamu. Bantuan kepada korban dan tanggung jawab masing-masing pihak perlu dilihat kasus per kasus. Pemisahan ini mencegah satu kerugian dihitung dua kali.

Di tingkat destinasi, pembatalan bisa menekan belanja di penginapan, transportasi, restoran, dan pemasok lokal. Dampaknya pada pekerja dan penerimaan daerah perlu dihitung dengan data setempat, dan seluruh belanja yang batal tidak bisa langsung disebut kerugian bersih daerah.

Dan mulai 2027, ada satu tagihan lagi yang perlu masuk hitungan: sanksi.

A10. Tahun aturan mulai berjalan

Pada 16 Januari 2027, Peraturan Pemerintah Nomor 33 Tahun 2026 mulai berlaku. Peraturan ini adalah petunjuk pelaksana Undang-Undang Pelindungan Data Pribadi, lengkap dengan denda administratif hingga 2 persen dari pendapatan tahunan. Kebocoran data wajib diberitahukan kepada pemilik data dan otoritas paling lambat 72 jam.

Sementara itu, lembaga yang akan mengawasinya belum terbentuk sepenuhnya. Jadi 2027 adalah tahun yang unik: aturannya sudah berjalan, wasitnya belum lengkap. Sebagian orang mungkin membacanya sebagai alasan untuk menunggu. Kami membacanya sebaliknya, sebagai masa jeda yang langka untuk bersiap.

Menunggu juga berisiko karena alasan lain. INTERPOL mencatat pelaku ransomware di kawasan Asia dan Pasifik Selatan mulai memakai aturan sebagai senjata: “Bayar, atau kami laporkan pelanggaran data Anda ke regulator.” Begitu PP 33/2026 berlaku, ancaman itu tidak lagi kosong.

A11. Satu pola, banyak destinasi

Mudah mengira persoalan ini hanya milik destinasi yang paling ramai turis asingnya. Kenyataannya tidak begitu.

Kementerian Pariwisata membagi pengembangan destinasi nasional ke dalam sepuluh Destinasi Pariwisata Prioritas, dari Danau Toba sampai Morotai, dan tiga Destinasi Pariwisata Regeneratif: Bali, Greater Jakarta, dan Kepulauan Riau. Polanya muncul di mana-mana. Di Yogyakarta, wisatawan memesan “hotel” lewat aplikasi yang ternyata sudah menjadi indekos. Di Labuan Bajo, rombongan wisatawan terlantar di pelabuhan karena kapal yang mereka bayar lunas tidak pernah disewa. Di Batam, layanan imigrasi ikut lumpuh saat Pusat Data Nasional diserang. Laporan penipuan digital ke Indonesia Anti-Scam Centre datang dari Jawa sampai Papua.

Destinasi yang sedang tumbuh justru paling perlu bersiap. Pemilik homestay yang baru bulan lalu mendaftarkan usahanya ke aplikasi pemesanan adalah sasaran menarik bagi penipu, bukan karena ia lalai, tetapi karena semuanya masih baru baginya.

Penipu tidak memilih destinasi berdasarkan ketenarannya. Mereka memilih berdasarkan celahnya.

A12. Celah yang belum banyak dibicarakan

Ada satu temuan yang membuat Outlook ini terasa perlu.

Dalam Indonesia Tourism Outlook 2026/2027, Kementerian Pariwisata menanyakan kepada para ahli faktor apa yang paling menentukan kinerja pariwisata 2027. Jawaban teratas adalah kebijakan pemerintah, kondisi ekonomi nasional, dan geopolitik. Keamanan siber dan data hanya dipilih 11,41 persen ahli, di urutan ke-11 dari 16 faktor.

Kami tidak membacanya sebagai kekeliruan. Kebijakan dan ekonomi memang menentukan apakah wisatawan datang. Tetapi angka itu memperlihatkan jarak antara persepsi dan kenyataan: sektor ini diserang jauh lebih cepat dibanding sektor lain, sementara kepercayaan digital belum dipandang sebagai faktor yang menentukan.

Dokumen yang sama menempatkan keamanan dan keselamatan wisatawan sebagai salah satu prioritas utama 2027, dengan rincian kesiapsiagaan bencana, jalur evakuasi, dan asuransi perjalanan. Semua itu sangat penting. Outlook ini ingin melengkapinya dengan satu dimensi yang perannya terus membesar: rasa aman di dunia digital. Wisatawan yang selamat dari cuaca ekstrem tetapi kehilangan uangnya di situs pemesanan palsu tetap pulang dengan pengalaman buruk, dan ceritanya tetap menyebut nama destinasi kita.

Sejauh penelusuran kami, belum ada outlook publik yang membahas kepercayaan digital sektor pariwisata Indonesia secara khusus. Belum ada pula pencatatan insiden digital yang khusus untuk sektor ini. Tidak ada yang benar-benar tahu seberapa besar masalahnya. Dan sulit memperbaiki sesuatu yang tidak pernah diukur.

BAGIAN B · THE FRAMEWORK

Lima Pertanyaan,
Empat Anak Tangga

Cara sederhana membaca kepercayaan digital, dari villa lima kamar sampai destinasi nasional.

Outlook ini memakai satu cara membaca yang kami sebut CTMF™, singkatan dari Cyber Trust Maturity Framework™, atau peta kematangan kepercayaan digital. Kerangka ini tidak menuntut pembacanya paham teknologi. CTMF™ hanya meminta kita membayangkan lima pertanyaan yang diajukan setiap tamu dalam hati, meskipun ia tidak pernah mengucapkannya.

B1. Lima pertanyaan tamu

B2. Empat anak tangga

Lima pilar menjawab apa yang dijaga. Tangga ini menjawab seberapa matang penjagaannya.

B3. Apa yang diperiksa sepanjang perjalanan

Kepercayaan sudah dibutuhkan jauh sebelum tamu tiba. Di setiap tahap perjalanan ada klaim yang berbeda, dan bukti yang dibutuhkan pun berbeda. Satu tanda “terdaftar” tidak menjawab semuanya.

B4. Kapan sebuah bukti layak dipercaya

Logo, tanda centang, atau kode QR belum menjelaskan apa yang sudah diperiksa. Kode QR, misalnya, hanya membawa kita ke suatu informasi. Nilainya bergantung pada sumber dan isi informasi itu. Sebelum mempercayai sebuah bukti, ajukan empat pertanyaan.

Dengan cara ini, verifikasi menjadi kebiasaan yang bisa dijalankan wisatawan dan dipertanggungjawabkan pengelolanya, tanpa harus menampilkan data pribadi yang tidak perlu kepada publik.

B5. Tiga hal yang perlu diluruskan

B6. Temuan utama

Pada Juni 2025, dua puluh wisatawan berdiri di Pelabuhan Marina, Labuan Bajo, dengan koper di tangan. Mereka sudah membayar lunas Rp101 juta kepada sebuah agen perjalanan untuk berlayar menjelajahi Taman Nasional Komodo. Kapalnya ada di sana, tetapi pemiliknya menolak berlayar. Uang rombongan itu tidak pernah sampai kepadanya.

Kisah seperti ini bukan yang pertama, dan bukan yang terakhir. Pada April 2026, tiga wisatawan asal Jerman ditelantarkan agen di pelabuhan yang sama. Pada Agustus 2026, dua puluh dua wisatawan asal Tiongkok terlantar karena kapal yang dijanjikan ternyata tidak pernah disewa. Dinas Pariwisata dan Ekonomi Kreatif NTT mencatat kasus seperti ini mulai muncul sejak 2022, termasuk satu keluarga asal Jakarta yang kehilangan sekitar Rp46 juta. Menurut Dinas, pelakunya agen wisata ilegal atau tidak terdaftar.

C1. Menjual tanpa kantor

ASITA NTT memberi gambaran polanya. Banyak agen menjual paket open trip, yaitu paket wisata yang bisa diikuti siapa saja dengan bergabung bersama rombongan lain, lewat media sosial dan pesan singkat, tanpa memiliki kantor di Labuan Bajo. Fotonya menarik, harganya bersaing, balasannya cepat. Wisatawan membayar penuh. Lalu ketika tiba, tidak ada penjemput, dan nomor agennya tidak bisa dihubungi lagi.

ASITA menilai kasus seperti ini merusak citra dan menurunkan kepercayaan wisatawan terhadap Labuan Bajo. Inilah yang membuatnya lebih dari sekadar kasus penipuan biasa. Setiap rombongan yang terlantar pulang membawa cerita, dan ceritanya jarang menyebut nama agen. Yang disebut adalah nama destinasinya.

C2. Hotel yang ternyata indekos

Ribuan kilometer ke barat, polanya muncul dalam bentuk lain. Selama libur Natal dan Tahun Baru 2024/2025, PHRI Daerah Istimewa Yogyakarta menerima belasan laporan penipuan penginapan. Salah satu yang paling ramai dibicarakan: sebuah rombongan memesan kamar lewat aplikasi pemesanan, tetapi saat tiba, “hotel” itu ternyata sudah lama beralih fungsi menjadi indekos.

PHRI DIY menyebut properti itu tidak tercatat sebagai anggotanya. Lalu asosiasi itu melakukan sesuatu yang sederhana tetapi tepat: mereka meminta wisatawan memeriksa daftar anggota di situs resmi PHRI DIY sebelum memesan.

C3. Kepercayaan digital tanpa peretasan

Sekilas, kasus-kasus ini tidak terdengar seperti persoalan siber. Tidak ada sistem yang dibobol, tidak ada data yang dicuri, tidak ada ransomware.

Tetapi intinya justru persoalan kepercayaan digital yang paling murni. Wisatawan menemukan penjual lewat layar, berkomunikasi lewat layar, dan membayar lewat layar. Di sepanjang proses itu, ia tidak punya satu pun cara mudah untuk memastikan bahwa pihak yang ia bayar benar-benar ada, terdaftar, dan bertanggung jawab.

Dalam bahasa CTMF™, kasus ini menyentuh dua pilar yang paling lemah di sektor pariwisata. Privacy, karena identitas usaha tidak bisa diverifikasi: siapa pun bisa membuat akun media sosial dan mengaku sebagai agen perjalanan. Integrity, karena proses pemesanan dan pembayaran tidak memberi wisatawan satu pun langkah pemeriksaan sebelum uangnya berpindah tangan.

Pola yang sama juga muncul di layanan resmi. Pemerintah Australia memperingatkan warganya tentang situs palsu yang menarik biaya untuk pengisian Arrival Card Indonesia, padahal layanan resminya gratis. Seorang wisatawan melaporkan membayar 148 dolar AS di situs seperti itu. Untuk pungutan wisatawan asing di Bali, pelaku wisata berulang kali memperingatkan situs tiruan yang meniru tampilan resmi dan menagih dua sampai tiga kali lipat tarif yang semestinya. Polanya sama: wisatawan tidak tahu ke mana harus memeriksa.

C4. Pelajaran dari sebuah daftar

Respons PHRI DIY terlihat kecil, tetapi menyimpan pelajaran besar. Dengan meminta wisatawan memeriksa daftar anggota di situs resminya, PHRI DIY sedang menaikkan kepercayaan dari Level 0 ke Level 2 di tangga CTMF™. Wisatawan tidak lagi harus percaya begitu saja pada kata-kata penjual. Ia bisa memeriksanya sendiri, lewat pihak ketiga yang ia percayai.

Daftar seperti ini adalah contoh aset bersama, yaitu aset yang dimanfaatkan seluruh pelaku dan wisatawan di sebuah destinasi. Pemiliknya bukan satu hotel, melainkan asosiasi atau pemerintah daerah. Dan kekuatannya hanya sebesar tiga hal: seberapa mudah ditemukan, seberapa sering diperbarui, dan seberapa luas wisatawan tahu keberadaannya.

C5. Batas sebuah pemeriksaan

Usaha yang terdaftar tetap bisa gagal memberikan layanan. Rekening yang diakui sebuah agen belum membuktikan kapalnya sudah disewa. Konfirmasi yang asli belum menjamin perjalanan bebas gangguan. Setiap bukti hanya menjawab satu pertanyaan tertentu.

Verifikasi membantu mengurangi ketidakpastian di titik-titik keputusan. Ia tetap perlu didampingi pengamanan akun, tata kelola data, aturan pembayaran, dan kesiapan layanan. Menjelaskan apa yang sudah diperiksa dan apa yang belum justru membuat bukti itu lebih berguna.

C6. Kepercayaan sebagai pekerjaan bersama

Bayangkan sebuah destinasi menjelang festival besar. Para pelaku usaha sudah mencantumkan kanal resminya masing-masing, tetapi akun palsu menjual paket dengan nama festival yang sama. Wisatawan butuh satu rujukan bersama untuk membedakan panitia asli, penjual yang diakui, kanal pembayaran yang sah, dan informasi yang sudah tidak berlaku. Satu hotel tidak bisa membangun rujukan seperti itu sendirian. Ini skenario ilustrasi.

Pembagian peran berikut adalah usulan kerja sama, bukan penetapan kewenangan baru. Penanggung jawabnya tetap perlu dicocokkan dengan mandat dan program yang sudah ada.

Pemerintah pusat bisa mendorong kesepakatan tentang informasi minimum yang perlu tersedia, dan cara memeriksanya lintas destinasi. Koordinasi dengan lembaga terkait, platform, dan asosiasi membantu agar pengakuan dan pembaruan informasi tidak berhenti di satu wilayah. Pemerintah juga perlu menjaga kanal dan layanan digitalnya sendiri, termasuk portal event, data peserta, dan layanan yang dikelola vendor.

Pemerintah daerah bisa mengoordinasikan rujukan destinasi yang mudah ditemukan, menunjuk pengelola pembaruannya, dan menyediakan jalur koreksi ketika kanal resmi atau status usaha berubah. Menjelang event, periksa bersama panitia siapa yang berwenang menjual, kanal mana yang diakui, dan bagaimana perubahan diumumkan.

Asosiasi membantu memeriksa status anggota dan menyampaikan perubahannya. Pelaku usaha memastikan kanal, penerima pembayaran, dan konfirmasi layanannya benar. Platform membantu wisatawan mengakses informasi yang mutakhir. Keanggotaan asosiasi, perizinan, dan pengakuan transaksi tetap perlu dibedakan.

C7. Yang bisa dilakukan

C8. Latihan keputusan

Pada 12 dan 13 April 2026, sebuah platform pemesanan hotel global mengirim pemberitahuan kepada sebagian pelanggannya. Ada pihak tidak berwenang yang mengakses data reservasi mereka: nama, kontak, alamat rumah, tanggal menginap, dan catatan yang ditulis tamu untuk hotel.

Yang terjadi berikutnya lebih mengkhawatirkan. Menurut laporan triwulanan University of West London, penipu sudah mulai mengirim permintaan pembayaran palsu kepada para tamu itu hampir bersamaan dengan pemberitahuan resminya. Pesannya meyakinkan, karena memuat nomor pemesanan, tanggal kedatangan, dan jenis kamar yang asli.

Dua bulan kemudian, pada Juni 2026, polanya terulang dalam skala yang berbeda. Lebih dari 100 hotel independen di Belanda, dengan laporan tambahan dari Belgia dan Irlandia, kehilangan data reservasi karena satu celah di software pemesanan yang mereka pakai bersama. Tidak satu pun dari hotel itu mengendalikan software tersebut. Tamu-tamu mereka diminta membayar ulang dengan ancaman pemesanannya dibatalkan.

D1. Pintu yang dikunci orang lain

Laporan University of West London untuk kuartal kedua 2026 menyimpulkan satu hal yang patut direnungkan setiap pemilik hotel: sangat sedikit insiden di sektor ini yang berasal dari dalam organisasi korban. Penjahat lebih sering masuk lewat sistem yang dikelola pihak lain.

Asia Tenggara tidak terkecuali. Di Singapura, penyedia software hotel Hotelogix kehilangan folio tamu, yaitu catatan tagihan lengkap selama menginap, karena penyimpanan data di cloud dibiarkan bisa diakses publik. Jaringan hotel Treebo di India mengalami hal serupa. Cloud adalah tempat penyimpanan data di internet milik penyedia layanan, ibarat gudang sewaan: gudangnya kokoh, tetapi pintunya lupa dikunci. Pelakunya meminta tebusan 500 ribu dolar AS.

Di Thailand, pada Juni 2026, RoomScope, penyedia software manajemen hotel, termasuk dalam empat platform yang dibobol seorang peretas. Sekitar 6,4 juta catatan pemesanan dan 1,1 juta alamat email tamu terbuka. Peretas itu memakai asisten AI dan alat otomatisasi untuk mencari dan mencoba celah satu per satu, pekerjaan yang dulu butuh satu tim berpengalaman berminggu-minggu.

Pola yang sama juga menimpa maskapai. Data sekitar 5,7 juta pelanggan Qantas bocor pada 2025 setelah penyerang masuk lewat platform layanan pelanggan yang dikelola pihak ketiga.

Vietnam Airlines kehilangan sekitar 7,3 juta alamat email pelanggan dari sistem yang juga dikelola pihak lain.

D2. Kenapa ini mahal

Laporan IBM Cost of a Data Breach 2026 memberi angka pada pola ini. Kebocoran lewat mitra bisnis dan rantai pasok adalah faktor yang paling menambah biaya, rata-rata 227 ribu dolar AS di atas rata-rata kebocoran biasa. Kebocoran seperti ini juga paling lama ditemukan: rata-rata butuh 258 hari untuk ditemukan dan ditahan, karena terjadi di infrastruktur milik orang lain.

Satu lapisan baru sedang terbentuk. Survei h2c menemukan 60 persen pemakaian AI sehari-hari di jaringan hotel dilakukan lewat alat eksternal. Setiap alat AI itu, kalau dimasukkan data tamu, sebenarnya adalah vendor baru yang ikut memegang data.

D3. Tanggung jawab yang tidak bisa dialihkan

Dalam bahasa Undang-Undang Pelindungan Data Pribadi, hotel adalah pengendali data, yaitu pihak yang memutuskan data apa yang dikumpulkan dan untuk apa. Vendor sistem, penyedia cloud, dan penyedia alat AI adalah prosesor data, yang mengolah data atas nama hotel.

Perumpamaannya begini: hotel adalah pemilik rumah makan yang menentukan menu, vendor adalah pemasok dan juru masak di dapurnya. Kalau tamu keracunan, tamu tidak menuntut pemasok bahan. Ia menuntut rumah makannya. Hotel tetap bertanggung jawab atas data tamunya, meskipun data itu disimpan dan diolah vendor.

D4. Data yang bocor sebelum tamu tiba

Ada satu pelajaran yang jarang dibicarakan. Malaysia dan Australia termasuk negara asal wisman terbesar Indonesia. Ketika data pelanggan sebuah maskapai Australia bocor, sebagian di antaranya kemungkinan adalah orang yang sedang merencanakan liburan ke Indonesia.

Artinya, penipu bisa mengirim pesan “atas nama hotel Anda” kepada tamu yang datanya tidak pernah bocor dari hotel Anda sama sekali. Tamu itu tertipu, dan di kepalanya, yang mengecewakan adalah hotel Anda dan destinasi Anda.

Data curian juga tidak cepat kedaluwarsa. Pakar forensik digital Ruby Alamsyah menjelaskan bahwa data yang bocor biasanya dijual mahal saat masih baru, lalu dijual ulang terus-menerus sampai akhirnya tersedia gratis. Data tamu yang bocor tiga tahun lalu bisa dipakai untuk menipu tahun depan.

Karena itu, pertanyaan yang lebih tepat bagi setiap pelaku pariwisata bukan lagi “bagaimana mencegah semua kebocoran?”, melainkan “bagaimana tamu kita bisa memastikan bahwa pesan yang mereka terima benar dari kita?”

D5. Yang bisa dilakukan

D6. Latihan keputusan

BAGIAN E · OUTLOOK 2027

Tujuh Hal yang Akan
Kita Lihat pada 2027

Pembacaan arah kepercayaan digital pada industri pariwisata.

Gambar dibuat AI

Kementerian Pariwisata memetakan empat skenario pariwisata Indonesia untuk 2027: akseleratif, adaptif, terjaga, dan rentan. Saat ini Indonesia dinilai berada di skenario adaptif, yaitu tetap tumbuh di tengah tekanan dari luar. Tujuh prediksi berikut adalah hal-hal yang, kalau tidak diantisipasi, bisa ikut mendorong sebuah destinasi bergeser ke arah rentan. Sebaliknya, kesiapan menghadapinya bisa menjadi pembeda destinasi yang melaju.

Kami menyampaikan  mana prediksi yang buktinya kuat dan mana yang lebih spekulatif. Di setiap prediksi ada tanda-tanda yang bisa diamati, supaya pada akhir 2027 kita bisa memeriksanya bersama.

E1. Satu kabar baik: AI juga menjadi penolong

Setelah tujuh prediksi tentang ancaman, ada satu hal yang perlu dikatakan dengan sama jelasnya. AI tidak hanya menjadi alat penipu.

Laporan IBM 2026 menemukan organisasi yang memakai AI dan otomatisasi secara luas dalam pengamanannya mencatat biaya kebocoran rata-rata 4 juta dolar AS, jauh di bawah 5,93 juta dolar AS pada organisasi yang tidak memakainya. Mereka juga menemukan dan menahan kebocoran 65 hari lebih cepat.

Di luar pengamanan, AI membantu pelaku pariwisata melayani tamu dalam banyak bahasa, membantu wisatawan menemukan destinasi yang belum banyak dikenal, dan meringankan pekerjaan staf yang berulang. MaiA dari Kementerian Pariwisata adalah salah satu contohnya.

Apa yang berubah pada 16 Januari 2027? Peraturan Pemerintah Nomor 33 Tahun 2026 tentang pelaksanaan Undang-Undang Pelindungan Data Pribadi mulai berlaku. Peraturan ini ditetapkan pada 16 Juli 2026, dengan masa persiapan enam bulan. Kalau undang-undangnya adalah rambu lalu lintas, PP ini adalah petunjuk teknis tentang cara rambu itu dijalankan, termasuk sanksinya.

Berarti UU PDP baru berlaku 2027? Tidak. UU Nomor 27 Tahun 2022 sudah berlaku penuh sejak Oktober 2024. Yang mulai berjalan pada 2027 adalah petunjuk teknisnya. Sebagian besar kewajiban sebenarnya sudah ada sejak undang-undang itu berlaku.

Siapa yang harus patuh? Setiap pihak yang memutuskan data apa yang dikumpulkan dan untuk apa. Dalam bahasa undang-undang, mereka disebut pengendali data. Di sektor pariwisata, itu termasuk hotel, villa, homestay, agen perjalanan, pengelola atraksi, penyelenggara event, dan juga Dinas Pariwisata yang mengelola data pendaftaran.

Apakah hotel harus meminta persetujuan tamu untuk menyimpan salinan paspor? Untuk tamu asing, dasarnya bukan persetujuan, melainkan kewajiban hukum. Pasal 72 UU Keimigrasian mewajibkan penginapan melaporkan tamu asing kepada Imigrasi, yang kini dilakukan lewat aplikasi APOA. Tetapi ada yang sering keliru dipahami: wajib melapor tidak sama dengan wajib menyimpan salinan paspor selamanya. Setelah pelaporan selesai, pertanyaannya adalah apakah salinan itu masih diperlukan, untuk apa, dan sampai kapan.

Bagaimana dengan KTP tamu domestik? Praktik memfotokopi atau memfoto KTP saat check-in sangat umum. UU PDP meminta data yang dikumpulkan dibatasi pada yang benar-benar diperlukan. Apakah memastikan identitas tamu cukup dengan melihat KTP-nya, atau benar-benar perlu menyimpan salinannya? Kalau disimpan, siapa yang bisa mengaksesnya, dan kapan dihapus?

Apa yang wajib dilakukan kalau data bocor? Pasal 46 UU PDP mewajibkan pemberitahuan tertulis kepada pemilik data dan otoritas paling lambat 3 x 24 jam, atau 72 jam. Isinya setidaknya data apa yang terungkap, kapan dan bagaimana terjadinya, serta upaya penanganannya. Tiga hari terdengar lama, tetapi rata-rata organisasi baru menemukan kebocoran setelah berbulan-bulan. Kewajiban ini hanya bisa dipenuhi oleh usaha yang tahu dirinya kebobolan.

Apa sanksinya? Sanksi administratifnya berupa peringatan tertulis, penghentian sementara kegiatan pemrosesan data, penghapusan atau pemusnahan data, dan denda administratif hingga 2 persen dari pendapatan tahunan menurut Pasal 185 PP 33/2026. Bagi hotel, penghentian sementara pemrosesan data bisa lebih menakutkan daripada denda, karena artinya hotel praktis tidak bisa menerima pemesanan.

Lembaga pengawasnya belum ada. Bukankah lebih aman menunggu? Pasal 223 PP 33/2026 menegaskan bahwa pemrosesan data tetap harus dilakukan sesuai peraturan ini, sambil menunggu aturan dari lembaga pengawas.

Ada juga alasan praktis untuk tidak menunggu: INTERPOL mencatat pelaku ransomware mulai mengancam korbannya dengan “kami laporkan Anda ke regulator”. Usaha yang belum siap justru menjadi sasaran paling empuk.

Bagaimana kalau data tamu disimpan vendor? Hotel tetap bertanggung jawab sebagai pengendali, meskipun datanya diolah vendor sistem, penyedia cloud, atau alat AI. Karena itu perlu kesepakatan tertulis dengan vendor tentang data apa yang mereka akses, bagaimana dijaga, dan apa yang terjadi kalau mereka kebobolan.

Bagaimana kalau datanya disimpan di luar negeri? Banyak data tamu Indonesia diolah lewat aplikasi pemesanan global atau layanan cloud di negara lain. PP 33/2026 mengatur transfer data lintas negara secara lebih ketat: transfer harus didasarkan pada perlindungan yang memadai dan mengikat, dan persetujuan pemilik data bukan jalan pintas pertama. Langkah awalnya sederhana: ketahui dulu data tamu Anda disimpan di layanan apa saja.

Apa yang perlu disiapkan hotel besar dan grup hotel? Tiga hal pokok. Pejabat pelindungan data pribadi, yaitu orang yang ditunjuk mengawasi kepatuhan. Catatan aktivitas pemrosesan, yaitu daftar tertulis tentang data yang dikumpulkan, tujuannya, tempat penyimpanannya, dan pihak yang menerimanya. Penilaian dampak, yaitu kajian risiko sebelum memulai pemrosesan data yang berisiko tinggi, misalnya memasang chatbot yang mengakses data tamu.

Apakah usaha kecil harus membeli sistem yang mahal? Tidak. Pengamat keamanan siber Pratama Persadha menilai PP 33/2026 tidak semestinya diterjemahkan sebagai kewajiban membangun infrastruktur keamanan yang mahal, melainkan sebagai kewajiban memastikan data diproses secara sah, terbatas, transparan, aman, dan dapat dipertanggungjawabkan. Langkah awal yang ia sarankan adalah menginventarisasi data yang dikelola, yang tidak lain adalah Langkah 0 di bagian Playbook.

Di negara tetangga

BAGIAN G · PLAYBOOK

Mulai dari Satu Rapat

Langkah 0 dan rencana 100 hari pertama 2027, untuk setiap pemangku kepentingan pariwisata.

Gambar dibuat AI

G1. Hitung dulu: biaya bersiap dan dampak satu insiden

Pencegahan ada biayanya: waktu untuk memperbarui informasi, pelatihan, pengamanan akun, pemeriksaan transaksi, dan pemeliharaan cara verifikasi. Biaya itu terlihat sebelum ada masalah. Biaya insiden sering datang sekaligus, justru saat usaha tetap harus melayani tamu dan membayar operasional.

Kembali ke ilustrasi penginapan di bagian Ketika kerugian masuk ke arus kas. Misalkan usaha itu menganggarkan Rp3 juta untuk penataan awal, pelatihan, dan waktu staf, ditambah Rp250 ribu per bulan untuk pemeriksaan dan pemeliharaan. Total tahun pertama Rp6 juta. Angka ini asumsi untuk latihan, bukan harga produk atau anggaran baku.

Dalam ilustrasi itu, anggaran pencegahan Rp6 juta lebih kecil daripada dampak satu insiden sebesar Rp17 juta. Perbandingan ini menunjukkan kenapa pencegahan layak dipertimbangkan, tetapi belum membuktikan manfaatnya di setiap usaha. Tidak semua usaha akan mengalami insiden, dan tidak semua insiden bisa dicegah.

Untuk mengambil keputusan, bandingkan biaya pencegahan setahun dengan perkiraan berapa kerugian tahunan yang bisa ditekan. Perkiraan itu bergantung pada seberapa mungkin insiden terjadi, seberapa besar dampaknya, dan seberapa efektif langkah pencegahannya. Kalau datanya belum cukup, pakai beberapa skenario dan tuliskan asumsinya.

Mulailah dari celah yang paling dekat dengan perpindahan uang dan data. Bagi pemerintah daerah, hitung juga manfaat rujukan bersama yang bisa dipakai banyak usaha sekaligus, beserta biaya menjaga informasinya tetap benar. Kerusakan reputasi bisa memperpanjang dampak setelah layanan pulih: staf masih menjawab keraguan, calon tamu menunda pemesanan. Dampak ini perlu dipantau, tetapi tidak perlu diberi angka tanpa dasar.

G2. Langkah 0: petakan dulu, baru jaga

Setiap hotel yang baik melakukan stock opname: menghitung ulang isi gudang, botol di bar, dan kunci cadangan di laci resepsionis. Bukan karena curiga, tetapi karena barang yang tidak tercatat adalah barang yang paling mudah hilang tanpa ketahuan.

Kepercayaan digital bekerja dengan prinsip yang sama. Kita tidak bisa menjaga sesuatu yang tidak kita ketahui keberadaannya. Karena itu, langkah pertama bukan membeli teknologi, tetapi satu rapat untuk memetakan sepuluh aset kritis berikut.

Baris terakhir sengaja dibiarkan dengan tanda tanya. Di banyak hotel, alat AI dipakai setiap hari, tetapi belum ada yang ditunjuk bertanggung jawab. Kalau kolom itu kosong di tabel Anda, itulah temuan paling berharga dari Langkah 0: aset tanpa pemilik adalah aset yang tidak dijaga siapa pun.

Untuk setiap aset, ajukan empat pertanyaan:

1. Di mana saja aset ini berada? Jangan berhenti di jawaban pertama. Tanyakan, “Selain itu, di mana lagi?”

2. Siapa pemiliknya? Satu nama, bukan “semua orang”.

3. Apa akibatnya kalau aset ini bocor, ditiru, atau berhenti?

4. Di anak tangga mana posisinya sekarang?

Kejujuran lebih penting daripada nilai yang bagus. Peta yang menunjukkan semua aset sudah aman biasanya bukan peta yang jujur.

G3. 100 hari pertama 2027

Seratus hari pertama 2027 berlangsung dari 1 Januari sampai 10 April. Di dalamnya ada satu tanggal yang mengubah banyak hal: hari ke-16, 16 Januari, saat PP 33/2026 mulai berlaku.

G4. Lima ukuran di hari ke-100

Kalau baru dua atau tiga yang tercapai, itu tetap kemajuan. Yang penting adalah tahu di mana kita berdiri, dan tahu langkah berikutnya.

G5. Uji dari kursi wisatawan

Pada hari ke-100, minta satu orang yang belum mengenal usaha Anda mencoba menemukan kanal resmi, memeriksa tujuan pembayaran, dan memastikan konfirmasi pesanan, tanpa dibantu staf. Pakai transaksi uji tanpa data pribadi yang nyata.

Catat apakah ia berhasil, berapa lama waktunya, informasi mana yang membingungkan, dan siapa yang memperbaikinya. Uji juga contoh kanal lama atau informasi yang sudah dicabut: apakah statusnya bisa diketahui?

Untuk pemerintah daerah dan asosiasi, ulangi uji ini pada beberapa usaha di kawasan percontohan. Ukur keberhasilan dari sisi wisatawan, bukan hanya dari jumlah usaha yang masuk daftar. Setelah simulasi penipuan, minta peserta menjelaskan tindakan pertamanya dan jalur pemeriksaan yang ia pakai.

Gambar dibuat AI

PENUTUP

Kembali ke Sarah

Gambar dibuat AI

Bayangkan cerita Sarah dengan sedikit perbedaan.

Villa itu punya satu halaman di situs resminya yang mencantumkan nomor WhatsApp dan rekening yang sah, dan halaman itu juga tercantum di daftar usaha terdaftar milik asosiasi daerah. Pemiliknya memeriksa profil Google Bisnisnya setiap minggu, dan suatu pagi ia menyadari nomor teleponnya sudah diganti orang lain. Ia segera memperbaikinya. Di setiap konfirmasi pemesanan, villa itu menulis satu kalimat: “Kami tidak pernah meminta pembayaran lewat nomor baru.”

Mungkin Sarah tetap menemukan nomor palsu itu. Tetapi kali ini ia punya tempat untuk memeriksa. Dan mungkin malam itu, ia dan suaminya tidur nyenyak di kamar yang menghadap sawah, seperti yang mereka rencanakan sejak awal tahun.

Tidak satu pun dari langkah itu membutuhkan teknologi mahal.

Wisatawan tidak hanya membeli kamar, pemandangan, atau paket tur. Mereka juga membeli rasa aman. Di era ketika hampir setiap perjalanan dimulai dari layar, rasa aman digital sudah menjadi bagian dari produk pariwisata itu sendiri. IBM bahkan mengukur pemulihan sebuah organisasi setelah kebocoran data bukan dari sistemnya yang menyala lagi, tetapi dari kepercayaan pelanggannya yang kembali.

Persoalan ini pada akhirnya adalah persoalan orang. IBM mencatat pelatihan karyawan termasuk faktor yang terbukti menekan biaya kebocoran data, dan survei h2c menemukan kesenjangan keterampilan sebagai hambatan terbesar pemakaian AI di jaringan hotel. Setelah Langkah 0, investasi berikutnya yang paling berdampak sering kali bukan teknologi, melainkan kemampuan orang-orangnya: pimpinan yang tahu cara menuntut bukti, Dinas dan asosiasi yang tahu cara membangun kanal resmi yang bisa diperiksa, staf yang terbiasa memverifikasi, dan pemilik villa yang tahu cara memakai AI tanpa membocorkan data tamu.

Outlook ini akan terbit setiap tahun. Karena belum ada pencatatan insiden digital yang khusus untuk sektor pariwisata Indonesia, kami mengundang pelaku usaha, pemerintah daerah, dan asosiasi untuk berbagi pengalaman secara anonim. Dari kumpulan pengalaman itulah sektor ini bisa memiliki data pertamanya sendiri.

Pariwisata Indonesia dibangun di atas keramahan. Di dunia digital, keramahan saja tidak cukup, karena justru keramahan itulah yang paling sering dimanfaatkan penipu. Tahun 2027 adalah saat yang tepat untuk membangun keramahan yang bisa dipercaya: dari percaya karena kenal, menjadi percaya karena bisa diperiksa.

Laporan utama. Kementerian Pariwisata, Indonesia Tourism Outlook 2026/2027. IBM dan Ponemon Institute, Cost of a Data Breach Report 2026. University of West London, Cyber Risk Resilience Quarterly Q2 2026. INTERPOL, Asia and South Pacific Cyber Threat Assessment 2025/2026. Google, Temasek, dan Bain, e-Conomy SEA 2026. h2c, Hotel Chain Tech Report 2026. Gartner, siaran pers 22 September 2026. GSMA, laporan kepercayaan digital Asia Tenggara, September 2026.

Regulasi. UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. PP Nomor 33 Tahun 2026. UU Nomor 6 Tahun 2011 tentang Keimigrasian, Pasal 72. Ringkasan PP 33/2026 dari RSM Indonesia, Veritask, dan SIP Law Firm. Personal Data Protection (Amendment) Act 2024, Malaysia. Dekret 356/2025/ND-CP, Vietnam.

Kasus dan data Indonesia. PHRI melalui Bisnis.com (Agustus 2024). PHRI DIY melalui detikJogja (Januari 2025). ASITA NTT dan Disparekraf NTT melalui Antara dan detikBali (2022–2026). Indonesia Anti-Scam Centre melalui JPNN dan Kontan (2026). BPS melalui Antara (Oktober 2026). Pusat Data Nasional melalui Metro TV, Liputan6, dan Investortrust (2024). MotoGP Mandalika melalui detikBali (Oktober 2025). Pratama Persadha melalui Antara (September 2026). Ruby Alamsyah melalui JawaPos (Mei 2026). Data MICE melalui RRI dan Kontan (2026).

Kasus ASEAN dan global. Cybernews (RoomScope, Juni 2026). Microsoft melalui The Record dan Cybernews (Juli 2026). Polisi Federal Australia melalui BleepingComputer (2024). Have I Been Pwned (Vietnam Airlines, 2025). Pemberitaan internasional tentang Qantas, MGM, Carnival, dan Shangri-La Hong Kong. Smartraveller (Arrival Card).

Penyamaran dan agen AI. FBI Internet Crime Complaint Center, Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud, 3 Desember 2024. Canadian Anti-Fraud Centre dan Canadian Centre for Cyber Security, peringatan bersama tentang peniruan tokoh publik, 23 Juni 2025. Anthropic, Disrupting the first reported AI orchestrated cyber espionage campaign, November 2025.

Kerangka. Cyber Trust Maturity Framework™ (CTMF™), PT Baliola Adi Maha Duta.

Panduan Mengutip dan Menggunakan Laporan Ini

Informasi Dokumen

Tanggapan dan pertanyaan tentang dokumen ini sangat kami hargai dan dapat dikirim ke:

PT. Baliola Adi Maha Duta

Jln. Raya Kerobokan No. 777, Kuta Utara, Kabupaten Badung, Bali

Telepon: +62 815-7453-6210
Email: outlook@baliola.io
Web: www.baliola.io