Zero-Day, AI & Bank Digital: Pengajaran Dari Apple & Google

Zero-day, bank digital dan kilang pintar: bila satu lubang kecil boleh runtuhkan semuanya

Dalam beberapa hari saja, Apple dan Google terpaksa keluarkan kemas kini keselamatan kecemasan kerana serangan zero-day yang sedang aktif mengeksploit kelemahan pada iOS, iPadOS dan Chrome. Bukan ujian makmal, ini serangan sebenar.

Situasi macam ni sepatutnya buat bank, syarikat insurans, fintech – dan juga pemain pembuatan E&E, automotif dan semikonduktor – rasa kurang selesa. Kalau dua gergasi teknologi yang ada ribuan jurutera keselamatan pun boleh terpaksa berkejar-kejar tampal kelemahan, apa cerita organisasi lain yang bergantung pada sistem lama, core banking monolitik, atau kilang yang baru nak jadi smart factory?

Artikel ini tengok kes Apple–Google ini sebagai cermin:

• apa sebenarnya maksud serangan zero-day,
• kenapa kemas kini kecemasan bukan strategi, cuma reaksi,
• bagaimana AI dalam keselamatan siber dan pencegahan penipuan patut jadi lapisan pertahanan utama bank dan pengeluar,
• dan apa langkah praktikal yang pengurus risiko, CTO, CISO dan pengarah kilang di Malaysia boleh buat dalam 6–12 bulan.

Apa itu serangan zero-day dan kenapa bank patut lebih panik daripada pengguna iPhone

Serangan zero-day ialah eksploit ke atas kelemahan yang belum diketahui umum dan belum ada tampalan (patch). Penyerang ada kelebihan masa (time advantage), pembela masih buta.

Dalam kes terkini:

• Apple keluarkan tampalan untuk semua peranti utama – iPhone, iPad, Mac, mungkin juga Apple Watch dan Apple TV.
• Google kemas kini Chrome untuk tampal satu kelemahan yang sudah dieksploit.

Maknanya apa?

1. Eksploit sudah digunakan di dunia sebenar. Biasanya oleh aktor canggih: kumpulan pengintip (spyware), APT, atau syndicate jenayah siber yang sasar individu bernilai tinggi – eksekutif, diplomat, atau pegawai kewangan.
2. Rantaian serangan (kill chain) biasanya panjang. Zero-day pada pelayar atau OS selalunya cuma pintu masuk. Dari situ, penyerang cuba:
   • curi kelayakan login,
   • pasang spyware,
   • atau bergerak ke rangkaian korporat bila peranti disambung ke VPN syarikat.

Untuk bank, insurans, fintech dan juga pengeluar semikonduktor yang ada jurutera dan pengurus guna peranti peribadi untuk akses sistem, zero-day macam ni bukan isu teknikal semata-mata. Ia isu:

• kerahsiaan data pelanggan,
• integriti transaksi,
• kesinambungan operasi kilang dan pusat data.

Ringkasnya: kalau anda urus wang atau operasi kilang bernilai jutaan ringgit, anda tak boleh harap patch manual semata-mata lagi.

Realiti pahit: tampalan kecemasan lambat, manusia leka

Apple dan Google boleh keluarkan patch dalam masa singkat. Masalah sebenar bermula selepas itu: adoption.

Dalam organisasi sebenar, saya selalu nampak beberapa pola yang berulang:

• Admin tangguh kemas kini sebab takut rosakkan aplikasi lama atau sistem OT di kilang.
• Pengguna tak tekan butang “Update now” sebab “bateri rendah” atau “tengah sibuk meeting”.
• Peranti BYOD (Bring Your Own Device) langsung tak dipantau tahap patch-nya.

Bila digabung dengan zero-day, senarionya jadi begini:

Hari 1–3: Eksploit aktif, belum ada patch.

Hari 4–10: Patch sudah ada, tapi sebahagian besar peranti korporat belum dikemas kini.

Dalam jurang masa inilah penyerang sangat selesa. Mereka tahu:

• organisasi besar sukar kemas kini ribuan peranti serentak,
• ada sistem OT dan mesin pengeluaran yang tak boleh down lama,
• ada vendor dan kontraktor dengan kawalan keselamatan lebih lemah.

Kalau bank atau kilang hanya bergantung pada tampalan berkala, mereka sentiasa main catch up. Ini sebab utama kenapa lapisan pertahanan berasaskan AI dah jadi keperluan, bukan lagi “nice to have”.

Di mana AI masuk: daripada patch kecemasan kepada pertahanan berlapis

AI tak boleh “patch” zero-day. Tapi AI boleh buat sesuatu yang manusia memang susah:

• analisis corak trafik dan aktiviti pada skala besar,
• kesan kelakuan luar biasa dalam masa hampir nyata,
• dan bertindak automatik walaupun eksploit sebenar belum difahami.

Dalam konteks bank digital dan kilang pintar, ada tiga lapisan utama di mana AI keselamatan memberi impak besar.

1. Pengesanan ancaman rangkaian dan endpoint

Sistem AI-driven threat detection di rangkaian dan endpoint boleh:

• belajar corak normal pengguna dan mesin (profil tingkah laku),
• kesan anomali seperti:
  • pelayan mesin SMT di kilang cuba akses database HR,
  • workstation jurutera tiba-tiba memuat naik data besar ke destinasi luar biasa,
  • sesi VPN staf bank aktif pada 3.00 pagi dari dua lokasi berbeza.

Bila digabung dengan maklumat daripada kumpulan seperti Google Threat Analysis Group (TAG) atau feed intel lain, model AI boleh:

• beri skor risiko pada aktiviti,
• automasi respon: kuarantin peranti, blok sambungan, paksa re-auth.

Ini sangat penting semasa “tingkap zero-day” – walaupun eksploit belum difahami, tingkah laku selepas berjaya ditembusi selalunya masih boleh dikesan.

2. Pencegahan penipuan dan anomali transaksi

Zero-day pada peranti pelanggan atau staf boleh menjadi pintu masuk kepada:

• takeover akaun,
• transaksi tidak sah,
• atau perubahan butiran penerima (payee) di belakang tabir.

Sistem pengesanan penipuan berasaskan AI dalam perbankan dan insurans biasanya:

• analisis ratusan ciri: lokasi, peranti, corak masa, jenis transaksi,
• bandingkan dengan sejarah pelanggan dan kumpulan serupa,
• beri skor risiko dalam milisaat.

Bagi fintech dan bank yang aktif di Malaysia, saya biasa syorkan strategi berikut:

1. Pisahkan skor risiko pelanggan & peranti.
   • Pelanggan mungkin “biasa”, tapi peranti tiba-tiba berkelakuan seperti emulator atau remote-access tool.
2. Gandingkan dengan data keselamatan OS/pelayar.
   • Contoh: peranti yang belum kemas kini iOS/Chrome dalam X hari diberi skor risiko lebih tinggi.
3. Tindakan adaptif.
   • Untuk skor sederhana: minta pengesahan tambahan (OTP, biometrik).
   • Untuk skor tinggi: blok transaksi dan hantarkan notifikasi proaktif.

Dengan cara ini, walaupun zero-day menembusi peranti, peluang penyerang untuk mengalirkan dana tetap rendah kerana lapisan AI di bahagian transaksi.

3. Pemantauan pematuhan dan keselamatan operasi kilang

Untuk pembuatan elektronik, automotif dan semikonduktor, risiko zero-day bukan sekadar data bocor. Ia boleh:

• ganggu sistem MES, SCADA, PLC,
• hentikan line pengeluaran,
• atau ubah resepi proses (process recipe) yang kritikal.

AI boleh bantu di sini dengan:

• AI log analytics pada sistem OT dan IT – kesan corak akses pelik ke controller mesin,
• model anomali untuk parameter proses – contohnya suhu furnance tiba-tiba berubah mengikut corak yang tak selari dengan jadual biasa,
• pemetaan aset pintar – AI “mengenali” peranti baru yang muncul di rangkaian kilang dan beri amaran jika profilnya mencurigakan.

Bila anda gabungkan ini dengan keperluan pematuhan seperti RMiT (untuk institusi kewangan) atau standard keselamatan industri, anda dapat satu rangka kerja di mana AI bukan sahaja lindungi, tapi juga:

• rekod bukti pematuhan secara automatik,
• mudahkan audit dalaman dan luaran.

Dari Apple & Google ke bank dan kilang di Malaysia: 5 langkah praktikal 12 bulan

Kisah patch kecemasan Apple dan Google ni sebenarnya pelajaran percuma. Organisasi kewangan dan pengeluar di Malaysia boleh guna momentum ini untuk mengemas kini strategi keselamatan mereka di sekitar AI.

Berikut rangka tindakan yang praktikal.

1. Klasifikasikan aset mengikut impak perniagaan, bukan teknologi

Kebanyakan organisasi masih klasifikasikan aset ikut jenis: server, database, aplikasi. Lebih berguna kalau anda tanya:

• “Kalau sistem ini terganggu 24 jam, berapa kerugian kewangan?”
• “Kalau data ini bocor, apa impak reputasi dan pematuhan?”

Dari sini, tetapkan:

• zon “kritikal misi” untuk sistem pembayaran, core banking, sistem pengeluaran utama,
• tahap pemantauan dan automasi AI yang paling ketat untuk zon ini,
• keperluan patch dan rollback plan yang jelas.

2. Wujudkan ‘risk fabric’ AI merentas IT, OT dan perbankan

Jangan biarkan AI hanya wujud dalam silo – satu di SOC, satu di pasukan fraud, satu di kilang.

Rangka yang lebih matang:

• satu platform analitik risiko berpusat (tak semestinya satu alat, tapi satu lapisan integrasi),
• sambungkan sumber:
  • log rangkaian dan endpoint,
  • data transaksi dan pencegahan penipuan,
  • log sistem OT / smart factory.

Bila AI nampak gambaran merentas semua ini, ia boleh kesan corak serangan rentas domain – contohnya kompromi akaun jurutera kilang yang juga pemilik kelulusan kewangan untuk vendor tertentu.

3. Gunakan AI untuk “patch gap monitoring”

Zero-day atau tidak, sentiasa akan ada jurang patch.

Gunakan AI untuk:

• menggabungkan inventori aset dengan status patch sebenar,
• ramal risiko berdasarkan:
  • pendedahan ke internet,
  • sensitiviti data,
  • dan tingkah laku trafik.

Kemudian:

• susun prioriti patch berdasarkan risiko, bukan hanya tarikh keluaran vendor,
• automasi tindakan: contohnya, peranti yang terlalu lama tidak dikemas kini diasingkan ke VLAN khas atau dihadkan akses.

4. Latih model AI dengan data insiden sebenar organisasi sendiri

Model generik bagus untuk permulaan, tapi konteks tempatan dan corak perniagaan anda jauh lebih berharga.

Apa yang berkesan:

• guna data insiden dalaman 12–24 bulan (dengan masking yang sesuai),
• latih atau fine-tune model untuk:
  • corak serangan sasaran ke atas sistem tertentu,
  • taktik penipuan yang biasa di pasaran Malaysia (contoh penipuan e-Wallet, mule account),
  • corak operasi unik kilang anda.

Hasilnya: kurang false positive, respons lebih laju, dan pasukan operasi lebih percaya kepada cadangan AI.

5. Ukur kejayaan dengan metrik perniagaan, bukan kiraan alert

Banyak projek AI keselamatan gagal bukan kerana teknikal, tapi kerana KPI yang salah.

Antara metrik yang lebih bermakna:

• masa purata daripada “indikasi kompromi” ke tindakan (MTTR) – sebelum dan selepas AI diaktifkan,
• nilai transaksi penipuan yang berjaya disekat per suku tahun,
• jam henti pengeluaran (downtime) yang dapat dielakkan akibat pengesanan awal,
• penurunan insiden pematuhan (audit finding) berkaitan kawalan keselamatan.

Bila pengurusan nampak nombor dalam RM dan jam operasi – bukan sekadar “model tepat 97%” – pelaburan AI keselamatan lebih mudah dipertahankan.

Ke arah ekosistem kewangan dan pembuatan yang “self-defending”

Apple dan Google baru sahaja memberi satu lagi peringatan: ancaman sentiasa bergerak dulu, pertahanan sentiasa mengejar. Dalam dunia bank digital, insurans dalam talian dan kilang pintar berasaskan IoT, jurang masa beberapa hari antara zero-day ditemui dan patch dipasang sudah cukup untuk mencetuskan krisis.

Ada jalan yang lebih sihat:

• anggap patch sebagai tindakan pembetulan,
• jadikan AI keselamatan, pengesanan penipuan dan pemantauan OT pintar sebagai tindakan pencegahan dan pengesanan awal.

Bagi organisasi kewangan dan pengeluar di Malaysia yang sedang rancak dengan agenda transformasi digital, soalan sebenar bukan lagi “patut guna AI atau tidak?”, tetapi:

Di mana AI boleh diberi mandat untuk membuat keputusan keselamatan secara automatik – tanpa tunggu manusia – supaya satu lagi zero-day tidak bertukar menjadi hari malang dalam kalendar kewangan dan jadual pengeluaran anda?

Kalau strategi keselamatan anda sekarang masih bergantung utama pada patch berkala dan latihan kesedaran pengguna, inilah masanya untuk semak semula pelan 2026 dan pastikan AI berada di tengah-tengah pelan pertahanan, bukan di tepi.