CEO Osnova Cyber Innovation mengingatkan bahwa setiap lompatan teknologi pariwisata ikut membuka celah serangan siber. Ia mengajak pelaku usaha, pemerintah daerah, kampus, dan regulator membangun pertahanan berlapis.

JAKARTA. Pariwisata digital hanya dapat berkelanjutan jika wisatawan mempercayainya. Pesan itu disampaikan Dr. Sofian Lusa., CEO dan Co-FounderPT Osnova Cyber Innovation, dalam The 2nd International Conference on Community Service (ICCS) 2026, Senin (28/9/2026).

Konferensi daring ini digelar Institut Pariwisata Trisakti dalam rangkaian World Tourism Day 2026. Sofian tampil sebagai invited speaker dengan materi Cybersecurity and AI for Sustainable Digital Tourism.

Setiap Lompatan Membuka Celah Baru

Sofian membuka paparan dengan evolusi pariwisata dari Tourism 1.0 hingga Tourism 5.0. Era agen perjalanan dan brosur menghadapi pemalsuan dokumen. Era situs web membawa pencurian data kartu. Era aplikasi memunculkan akun dan ulasan palsu. Era AI kini menghadirkan deepfake dan phishing berbasis AI. “Setiap lompatan menambah titik sentuh digital. Setiap titik sentuh adalah jalan masuk baru,” ujarnya.

Menurut Sofian, isu ini mendesak karena skala pariwisata Indonesia terus tumbuh. BPS mencatat 15,39 juta kunjungan wisatawan mancanegara pada 2025, hampir menyamai capaian 2019. Perjalanan wisatawan nusantara mencapai sekitar 1,2 miliar. Pada saat yang sama, Booking.com melaporkan penipuan perjalanan melonjak 500 hingga 900 persen setelah generative AI dipakai luas. “Skala adalah kekuatan kita. Skala itu pula yang membuat kita rentan,” katanya.

Tiga Kasus, Satu Pola

Sofian lalu mengurai tiga kasus nyata. Serangan terhadap MGM Resorts pada 2023 berawal dari satu panggilan telepon ke IT help desk. Dampaknya sekitar US$100 juta. Serangan ransomware terhadap Pusat Data Nasional Sementara (PDNS) pada Juni 2024 mengganggu 282 layanan pemerintah. Pemeriksaan imigrasi di bandara sempat kembali manual. Pada Agustus 2024, penipu mengubah nomor WhatsApp dan rekening pada akun Google Business ratusan hotel. Di Jawa Tengah saja, 156 hotel terdampak.

“Penyerang jarang perlu membobol teknologinya. Mereka masuk lewat manusia, mitra, dan platform,” tutur Sofian.

Melindungi Data Wisatawan Kini Kewajiban Hukum

Satu perjalanan meninggalkan jejak data yang panjang. Jejak itu mencakup riwayat pencarian, nomor paspor, biometrik e‑gate, hingga ulasan. Sofian mengingatkan bahwa UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi berlaku penuh sejak 17 Oktober 2024. Pengendali data wajib menyampaikan pemberitahuan tertulis paling lambat 3 × 24 jam jika pelindungan data gagal. Denda administratif dapat mencapai 2 persen dari pendapatan tahunan.

“Kepercayaan adalah infrastruktur berikutnya bagi pariwisata Indonesia.”

Tugas Boleh Diserahkan, Tanggung Jawab Tidak

Soal AI, Sofian memegang satu prinsip. Makin besar dampak sebuah keputusan bagi wisatawan, makin kecil otonomi yang layak diberikan kepada AI. AI boleh menangani FAQ dan penerjemahan secara mandiri. Refund, pembatalan, dan profiling harus tetap di bawah kendali manusia. Ia mencontohkan perkara Moffatt v. Air Canada pada 2024. Maskapai itu tetap dinyatakan bertanggung jawab atas jawaban keliru chatbot miliknya.

Pertahanan Berlapis dari Wisatawan hingga Regulator

Sofian menawarkan strategi berlapis yang menempatkan wisatawan di pusat ekosistem. Wisatawan mengaktifkan multi‑factor authentication (MFA) dan memesan lewat kanal resmi. UMKM dan hotel menerapkan MFA, melatih staf, dan menyiapkan SOP notifikasi 72 jam dalam enam bulan. Pemerintah daerah menyiapkan backup layanan dan menjalankan Data Protection Impact Assessment (DPIA) sebelum membeli sistem AI. Kampus membawa literasi keamanan digital ke desa wisata. Regulator dan asosiasi membangun CSIRT sektor pariwisata serta pedoman AI dalam 18 hingga 36 bulan.

Ia menutup paparan dengan satu pertanyaan kepada peserta. “Jika data tamu Anda bocor malam ini, siapa yang Anda beri tahu dalam 72 jam pertama? Jika jawabannya belum jelas, di situlah pekerjaan kita dimulai.”