Sejak Jumat dini hari WIB, atau Kamis siang waktu Amerika Serikat, layanan Microsoft 365 yang bergantung pada Exchange Online tumbang di banyak negara: Outlook, Teams, SharePoint, Copilot, hingga perangkat keamanan Defender dan manajemen perangkat Intune. Lebih dari 12 jam kemudian, hingga Jumat siang WIB, Microsoft belum bisa memulihkannya secara berkelanjutan.
Penyebab yang diakui Microsoft sejauh ini bersifat teknis: sebagian server gagal dalam pemeriksaan kesehatan otomatis, dan proses yang menangani koneksi aman di server-server itu kewalahan. Microsoft menyatakan tidak mengetahui adanya aktivitas jahat yang menyebabkan insiden ini, tetapi kini juga menelusuri penyebab “lonjakan trafik”.
Jawaban singkatnya: bukti yang ada masih condong ke kegagalan internal, bukan serangan. Namun pergeseran pernyataan Microsoft dan rekam jejaknya sendiri memberi alasan untuk menunggu laporan pascainsiden sebelum menutup kemungkinan itu.
Kronologi: pulih sebentar, tumbang lagi
Dalam setengah hari, Microsoft beberapa kali melaporkan server kembali melayani, lalu mengakui server yang sama kembali tak responsif begitu menerima trafik. Semua waktu dalam WIB, Jumat 13 November 2026.
Outage atau serangan? Petunjuknya condong ke kegagalan internal
Empat petunjuk mengarah ke masalah di dalam sistem Microsoft sendiri:
- Trafik awalnya tidak naik. Microsoft semula menyatakan beban tinggi bukan berasal dari lonjakan trafik, melainkan dari banyak server yang tiba-tiba tidak tersedia sehingga sisa infrastruktur menanggung semuanya. Serangan DDoS klasik justru ditandai lonjakan trafik. Petunjuk ini kini melemah, karena Jumat siang Microsoft menyebut sedang menelusuri penyebab “lonjakan trafik”.
- Server tumbang lagi begitu menerima trafik. Server yang sudah dipulihkan berulang kali kembali tak responsif. Pola ini khas cacat perangkat lunak atau konfigurasi.
- Obatnya berupa konfigurasi. Microsoft menghentikan semua deployment, melewati komponen pemeriksa kesehatan lewat perubahan konfigurasi, lalu membangun ulang sebagian server dengan konfigurasi sebelumnya. Ini cara khas menangani kegagalan internal, meski Microsoft mengaku belum menemukan perubahan yang waktunya cocok dengan awal gangguan.
- Pernyataan resmi. Microsoft menyatakan tidak mengetahui adanya aktivitas jahat yang menyebabkan insiden ini, dan CNN mengutip seorang eksekutifnya yang menyatakan ini bukan serangan siber.
Namun ada empat alasan untuk belum menutup kasus. Pertama, gejalanya mirip serangan lapisan aplikasi: proses pembuka koneksi aman yang kewalahan dan beban prosesor tinggi juga bisa dipicu banjir permintaan HTTPS yang volumenya tidak harus besar. Serangan Storm-1359 pada Juni 2023 memakai teknik semacam itu, termasuk HTTP(S) flood dan Slowloris.
Kedua, rekam jejak Microsoft. Pada 2023, gangguan awalnya disebut masalah teknis sebelum diakui sebagai DDoS. Pada Juli 2024, penyebab awalnya disebut “lonjakan penggunaan yang tak terduga”, lalu diakui sebagai DDoS yang justru diperparah kesalahan pada sistem pertahanannya sendiri.
Ketiga, klaim peretas kerap datang belakangan. Pada Maret 2026, kelompok pro-Iran 313 Team mengklaim gangguan Microsoft 365 selama lima jam. Hingga Jumat siang, kami belum menemukan klaim untuk insiden ini. Gangguan juga terjadi dua hari setelah Patch Tuesday November yang menambal 1.094 celah, tetapi Microsoft belum mengaitkan keduanya.
Keempat, pernyataan Microsoft bergeser. Pukul 11.11 WIB, Microsoft menyebut “tidak ada indikasi” aktivitas jahat. Pukul 12.46 WIB, redaksinya menjadi “tidak mengetahui adanya” aktivitas jahat yang menyebabkan insiden. Microsoft juga menyebut sedang menelusuri penyebab “lonjakan trafik”. The Register menilai Microsoft belum sepenuhnya menutup kemungkinan serangan siber.
Penilaian kami: kegagalan internal masih skenario yang paling mungkin, tetapi keyakinan itu menurun. “Lonjakan trafik” bisa berasal dari klien yang terus mencoba tersambung ulang ke server yang tumbang. Pada gangguan November 2024, Microsoft juga menyebut lonjakan permintaan ulang (retry) yang dipicu perubahan di sistemnya. Namun lonjakan itu bisa juga datang dari luar. Penentunya adalah sumber trafik tersebut: jika laporan pascainsiden menyebut trafik anomali dari luar, dugaan serangan menguat.
Serangan atau bukan, insiden ini tetap persoalan keamanan. Defender XDR dan Defender for Office 365 ikut terganggu, termasuk Safe Links yang mungkin tak bisa memverifikasi tautan yang diklik di Outlook dan Teams. Admin juga kehilangan akses ke Intune dan pusat admin Microsoft 365, sementara bank-bank memperingatkan penipu yang memanfaatkan kekacauan ini.
Dampak ke Indonesia: satu pagi kerja hilang
Bagi Indonesia, waktunya paling buruk. Gangguan Outlook mulai terpantau di Downdetector Indonesia pukul 00.38 WIB, dan laporan memuncak pukul 08.30 WIB, tepat saat jam kantor dimulai. Keluhan terbanyak: gagal masuk ke akun, email tidak terkirim, dan Teams tidak bisa tersambung ke rapat. OneDrive dan Word versi web ikut bermasalah.
Tak ada wilayah yang kebal. Microsoft sendiri menyebut masalah konektivitas ini bisa memengaruhi Microsoft 365 di wilayah mana pun, dan AFP mencatat gangguan meluas ke 74 negara dan wilayah dalam sekitar satu jam. Di Singapura, Downdetector mencatat setidaknya 250 laporan gangguan Outlook pada pukul 07.05 waktu setempat. Di Australia, toko kehilangan penjualan berbasis email, pasien kehilangan akses telemedis, dan sekolah jarak jauh diliburkan.
Belum ada angka resmi berapa perusahaan Indonesia yang terdampak. Namun polanya jelas: organisasi yang menyerahkan email, rapat, dokumen, sekaligus keamanan ke satu platform kehilangan semuanya dalam waktu bersamaan, dan tim TI-nya hanya bisa menunggu.
Berapa kerugiannya? Belum ada angka pasti, estimasi awal miliaran dolar
Belum ada angka kerugian yang terverifikasi, baik di sisi pelanggan maupun Microsoft. Estimasi paling awal datang dari Australia, tempat gangguan memakan hampir seluruh hari kerja Jumat. Ashwin Pal dari RSM Australia menaksir kerugian firma jasa profesional seperti kantor hukum dan akuntan lebih dari A$100.000 per jam, dan total kerugian Australia mencapai miliaran dolar, termasuk biaya tidak langsung. Menurut Pal, 3,9 juta bisnis di dunia memakai paket Microsoft, banyak di antaranya tanpa sistem cadangan. Usaha kecil diperkirakan paling terpukul: satu pemilik usaha di Queensland menaksir hari kerja yang hilang merugikannya sedikitnya A$30.000. Di Selandia Baru, pengamat teknologi Paul Spain memperkirakan dampak ekonomi globalnya bisa mencapai miliaran dolar.
Survei biaya downtime memberi gambaran skalanya. Survei ITIC 2024 menemukan lebih dari 90% perusahaan menengah dan besar menilai satu jam downtime merugikan di atas US$300.000 (sekitar Rp5,4 miliar), dan 41% menyebut angka US$1 juta hingga lebih dari US$5 juta. Splunk menaksir perusahaan Global 2000 kehilangan sekitar US$600 miliar per tahun akibat downtime tak terencana, setara US$15.000 per menit.
Namun survei itu mengukur downtime sistem TI secara umum. Gangguan email dan kolaborasi tidak serta-merta menghentikan bisnis: banyak sistem transaksi inti tetap berjalan, dan sebagian kantor di Australia bahkan kembali memakai mesin faks. Karena itu, mengalikan jumlah laporan Downdetector dengan biaya per jam tidak menghasilkan angka yang kredibel. Pembanding yang lebih berguna adalah dua insiden besar yang kerugiannya sudah dihitung:
Dari kerugian CrowdStrike itu, hanya 10–20% yang diperkirakan tertutup asuransi siber. Artinya, kerugian terbesar ditanggung sendiri oleh pelanggan. Microsoft justru relatif aman. Sahamnya ditutup naik 0,36% ke US$523 pada 12 November, ketika gangguan sudah berjalan beberapa jam. Kompensasinya pun terbatas pada kredit SLA yang harus diklaim pelanggan dan dihitung dari biaya lisensi, bukan dari kerugian bisnis. Untuk Microsoft 365 E3 seharga US$39 per pengguna per bulan, kredit 50% hanya sekitar US$19,5 (sekitar Rp350 ribu) per pengguna, berapa pun nilai transaksi yang tertunda.
Dampaknya juga merembet ke luar email. Workhorse Group, produsen truk listrik asal AS, menunda rilis laba kuartal III dari 12 ke 16 November karena operasinya terganggu, dan integrasi Microsoft 365 untuk layanan OpenAI dan Anthropic ikut bermasalah. Untuk Indonesia, belum ada estimasi publik. Perusahaan bisa menaksir paparannya sendiri: jumlah karyawan terdampak × jam kerja yang hilang × biaya per jam per karyawan, ditambah nilai transaksi yang tertunda.
Pola yang berulang: 2026 tahun buruk Microsoft 365
Insiden ini bukan yang pertama tahun ini. Pada kuartal I 2026, ketersediaan Microsoft 365 tercatat 99,526%, angka kuartalan terendah sejak Office 365 for IT Pros mulai mencatatnya pada 2013.
Benang merahnya: gangguan besar yang penyebabnya sudah diumumkan lebih sering berasal dari perubahan internal daripada serangan. Gangguan Azure Front Door pada Oktober 2025 dipicu perubahan konfigurasi bermasalah, dan kekacauan CrowdStrike pada Juli 2024 berasal dari pembaruan perangkat lunak yang cacat. Serangan yang terkonfirmasi justru jarang: Juni 2023 dan Juli 2024.
Masalah yang lebih besar adalah keterikatan. Kalender di Teams, API Microsoft Graph, hingga halaman admin ikut gagal karena semuanya bergantung pada Exchange Online. Dengan lebih dari 450 juta kursi berbayar Microsoft 365, satu komponen yang gagal berarti risiko konsentrasi dalam skala global.
Yang perlu dilakukan dan dipantau
Bagi perusahaan yang masih terdampak, langkahnya praktis:
- Pantau sumber resmi, bukan perangkat sendiri. Masalahnya ada di sisi Microsoft. Pantau Service health di pusat admin (insiden EX1550543 dan MO1550821), atau halaman status publik Microsoft saat pusat admin tak bisa dibuka.
- Aktifkan jalur cadangan. Pindahkan koordinasi mendesak ke kanal lain yang sudah disepakati. Saat gangguan Juli lalu, Microsoft sendiri meminta pelanggan meninjau rencana kelangsungan bisnis mereka.
- Waspadai penipuan. Peringatkan karyawan soal email atau pesan yang meminta “verifikasi akun Microsoft”, dan sampaikan pengumuman TI hanya lewat kanal resmi internal.
- Setelah pulih, audit. Periksa email yang tertunda, tumpukan peringatan Defender, dan log masuk selama jendela gangguan, karena alat keamanan ikut buta berjam-jam.
- Ajukan kompensasi. SLA Microsoft 365 menjanjikan ketersediaan bulanan 99,9%, dengan kredit 25% di bawah 99,9% dan 50% di bawah 99%. Gangguan 12 jam yang mengenai seluruh pengguna sudah melewati ambang 99% dalam sebulan, tetapi kredit hanya diberikan lewat klaim dan hanya untuk biaya layanan yang terdampak.
Berikutnya, tunggu laporan pascainsiden (PIR) yang untuk insiden berdampak luas biasanya dirilis beberapa hari setelah insiden ditutup. Ada tiga hal yang perlu dicari di sana: perubahan internal yang memicu, trafik anomali dari luar, dan alasan pemulihan berulang kali gagal.
Pelajarannya bagi perusahaan Indonesia: cloud tidak menghapus risiko, hanya memusatkannya. Pertanyaannya bukan apakah Microsoft akan tumbang lagi, melainkan apa yang tetap berjalan saat itu terjadi.
