Laporan Pelanggaran Data IBM 2026: Kos Cecah RM21.85 Juta, Serangan AI Jadi Punca Utama

Kos purata pelanggaran data global mencecah rekod AS$4.99 juta pada tahun 2026, menurut Laporan Kos Pelanggaran Data tahunan ke-21 oleh IBM dan Ponemon Institute yang diterbitkan pada 29 Julai 2026. Ini adalah peningkatan 12% tahun ke tahun, membalikkan penurunan ringkas pada 2025 . Punca utama kenaikan ini: lonjakan 56% dalam serangan berasaskan AI .

Kos Pelanggaran Mencatat Rekod dan 'Premium AI'

Organisasi di Amerika Syarikat menanggung kos purata AS$11.5 juta setiap pelanggaran, lebih dua kali ganda purata global dan peningkatan 11% berbanding 2025 . Setiap jam pelanggaran tidak dapat diselesaikan menelan kos kira-kira AS$1,100 .

Serangan berasaskan AI merupakan pengganda kos terbesar. Satu daripada empat pelanggaran berniat jahat kini melibatkan AI — peningkatan 56% berbanding tahun sebelumnya — dan pelanggaran ini menelan kos purata AS$6 juta, kira-kira AS$1 juta lebih tinggi daripada purata global . Jenis serangan AI termasuk pemalsuan deepfake, perisian hasad AI, serangan 'model inversion' (AS$6.07 juta purata), dan 'prompt injection' (AS$5.89 juta) .

Masa Pengesanan dan Tindak Balas Makin Buruk Buat Kali Pertama dalam 5 Tahun

Selepas lima tahun berturut-turut penambahbaikan, purata masa untuk mengesan dan membendung pelanggaran meningkat kepada 247 hari (183 hari untuk mengesan, 64 hari untuk membendung) . Ini menandakan penyerak bergerak lebih pantas daripada pasukan keselamatan, memampatkan ruang masa untuk bertindak . Pelanggaran yang berlarutan lebih 200 hari menelan kos AS$5.65 juta secara purata, berbanding AS$4.32 juta untuk pelanggaran yang dibendung dalam masa 200 hari .

'Shadow AI' dan Kegagalan Tadbir Urus Mencapai Tahap Kritikal

Penemuan yang paling membimbangkan: insiden 'Shadow AI' (penggunaan alat AI tanpa kebenaran) meningkat lebih dua kali ganda, daripada 20% kepada 43% organisasi yang mengalami pelanggaran . Alat AI yang digunakan tanpa kelulusan keselamatan kini menjadi faktor dalam hampir separuh daripada semua insiden .

Dalam kalangan organisasi yang mengalami insiden keselamatan berkaitan AI, 92% tidak mempunyai kawalan akses AI yang betul pada masa pelanggaran berlaku . 68% daripada organisasi yang mengalami pelanggaran langsung tidak mempunyai dasar tadbir urus AI . Insiden yang melibatkan model AI dan aplikasi berasaskan AI meningkat daripada 13% kepada 21% . Laporan ini mendokumenkan serangan terhadap infrastruktur AI melalui prompt injection, model inversion, dan data poisoning .

Tindak Balas Perbelanjaan: 85% Rancang Tingkatkan Pelaburan Keselamatan

Dalam penyelidikan susulan, 85% daripada organisasi yang mengalami pelanggaran menyatakan mereka merancang untuk meningkatkan perbelanjaan pada alat dan tadbir urus keselamatan khusus sebagai respons kepada ancaman AI termaju . Dalam kaji selidik utama, 64% menyatakan bahawa pelanggaran itu sendiri akan mendorong peningkatan perbelanjaan . Lonjakan perbelanjaan ini selari dengan trend industri yang lebih luas — Cisco, sebagai contoh, melaporkan pertumbuhan 14% tahun ke tahun dalam hasil keselamatan dalam tempoh yang sama, mencerminkan pelaburan perusahaan yang dipercepatkan dalam pertahanan sedar AI .

Penemuan Kritikal Lain

• Kompromi rantaian bekalan adalah pengganda kos tertinggi, menambah AS$227,250 setiap pelanggaran secara purata, dan merupakan vektor serangan kedua paling biasa, mengambil masa 258 hari untuk dikesan dan dibendung .
• Penjagaan kesihatan kekal sebagai industri paling mahal untuk pelanggaran pada purata AS$6.64 juta, walaupun menurun berbanding tahun-tahun sebelumnya .
• India mencatatkan kos pelanggaran purata tertinggi pada ₹25.5 crore (AS$3.05 juta), peningkatan 15.9% tahun ke tahun .
• Organisasi yang menggunakan AI dan automasi secara meluas untuk keselamatan menjimatkan purata AS$1.93 juta berbanding organisasi yang tidak menggunakannya .
• Hanya 42% organisasi melaporkan pemulihan sepenuhnya selepas pelanggaran, meningkat daripada 35% tetapi masih meninggalkan majoriti dalam proses pemulihan berbulan-bulan atau bertahun-tahun selepas kejadian .

Laporan 2026 adalah berdasarkan kajian terhadap 602 organisasi yang mengalami pelanggaran merentasi 17 negara dan 17 industri, dengan data dikumpul antara Mac 2025 dan Februari 2026 .