Ringkasan insiden siber: kebocoran lewat permintaan resmi dan bug bernilai US$55 juta

Kami membaca berita, menelusuri perkara pengadilan, lalu memilih insiden keamanan paling menarik sepanjang September. Edisi bulan ini mencakup bank yang tanpa sadar menyerahkan data pelanggan kepada penipu, developer yang lewat vibe coding justru membuka celah di infrastruktur, serta perusahaan keamanan siber yang ternyata mengabaikan aturan keamanan dasar.

Keamanan siber tanpa aturan?

Apa yang terjadi. Penyerang membocorkan data internal sebuah perusahaan keamanan siber setelah mengambil alih akun mantan karyawan.

Bagaimana kejadiannya. Pada Mei, peretas menyisipkan kode berbahaya ke sejumlah paket npm TanStack yang populer. Seorang developer di CrowdSec, perusahaan keamanan siber asal Prancis yang mengembangkan perangkat lunak open source untuk mendeteksi intrusi dan melindungi jaringan secara kolaboratif, tanpa sengaja memasang library yang telah terinfeksi. Tak lama kemudian karyawan tersebut mengundurkan diri sesuai rencana, tetapi aksesnya ke GitHub perusahaan baru dicabut beberapa hari kemudian.

Selama jeda tersebut, malware sempat mencuri token OAuth pribadi milik karyawan tersebut. Penyerang memperoleh akses ke 170 repositori privat, serta data pribadi lebih dari 80 pengguna dan 50 calon investor CrowdSec.

Perusahaan baru mengetahui adanya kebocoran tersebut pada September, setelah data dipublikasikan di forum peretasan. CrowdSec kemudian mengeluarkan pernyataan resmi bahwa infrastruktur dan basis data pelanggannya tidak terdampak. Selain itu, CrowdSec telah menerapkan langkah-langkah tambahan untuk memperkuat keamanan.

Semua jalan menuju Roma?

Apa yang terjadi. Bank asal Inggris, Revolut, tanpa sadar menyerahkan data pribadi pelanggan kepada penipu.

Bagaimana kejadiannya. Peretas membobol sistem email tersertifikasi milik otoritas Italia dan selama beberapa bulan mengirimkan permintaan informasi yang tampak resmi kepada staf Revolut. Sebagai respons, pegawai bank menyerahkan informasi mengenai 680 pemegang aset kripto bernilai tinggi dari 33 negara.

Setelah kebocoran tersebut, penyerang mempublikasikan dokumen milik sejumlah pelanggan dan menuntut US$3 juta dari perusahaan. Mereka mengancam akan terus membocorkan informasi sampai uang dibayarkan. Penyelidikan masih berlangsung.

Vibe code dulu, urusan belakangan

Apa yang terjadi. Peretas mendapat akses ke infrastruktur dan data organisasi melalui aplikasi yang dibuat oleh seorang karyawan.

Seorang peneliti di METR, organisasi AS yang mengevaluasi keamanan AI, melakukan vibe coding untuk membuat aplikasi lalu menjalankannya pada instance EC2 pribadi yang terbuka ke internet untuk menguji agen AI. Bug di dalam kode memungkinkan siapa pun memperoleh akses untuk mengelola model AI organisasi dan API key yang digunakan untuk layanan AI publik.

Penyerang menemukan instance yang rentan lalu mulai memakai API key tersebut. Total biaya penggunaan API mencapai sekitar US$600.000 dan ditagihkan kepada METR tanpa mereka sadari. Setelah itu, para penyerang mencoba menembus sistem internal dan mengakses data rahasia, tetapi kebocoran data berhasil dicegah.

Sesudah insiden, METR merekrut kepala keamanan, memperkuat pemantauan, memisahkan lingkungan produksi untuk aplikasi publik dari infrastruktur internal, dan memperketat kebijakan penyimpanan data.

Kejahatan yang tak bisa ditutupi

Apa yang terjadi. Seorang mantan karyawan memeras produsen kosmetik lebih dari US$330.000 sebagai imbalan untuk tidak membocorkan informasi rahasia perusahaan

Bagaimana kejadiannya. Seorang karyawan produsen kosmetik besar di Belarus mengumpulkan informasi mengenai aktivitas keuangan dan bisnis perusahaan selama dua tahun. Setelah mengundurkan diri, ia pindah ke perusahaan pesaing dan mulai memeras mantan pemberi kerjanya. Ia menuntut satu juta rubel Belarus, sekitar US$330.600, sebagai imbalan untuk tidak membocorkan informasi tersebut. Mantan karyawan tersebut ditangkap saat kembali bertemu dengan mantan pemberi kerjanya. Ia kini terancam hukuman hingga 15 tahun penjara atas pemerasan dalam jumlah sangat besar.

Harga sebuah bug

Apa yang terjadi. Peretas mencuri US$320 juta dari perusahaan kripto Liquid Federation.

Bagaimana kejadiannya. Penyerang membobol akun Liquid Federation dan memindahkan sekitar 96% cadangan perusahaan. Setelah itu mereka meninggalkan pesan kepada developer: “Perbaiki bug-nya dulu. Pastikan setiap node sudah di-patch. Setelah perbaikan dikonfirmasi, kami akan mengembalikan uangnya.”

Kedua pihak kemudian membahas kerentanan dalam riwayat transaksi. Keesokan harinya, para “white-hat hacker” mengembalikan US$265 juta. Sisa dana tampaknya mereka simpan sebagai imbalan. Intinya sederhana: kurangi bug. Dengan harga seperti ini, kesalahan bisa sangat mahal.

Fast & Furious versi data

Apa yang terjadi. Peretas mengunggah dokumen milik sekitar 40% warga AS dan Kanada ke dark web.

Bagaimana kejadiannya. Jurnalis keamanan Brian Krebs menemukan lebih dari 153 juta hasil pemindaian surat izin mengemudi di dark web, termasuk SIM miliknya sendiri serta data yang terkait dengan seorang asisten direktur FBI dan menteri pertahanan AS. Ia kemudian mengidentifikasi layanan verifikasi identitas IDScan sebagai sumber kebocoran yang paling mungkin.

Setelah Krebs mempublikasikan investigasinya dan menarik perhatian FBI, perusahaan mengonfirmasi bahwa platform cloud-nya telah dibobol. Pelaku serangan belum diketahui dan penyelidikan masih berlangsung.