5 Pelanggaran Data Terbesar di Sektor Keuangan

Para pelaku pelanggaran atau kejahatan siber memilih target mereka berdasarkan dua faktor utama—dampak maksimal dan keuntungan maksimal.

Lembaga keuangan memenuhi kedua kondisi ini dengan sempurna karena mereka menyimpan data yang sangat berharga, sementara upaya transformasi digital mereka justru membuka lebih banyak peluang bagi peretas untuk mengakses data tersebut. Inilah alasan mengapa sektor keuangan menjadi sasaran utama para penjahat siber, hanya berada di belakang sektor layanan kesehatan.

Selain menerapkan solusi perlindungan data yang dirancang khusus untuk layanan keuangan, salah satu metode terbaik dalam mengurangi risiko pelanggaran data adalah dengan belajar dari kesalahan yang pernah terjadi.

Untuk mendukung upaya ini, kami telah merangkum 5 pelanggaran data terbesar di industri keuangan, yang diurutkan berdasarkan tingkat dampaknya. Daftar ini mencakup peristiwa krusial dari berbagai negara besar.

5 Pelanggaran Data Terbesar di Sektor Keuangan

Setiap kasus mencakup ringkasan kesalahan utama yang menyebabkan pelanggaran data agar Anda dapat menghindari kejadian serupa.

1. First American Financial Corp

Tanggal: Mei 2019
Dampak: 885 juta aplikasi kartu kredit

Bagaimana pelanggaran data terjadi?

Lebih dari 885 juta catatan keuangan dan informasi pribadi yang terkait dengan transaksi real estate terekspos akibat kesalahan desain situs web yang umum terjadi.

Kesalahan ini dikenal sebagai “Business Logic Flaw” di situs web First American Financial Corp. Ini terjadi ketika tautan halaman web yang mengarah ke informasi sensitif tidak dilindungi oleh kebijakan autentikasi untuk memverifikasi akses pengguna.

Eksposur ini bukan disebabkan oleh serangan peretas, tetapi oleh kesalahan internal yang memungkinkan akses ke data sensitif—suatu kejadian yang dikenal sebagai kebocoran data.

Meskipun kebocoran data dan pelanggaran data adalah dua kejadian yang berbeda, keduanya memiliki potensi dampak yang sama—informasi pelanggan yang sensitif jatuh ke tangan penjahat siber.

Data apa yang dikompromikan?

Data berikut terungkap dalam pelanggaran First American Corp:

• Nama
• Alamat email
• Nomor telepon agen penutup transaksi dan pembeli

Dengan informasi ini, berbagai kejahatan siber dapat terjadi, termasuk:

• Pencurian identitas
• Serangan ransomware
• Injeksi malware

Pelajaran dari pelanggaran ini:

• Terapkan kebijakan tinjauan kode – Sebelum kode diterapkan secara langsung, kode harus ditinjau oleh petugas quality control.
• Pantau kebocoran data – Solusi deteksi kebocoran data dapat mengidentifikasi dan menutup kebocoran data internal atau dari pihak ketiga sebelum ditemukan oleh peretas.

2. Equifax

Tanggal: September 2017
Dampak: 147 juta pelanggan

Bagaimana pelanggaran data terjadi?

Pelanggaran data Equifax adalah salah satu bencana keamanan siber terbesar. Serangkaian praktik keamanan siber yang buruk membuat peretasan ini menjadi sangat mudah bagi para penjahat siber.

Ada 4 kesalahan utama yang menyebabkan pelanggaran ini:

1. Equifax gagal menerapkan patch untuk kerentanan yang sudah diketahui luas (CVE-2017-5638) pada framework pengembangan Open Source mereka, Apache Struts. Saat pelanggaran terjadi, patch ini telah tersedia selama 6 bulan.
2. Equifax gagal membagi segmen ekosistemnya, sehingga peretas dapat dengan mudah mengakses beberapa server setelah mendapatkan akses melalui portal web.
3. Peretas menemukan username dan password yang disimpan dalam format teks biasa, yang memungkinkan mereka meningkatkan hak akses untuk memperoleh akses yang lebih dalam.
4. Peretas dapat mengekstraksi data tanpa terdeteksi selama berbulan-bulan karena Equifax gagal memperbarui sertifikat enkripsi pada salah satu alat internal mereka.

Selain itu, Equifax membutuhkan lebih dari satu bulan untuk mengumumkan pelanggaran ini ke publik. Selama periode ini, beberapa eksekutif perusahaan menjual saham mereka, yang kemudian menimbulkan tuduhan perdagangan orang dalam (insider trading).

Data apa yang dikompromikan?

Lebih dari 40% populasi Amerika Serikat terdampak oleh pelanggaran ini. Data yang dikompromikan meliputi:

• Nama
• Tanggal lahir
• Nomor jaminan sosial
• Nomor SIM
• Nomor kartu kredit

Karena data yang dikompromikan sangat sensitif, Equifax didenda $700 juta akibat pelanggaran ini.

Pelajaran dari pelanggaran ini:

• Selalu perbarui perangkat lunak – Serangan ini sebenarnya bisa sepenuhnya dihindari jika Equifax segera menerapkan patch keamanan. Tim keamanan informasi harus secara rutin merujuk ke database CVE untuk mengetahui paparan kerentanan perangkat lunak terbaru.
• Segmentasi ekosistem – Pisahkan akses ke sumber daya sensitif. Ini dapat dilakukan dengan membuat pemetaan jejak digital dan menerapkan arsitekturZero Trust untuk membatasi akses berbahaya.
• Pantau risiko pihak ketiga – Platform manajemen risiko vendor dapat membantu mendeteksi layanan pihak ketiga yang rentan terhadap serangan siber akibat patch yang tidak diperbarui.
• Terapkan kebijakan notifikasi pelanggaran data yang tepat waktu – Regulasi keuangan mengharuskan pelaporan pelanggaran data dilakukan dengan segera. Kegagalan mematuhi aturan ini dapat mengakibatkan denda yang besar atau bahkan hukuman penjara.

3. Heartland Payment Systems

Tanggal: Januari 2008
Dampak: 130 juta nomor kartu debit dan kredit

Bagaimana pelanggaran data terjadi?

Pada Januari 2008, peretas asal Rusia menyuntikkan malware melalui formulir web di situs Heartland, mengakibatkan 130 juta nomor kartu kredit dan debit bocor.

Penyerang siber menggunakan teknik SQL injection untuk mendapatkan akses ke jaringan perusahaan. Mereka menghabiskan hampir 6 bulan mencoba mendapatkan akses ke sumber daya yang memproses data kartu kredit.

Setelah berhasil menghindari sistem antivirus, kelompok peretas asal Rusia ini menginstal perangkat lunak penyadap (sniffer software) untuk mencegat data kartu kredit saat dalam perjalanan.

Albert Gonzales, bersama dua rekannya yang tidak disebutkan namanya, didakwa atas serangan ini. Gonzales kemudian dijatuhi hukuman 20 tahun penjara.

Untuk memperbaiki reputasi keamanan sibernya yang hancur, Heartland meningkatkan sistem keamanan mereka secara drastis dan mengeluarkan pernyataan berikut kepada semua pelanggan mereka:

“Heartland Payment Systems sangat yakin dengan keamanan teknologi pemrosesan pembayarannya sehingga pada 12 Januari, perusahaan mengumumkan garansi pelanggaran baru untuk penggunanya. Program garansi ini akan mengganti biaya yang dikeluarkan oleh pedagang akibat pelanggaran data yang melibatkan sistem pemrosesan pembayaran kartu kredit Heartland Secure.”

Namun, ironisnya, setelah pengumuman ini, peretas kembali menyerang Heartland dengan mencuri 11 komputer dari kantor penggajian mereka, mengakibatkan 2.200 orang terdampak akibat kebocoran Informasi Identitas Pribadi.

Data apa yang dikompromikan?

Pelanggaran data Heartland mencakup:

• Nomor kartu kredit
• Tanggal kedaluwarsa kartu
• Nama pemegang kartu

Pelajaran dari pelanggaran ini:

• Kepatuhan regulasi tidak cukup – Heartland telah mematuhi standar PCI DSS pada saat insiden terjadi, tetapi itu tidak cukup untuk mencegah kebocoran data. Kepatuhan bukanlah jaminan keamanan. Selain mengikuti regulasi, perusahaan harus menerapkan sistem keamanan siber tambahan yang secara khusus menangani celah keamanan yang memungkinkan pelanggaran data terjadi.
• Terapkan protokol keamanan internal – Sistem keamanan yang baik tidak berguna jika peretas dapat mencuri perangkat fisik yang berisi data sensitif. Pastikan semua perangkat fisik juga diamankan.
• Lindungi sistem pihak ketiga – Semua bisnis yang menggunakan Heartland sebagai penyedia layanan pembayaran terkena dampak pelanggaran ini. Kejadian ini menyoroti pentingnya manajemen risiko vendor untuk mencegah layanan pihak ketiga yang rentan menjadi vektor serangan.

4. JPMorgan Chase

Tanggal: Oktober 2014
Dampak: 83 juta akun

Bagaimana pelanggaran data terjadi?

Penyerang siber, yang diduga berasal dari Brasil, berhasil menembus sistem pertahanan JPMorgan, memperoleh hak administratif tertinggi, dan mendapatkan akses root ke lebih dari 90 server milik perusahaan.

Yang mengejutkan, alih-alih memanfaatkan hak akses ini untuk mencuri informasi keuangan, peretas hanya mencuri informasi kontak pelanggan. Hasil serangan yang terkesan tidak signifikan ini menunjukkan bahwa tujuan utama peretasan kemungkinan besar adalah untuk memperoleh data pelanggan tertentu guna digunakan dalam serangan siber yang lebih terarah di masa depan.

Data apa yang dikompromikan?

Data berikut bocor dalam pelanggaran data JPMorgan Chase:

• Detail login internal seorang karyawan JPMorgan
• Nama pelanggan
• Alamat email
• Nomor telepon

Pelajaran dari pelanggaran ini:

Investigasi mengungkap bahwa pelanggaran ini terjadi akibat kerentanan keamanan yang sangat mendasar.
Ketika tim keamanan JPMorgan meningkatkan salah satu server jaringannya, mereka gagal menerapkan Multi-Factor Authentication (MFA).

Kejadian ini membuktikan bahwa bahkan institusi keuangan paling canggih pun rentan terhadap kelalaian keamanan dasar. Untuk mendeteksi kelemahan yang mungkin terlewat dalam proses manual, upaya manusia harus didukung dengan solusi pemantauan permukaan serangan.

5. Experian

Tanggal: Agustus 2020
Dampak: 24 juta pelanggan

Bagaimana pelanggaran data terjadi?

Seorang pelaku yang mengaku sebagai perwakilan salah satu klien Experian berhasil meyakinkan seorang staf di kantor Experian Afrika Selatan untuk menyerahkan data internal yang sensitif.

Experian mengklaim bahwa data yang diberikan bukan informasi yang sangat sensitif, melainkan data yang umumnya dipertukarkan dalam aktivitas bisnis sehari-hari.

Namun, menurut South African Banking Risk Information Center (SABRIC)—salah satu otoritas yang terlibat dalam investigasi—24 juta pelanggan dan hampir 800.000 bisnis terdampak oleh pelanggaran ini.

Data apa yang dikompromikan?

Informasi pelanggan berikut diungkapkan kepada aktor ancaman:

• Nomor ponsel
• Nomor telepon rumah
• Nomor telepon kantor
• Alamat email
• Alamat tempat tinggal
• Tempat kerja
• Alamat kantor
• Jabatan pekerjaan
• Tanggal mulai bekerja

Menurut Experian, aktor ancaman bermaksud menggunakan data yang dicuri untuk membuat prospek pemasaran bagi layanan asuransi dan kredit.

Pelajaran dari pelanggaran ini:

Terapkan pelatihan kesadaran ancaman siber di tempat kerja

Karyawan Experian yang menjadi target serangan tidak memiliki alasan untuk mencurigai keabsahan panggilan dari aktor ancaman. Penyerang memberikan semua informasi identitas yang biasa diminta Experian dari kliennya—Nama, Nama Keluarga, dan Nomor Identitas RSA.

Kejadian ini menyoroti sofistikasi kampanye rekayasa sosial modern dan betapa tidak siapnya staf dalam menghadapi ancaman ini.

Karena manusia selalu menjadi titik lemah dalam keamanan siber, lembaga keuangan harus menerapkan pelatihan kesadaran ancaman siber di tempat kerja.

Pelatihan ini harus mencakup cara mengenali permintaan data yang mencurigakan di LinkedIn, mengingat platform ini semakin sering digunakan sebagai vektor serangan dalam kampanye rekayasa sosial.

Terapkan solusi deteksi kebocoran data

Pada 24 Oktober 2021, Experian menyadari adanya unggahan di dark web pada forum kriminal yang berisi beberapa data dari pelanggaran ini. Dengan dukungan penegak hukum, aktivitas ini berhasil dicegah dan data yang bocor dihapus.

Selama kebocoran data tetap tidak terdeteksi, para korban pelanggaran serta pelanggan yang terdampak berada dalam risiko yang lebih tinggi terhadap pelanggaran data lanjutan.

Dengan menerapkan solusi deteksi kebocoran data, insiden semacam ini dapat segera terdeteksi dan dihentikan, tanpa harus menunggu bantuan keamanan eksternal yang dapat memperlambat respons.

Pencegahan Lebih Baik dari Pengobatan

Berharap bahwa program antimalware dapat secara sempurna mendeteksi malware dan serangan peretasan berbahaya adalah hal yang tidak realistis. Waspadalah terhadap tanda-tanda umum bahwa komputer Anda telah diretas. Jika Anda sangat berhati-hati, selalu lakukan pemulihan penuh pada komputer jika terjadi pelanggaran keamanan. Setelah komputer Anda dikompromikan, para peretas dapat melakukan apa saja dan bersembunyi di mana saja. Cara terbaik adalah memulai dari awal.

Sebagian besar serangan peretasan berbahaya berasal dari tiga vektor utama: menjalankan program “Trojan horse”, perangkat lunak yang tidak diperbarui (unpatched software), dan menanggapi email phishing palsu. Jika Anda dapat lebih baik dalam mencegah tiga hal ini, maka Anda akan lebih jarang bergantung pada keakuratan—dan keberuntungan—dari perangkat lunak antimalware Anda.

Temukan solusi terbaik untuk kebutuhan website Anda bersama NEXT-IT! Kami menawarkan layanan pembuatan website yang andal, aman, dan sesuai dengan kebutuhan bisnis Anda. Dengan desain modern, performa optimal, dan perlindungan keamanan terbaik, kami siap membantu Anda membawa bisnis Anda ke level berikutnya. Hubungi kami sekarang untuk konsultasi gratis dan mulailah perjalanan digital Anda dengan percaya diri bersama NEXT-IT!