143 Juta data peribadi terdedah, pelajaran dari kes kebocoran data terburuk
Pada September 2017, warga-warga Amerika Syarikat terkejut dengan serangan pencerobohan ke atas Equifax, pembekal laporan dan skor kredit syarikat tersebut. Sejumlah 143 juta data pengguna kad kredit telah terdedah, termasuk nama pemegang kad, nombor keselamatan sosial, tarikh lahir, alamat, dan nombor lesen memandu.
Penyerang mengeksploitasi kelemahan dalam alat aplikasi web yang dipanggil Apache Struts. Kecacatan ini sudah diketahui oleh syarikat sebelum penyerang mengambil kesempatan daripadanya. Walau bagaimanapun, mereka gagal mengambil sebarang tindakan pencegahan.
Menurut laporan The Wall Street Journal, serangan pencerobohan itu bermula pada bulan Mac sebelum akhirnya dikesan pada 29 Julai. Antara bulan Mei hingga akhir Julai, penyerang berjaya mengakses maklumat sensitif syarikat. Walaupun ia telah dikesan, syarikat itu lambat untuk menghentikan aplikasi tersebut.
Serangan ini merupakan serangan langsung terhadap identiti syarikat sebagai syarikat global yang mengurus dan melindungi ratusan juta data pengguna kad kredit. Kes Equifax ini mungkin merupakan kes kebocoran data peribadi yang terburuk. Walau bagaimanapun, Equifax bukanlah syarikat yang tunggal. Yahoo, Verizon, dan HBO juga telah mengalami pencerobohan dalam masa lalu, tetapi tahap kebocoran data peribadi masih terhad berbanding dengan Equifax dan kerusakan yang dialami kebanyakannya masih boleh diselesaikan dengan hanya menukar kata laluan baru atau nombor kad kredit baru.
Mengalih keluar data peribadi pengguna kad kredit adalah sangat berbahaya kerana penyerang boleh menggunakannya untuk aktiviti haram. Perkara yang paling diragukan dalam kes Equifax adalah, ‘Kenapa syarikat tidak bertindak dengan serta-merta apabila menemui kelemahan? Kenapa syarikat melambatkan tindakan setelah mengesan pencerobohan?’
Pengajaran penting yang dapat kita pelajari daripada kes Equifax adalah syarikat-syarikat yang menyimpan data sensitif dalam sistem mereka haruslah mengharapkan menjadi sasaran penyerang yang mencari data yang dapat digunakan untuk aktiviti haram. Oleh itu, pendekatan proaktif terhadap keselamatan siber adalah penting.
Equifax pastinya sedar tentang masalah tersebut, tetapi mereka tidak mengambil tindakan dengan serta-merta apabila kelemahan itu ditemui dan malah melambatkan tindakan setelah mengesan serangan pencerobohan. Menangani masalah secepat mungkin apabila ia ditemui adalah langkah yang sangat penting. Keselamatan siber bukanlah perkara yang hanya melibatkan bahagian IT, tetapi ia merupakan risiko perniagaan bagi syarikat.
