8 Jenis Pelanggaran Data Umum – Contoh Dunia Nyata dan Dampaknya
Pelanggaran data adalah insiden keamanan di mana informasi pribadi/rahasia dilihat, disalin, ditransmisikan, atau digunakan oleh individu yang tidak berwenang. Ini dapat melibatkan informasi identitas pribadi, informasi kesehatan pribadi, informasi keuangan, kekayaan intelektual, atau rahasia dagang perusahaan.
Pelanggaran data lebih dari sekadar teror sementara: mereka dapat melukai bisnis dan konsumen dalam berbagai cara, dan biaya yang timbul dari mereka dapat merusak reputasi dan memerlukan waktu untuk diperbaiki.
Pelanggaran yang mempengaruhi ratusan juta atau bahkan miliaran pengguna telah menjadi cukup umum. Pada tahun 2016, perusahaan layanan Internet Yahoo! mengonfirmasi bahwa semua 3 miliar pengguna mereka terdampak dalam yang dianggap sebagai pelanggaran data terbesar dalam sejarah. Detail spesifik pengguna, termasuk nama, nomor ponsel, alamat email, tanggal lahir, dan kata sandi yang di-hash, bocor.
Pada tahun 2018, layanan pesan video berbasis NYC Dubsmash dan aplikasi kebugaran bernama MyFitnessPal termasuk dalam pembuangan data massal dari 16 platform yang terkompromi yang melihat lebih dari 600 juta akun pelanggan bocor dan ditawarkan untuk dijual di pasar gelap online.
Ratusan peristiwa serupa telah terjadi dalam dekade terakhir. Menurut studi yang dilakukan oleh Ponemon Institute, pelanggaran data membiarkan perusahaan rata-rata $3,86 juta.
Dengan risiko yang meningkat dan biaya pelanggaran data yang semakin tinggi, bisnis dan pemerintah telah mulai mengalokasikan banyak sumber daya untuk menjaga data pelanggan mereka tetap aman.
Sebagian besar pelanggaran data melibatkan dokumen, file, dan informasi sensitif yang rentan dan tidak terstruktur. Dalam artikel tinjauan ini, kami telah menjelaskan delapan jenis pelanggaran data yang paling umum dan bagaimana cara terjadinya.
8. Distributed Denial of Service (DDoS)
Serangan DDoS 1,3 Tbps menutup GitHub selama 20 menit pada tahun 2018
Upaya berbahaya untuk mengganggu layanan host
Serangan DDoS bertujuan untuk membanjiri situs web dan layanan online dengan lebih banyak lalu lintas daripada yang dapat ditangani server atau jaringan. Mereka kadang-kadang digunakan untuk mengalihkan perhatian operasi keamanan siber sementara aktivitas penipuan lain, seperti infiltrasi jaringan atau pencurian data, sedang berlangsung.
Serangan ini dilakukan dengan sekumpulan perangkat yang terhubung internet yang terinfeksi malware. Penyerang mengontrol perangkat individu ini (juga disebut bot) secara jarak jauh.
Cluster bot dikenal sebagai botnet, dan setelah terbentuk, penyerang dapat menggunakannya untuk menargetkan server atau jaringan tertentu. Setiap bot mengirim permintaan ke alamat IP tertentu, sehingga membuat situs web atau layanan tidak dapat beroperasi.
Serangan DDoS pertama terjadi pada tahun 1996 ketika salah satu ISP tertua bernama Panix diturunkan selama beberapa hari menggunakan SYN flood, sebuah metode yang telah menjadi klasik serangan Distributed Denial of Service. Sepanjang dekade berikutnya, jenis serangan seperti ini menjadi umum.
Serangan sebesar 1 Gbps cukup untuk menurunkan sebagian besar organisasi dari internet. Menurut Cisco, total jumlah serangan DDoS akan mencapai 15 juta pada tahun 2023, naik dari 7,9 juta yang terlihat pada tahun 2018.
Contoh: Pada Februari 2020, Amazon Web Services terserang oleh serangan DDoS yang ekstrim, yang menargetkan pelanggan yang tidak diketahui melalui metode yang disebut Connectionless Lightweight Directory Access Protocol (CLDAP) Reflection. Serangan mencapai puncak 2,3 TBps dan berlangsung selama 3 hari.
7. Serangan Brute-Force
Serangan brute force pada kunci 5-bit
Menebak kata sandi melalui metode coba dan kesalahan
Serangan brute-force melibatkan pengiriman kredensial dengan harapan akhirnya menebak yang benar. Penyerang mencoba semua kombinasi kata sandi yang mungkin hingga yang benar terdeteksi.
Jenis serangan ini mencakup hampir 5% dari semua pelanggaran data. Penyerang tidak perlu memasukkan kata sandi secara manual. Sebaliknya, mereka membuat algoritma atau menggunakan perangkat lunak yang tersedia dengan mudah untuk secara otomatis menjalankan berbagai kombinasi nama pengguna dan kata sandi hingga kombinasi yang benar ditemukan.
Alat hacking brute force dirancang untuk menghasilkan ribuan kata sandi per detik. Gabungan dengan CPU dan GPU yang kuat, alat otomatis ini dapat melakukan brute force pada kunci enkripsi yang kuat dalam hitungan hari.
Karena kata sandi yang lebih panjang dapat memiliki lebih banyak variabel, mereka secara eksponensial lebih sulit untuk dipecahkan dari yang lebih pendek. Saat ini, sebagian besar algoritma simetris menggunakan kunci 128 atau 256-bit, yang tidak dapat dipecahkan melalui brute force.
Lebih spesifik lagi, superkomputer tercepat (dengan kecepatan 100 petaFLOPS) akan membutuhkan waktu 3.67×1055 tahun untuk menguras kunci AES 256-bit.
Contoh: Pada tahun 2018, sistem master password Firefox dapat dengan mudah dilewati menggunakan brute force. Kata sandi jutaan pengguna terkena kerentanan terhadap malware dan hacker. Satu tahun kemudian, Firefox mengeluarkan pembaruan untuk memperbaiki celah keamanan ini.
6. Ransomware
CryptLocker meminta tebusan
Malware yang menginfeksi perangkat dan mengancam pengguna untuk membayar tebusan
Malware ransom mencegah pengguna mengakses file pribadi mereka dan menuntut biaya untuk mendapatkan akses kembali. Ia dapat menginfeksi komputer Anda dengan beberapa cara. Yang paling umum adalah spam berbahaya yang dikirim melalui email, yang berisi tautan atau lampiran menipu.
Ransomware konvensional mengunci perangkat dengan cara yang tidak sulit untuk dibalik oleh orang yang terampil. Namun, malware canggih mengenkripsi file pengguna, sehingga tidak dapat digunakan, dan menuntut biaya untuk mendekripsinya. Penyerang biasanya meminta tebusan dalam mata uang digital yang sulit dilacak seperti Bitcoin.
Ransomware pertama bernama PC Cyborg dibuat pada tahun 1989. Ia akan mengenkripsi semua file di direktori C dan kemudian menuntut korban $189 (melalui pos) untuk memperpanjang lisensi mereka. Sepanjang dekade berikutnya, varian ransomware yang berbeda muncul.
Namun, ransomware canggih tidak akan tiba hingga tahun 2004, ketika GpCode mengenkripsi data pribadi menggunakan enkripsi RSA yang lemah. Sejak saat itu, penipuan telah menyebar ke seluruh dunia, dengan jenis baru yang masih berhasil menargetkan pengguna.
Dalam enam bulan pertama tahun 2018, terdapat lebih dari 181 juta serangan ransomware. Pada tahun 2019, varian ransomware baru meningkat 46%, dengan 68.000 trojan ransomware baru yang terdeteksi untuk seluler.
Contoh: Salah satu contoh ransomware yang paling populer adalah CryptoLocker, yang terjadi antara September 2013 dan Mei 2014. Ini adalah trojan pengenkripsi yang menargetkan perangkat yang berjalan pada Microsoft Windows. Operatornya berhasil mencabut hampir $3 juta.
5. Phishing
Upaya melawan hukum untuk memperoleh informasi sensitif
Phishing adalah teknik untuk mencoba mengumpulkan informasi pribadi, seperti kata sandi dan detail kartu kredit, menggunakan situs web dan email menipu. Ini juga dilakukan melalui pesan instan dan pesan teks, di mana penyerang, menyamar sebagai entitas terpercaya, menipu korban untuk memberikan detail pribadi.
Phishing juga dapat digunakan untuk menyebarkan malware, dengan mendorong pengguna untuk mengunjungi tautan atau mengunduh dokumen yang secara rahasia akan menginstal skrip berbahaya pada perangkat. Pada skala yang lebih besar, ini digunakan untuk mendapatkan kedudukan dalam organisasi pribadi atau jaringan pemerintah.
Misalnya, dalam ancaman persisten canggih, data karyawan dikompromikan untuk melewati parameter keamanan, menyebarkan program berbahaya di dalam lingkungan tertutup, atau mendapatkan akses ke data pribadi. Jenis serangan ini dapat tetap tidak terdeteksi dalam waktu yang lama.
Menurut laporan investigasi pelanggaran data Verizon, 22% pelanggaran pada tahun 2019 melibatkan phishing. Sekitar 88% organisasi di seluruh dunia mengalami upaya spear-phishing. 65% organisasi AS mengalami serangan phishing yang berhasil pada tahun 2019, yang hampir 10% lebih tinggi dari rata-rata dunia.
Contoh: Salah satu serangan phishing yang paling signifikan terjadi pada tahun 2016 ketika penyerang berhasil menghack akun Gmail ketua kampanye Hillary Clinton, John Podesta. Dalam hitungan jam setelah hasil pemilihan AS, hacker Rusia mengirim email phishing (dari alamat email palsu Universitas Harvard) untuk menerbitkan berita palsu.
4. Cacing
Cacing Blaster menampilkan pesan
Malware mandiri, autoreplikasi
Cacing komputer menyebarkan salinan diri dari perangkat ke perangkat. Ia mereplikasi diri tanpa interaksi pengguna dan melekatkan diri pada program perangkat lunak untuk menyebabkan kerusakan.
Sementara sebagian besar cacing masuk ke perangkat melalui lampiran dalam email spam atau pesan instan, mereka juga dapat ditransmisikan melalui kerentanan perangkat lunak. Setelah lampiran ini dibuka atau diinstal, mereka bekerja diam-diam di latar belakang, menginfeksi file sistem.
Cacing dapat menyuntikkan skrip berbahaya dan memodifikasi/menghapus file yang ada. Beberapa cacing dirancang untuk menghabiskan sumber daya sistem, seperti ruang memori atau bandwidth. Mereka melakukannya dengan membuat salinan diri dan membebani jaringan bersama.
Cacing juga dapat mengeksploitasi celah dalam sistem operasi, keamanan aplikasi, atau kesalahan konfigurasi jaringan untuk menyalin diri ke dalam disk yang sepenuhnya dapat diakses dan menyebarkan salinan tersebut melalui jaringan publik.
Contoh: Cacing komputer pertama dengan dampak dunia nyata dikembangkan oleh Robert Morris pada tahun 1988. Bernama dari pengembangnya, Morris Worm menyebabkan denial of service untuk sekitar 10% dari 60.000 mesin yang terhubung ke ARPANET. Pada tahun 2003, cacing lain bernama Blaster meluncurkan serangan DDoS terhadap server milik Microsoft itu sendiri, menginfeksi hingga 2 miliar perangkat.
3. Keylogger
Merekam kunci yang ditekan pada keyboard tanpa pengetahuan pengguna
Alat pencatetan klik adalah salah satu bentuk malware tertua, yang bermula dari mesin tik. Ini masih digunakan sebagai bagian dari serangan siber yang lebih besar. Dalam definisi paling dasar, keylogger melacak klik pada komputer.
Meskipun ini adalah perangkat lunak sederhana, penyerang dapat menggunakannya sebagai alat yang kuat untuk mencuri data dan informasi sensitif yang diketik melalui keyboard. Ini memberikan penyerang manfaat untuk mengakses alamat email, kata sandi, nomor rekening, kode PIN, dan informasi rahasia lainnya.
Keylogger berbasis perangkat keras dapat ditempelkan inline antara keyboard dan komputer, atau diinstal melalui firmware tingkat BIOS. Keylogger berbasis perangkat lunak dapat diinstal melalui skrip halaman web atau file lampiran dari email phishing. Ia diinstal secara otomatis ketika pengguna mengunjungi situs yang berbahaya atau membuka file mencurigakan yang dilampirkan pada email.
Contoh: Pada tahun 2000, FBI menggunakan keylogger untuk menangkap dua kriminal siber Rusia. Keylogger disembunyikan diinstal pada mesin, dan FBI menggunakannya untuk mengakses komputer tersangka di Rusia. FBI mampu memperoleh cukup bukti untuk menuntut mereka. Pada tahun 2018, Google menghapus 145 aplikasi dari Play Store yang berisi malware pencatatan klik.
2. Kesalahan Manusia
Karyawan sesekali melakukan kesalahan yang mengarah pada pelanggaran data besar
Manusia sering kali adalah titik terlemah dalam pertahanan pelanggaran data. Misalnya, tim IT mungkin secara tidak sengaja mengekspos informasi pribadi pelanggan dengan mengonfigurasi server yang salah, atau karyawan mungkin meneruskan laporan perusahaan kepada orang luar melalui email yang dikirim secara massal.
Menurut studi yang dilakukan oleh Kantor Komisioner Informasi Inggris (ICO), kesalahan manusia menyebabkan 90% pelanggaran data siber pada tahun 2019.
CybSafe, platform kesadaran keamanan siber berbasis cloud, melaporkan bahwa 9 dari 10 dari 2.376 pelanggaran yang dilaporkan ke ICO pada tahun 2019 disebabkan oleh kesalahan yang dilakukan oleh pengguna akhir. Ini adalah kenaikan 61% dan 87% dari dua tahun sebelumnya.
Contoh: Pada tahun 2017, sertifikat SSL yang digunakan oleh LinkedIn untuk subdomain negara-nya kedaluwarsa. Meskipun peristiwa ini tidak mempengaruhi www.linkedin.com, itu membuat us.linkedin.com dan beberapa subdomain lainnya tidak valid. Sebagai hasilnya, jutaan pengguna tidak dapat mengakses LinkedIn selama beberapa jam.
1. Pembuangan yang Tidak Tepat atau Penjualan yang Tidak Bertanggung Jawab
Banyak organisasi tidak menghancurkan perangkat keras usang dengan benar
Organisasi, khususnya yang kecil, sering tidak mempertimbangkan keamanan data saat mengupgrade perangkat keras dan infrastruktur. Akhir siklus hidup perangkat keras adalah aspek penting dari manajemen penyimpanan yang bertanggung jawab.
Tidak semua pelanggaran data disebabkan oleh hacking. Beberapa adalah hasil dari pembuangan yang tidak tepat dan penjualan yang tidak bertanggung jawab. Untuk mengamankan data rahasia, perusahaan harus menonaktifkan data atau menghancurkan perangkat keras secara fisik.
Badan Standar Nasional dan Teknologi telah menerbitkan pedoman untuk sanitasi media yang tepat dan penyesuaian data. Mereka menyarankan bahwa metode berbasis perangkat lunak, seperti sanitasi tingkat purge, tidak dapat secara sepenuhnya menghapus data dari semua wilayah penyimpanan pada permukaan media.
Contoh: Pada tahun 2017, desktop dari kantor pemerintah di Kota Houston dijual dalam lelang online. Setelah penyelidikan, ditemukan bahwa 23 dari 38 komputer memiliki hard drive penuh dengan informasi pribadi.
Pada tahun yang sama, apotek ShopRite di New Jersey menemukan perangkat elektronik yang telah dibuang tanpa membersihkan penyimpanannya terlebih dahulu. Ia berisi informasi pribadi 10.000 pasien, termasuk nama, tanggal lahir, tanda tangan, nomor telepon, dan resep medis.
