Bagaimana Kriminal Siber Mengeksploitasi Mitra Rantai Pasok untuk Meluncurkan Serangan

Menurut sifatnya sendiri, rantai pasok memerlukan kemitraan kolaboratif antara orang dan organisasi. Sementara ini dapat membantu mencapai tujuan umum dan memfasilitasi pertumbuhan, ini juga mungkin menimbulkan berbagai masalah.

Melalui hubungan simbiotik ini, perusahaan tanpa sengaja telah mengekspos aspek sensitif dari bisnis mereka. Kelemahan yang sering diabaikan ini telah membuka peluang bagi kriminal siber untuk mendirikan benteng di dalam organisasi target mereka.

Menggarisbawahi prevalensi serangan semacam ini, studi Opus dan Ponemon Institute menunjukkan bahwa setidaknya 59% organisasi telah menderita dari serangan siber melalui perusahaan pihak ketiga. Yang lebih mengganggu adalah fakta bahwa hanya 16% organisasi dalam studi yang klaim dapat secara efektif mengurangi risiko keamanan siber dari pihak ketiga.

Wajarnya, langkah pertama untuk melindungi perusahaan Anda dari risiko semacam ini adalah mengidentifikasi mereka. Berikut adalah beberapa cara di mana pelaku jahat dapat memulai serangan melalui mitra rantai pasok, diilustrasikan dengan contoh nyata.

Hampir setiap organisasi menggunakan perangkat keras dan lunak eksternal. Sedikit yang ingin membangun teknologi dari nol. Alih-alih, kemunculan bidang open-source telah menyebabkan gelombang outsourcing massal dalam hampir setiap aspek operasi bisnis.

Meskipun nyaman, peluang ini datang dengan risiko yang signifikan. Pelanggaran Equifax yang terkenal pada 2018 akibatnya dari kekurangan dalam perangkat lunak yang bertugas menjalankan basis data online. Equifax juga menyalahkan tautan unduhan berbahaya di situsnya, yang berasal dari vendor lain.

Akibat kelemahan ini dalam rantai pasok mereka, kriminal memperoleh data pribadi dari setidaknya 143 juta orang.

Banyak perusahaan menggunakan sistem pemanas, ventilasi, dan pendingin udara (HVAC) yang terhubung ke internet namun tidak memiliki langkah keamanan yang memadai. Ini memberikan hacker pintu masuk potensial ke dalam sistem korporat, seperti yang terjadi dengan pelanggaran Target yang masif pada 2014.

Hacker mendapatkan akses ke kredensial login yang milik perusahaan yang menyediakan sistem HVAC Target. Mereka kemudian masuk dan masuk ke sistem pembayarannya, mencuri informasi yang milik estimasi 70 juta orang. Ini mencakup nama, alamat fisik, alamat email, dan nomor telepon, di antara data sensitif lainnya.

Bentuk risiko lainnya datang dari penyedia layanan cloud yang menyimpan data rahasia perusahaan. Tentu saja, entitas semacam itu berinvestasi secara signifikan dalam keamanan sistem mereka; reputasi mereka tergantung padanya.

Namun seperti sistem organisasi lainnya, ini juga rentan terhadap kompromi. Itulah yang terjadi dalam hack Paradise Papers yang terkenal pada 2018. Sekitar 13,4 juta file sensitif bocor yang mengungkapkan urusan keuangan sensitif dari korporat global dan individu superkaya dari seluruh dunia. Setidaknya setengah dari file ini, sekitar 6,8 juta, berasal dari Appleby, penyedia layanan hukum offshore.

Serangan serupa terjadi pada musim panas 2018, ketika Deep Root Analytics bocorkan data pribadi sekitar 200 juta pemilih. Deep Root adalah perusahaan pemasaran yang digunakan oleh partai Republik dan Demokrat. Pelanggaran ini akibat perusahaan secara tidak sengaja menempatkan data pada server yang dapat diakses publik.

Meskipun itu adalah perusahaan yang relatif kecil dengan hanya sekitar 50 karyawan, insiden serupa telah terjadi di organisasi yang lebih besar. Dalam kasus pelanggaran Verizon, Nice Systems menempatkan 6 juta catatan pelanggan pada server penyimpanan Amazon S3 publik. Catatan tersebut terdiri dari enam bulan log panggilan pelanggan. Mereka mencakup informasi pribadi dan akun. Nice memiliki lebih dari 3.500 karyawan.

Deloitte, dengan lebih dari 250.000 karyawan, telah mengalami pelanggaran data yang serupa. Pada September 2018, hacker mendapatkan akses ke rencana rahasia dan email dari beberapa klien blue-chip mereka. Lubang, dalam kasus ini, adalah kontrol akses yang lemah pada salah satu akun administratifnya.

Untuk bisnis besar, keamanan mungkin airtight secara internal. Namun, ini mungkin tidak benar bahkan untuk sistem IT vendor. Itu sepertinya yang terjadi di Domino's Pizza di Australia musim gugur lalu. Menurut laporan saat itu, insiden ini akibat sistem keamanan siber yang lemah dari supplier yang sudah tidak aktif. Akibatnya, sistem bocorkan nama dan alamat email pelanggan. Pelanggaran baru terungkap saat pelanggan yang terpengaruh mulai menerima email spam yang dipersonalisasi. Meskipun Domino's menekankan tidak ada hack berbahaya pada data pribadi dan sistem mereka tidak bersalah, kerusakan sudah terjadi.

Lubang lain yang dapat dieksploitasi oleh kriminal siber adalah sensor internet of things (IoT). Banyak operator bisnis waspada terhadap risiko keamanan komputer, ponsel, dan jaringan. Namun, mereka sering mengabaikan perangkat IoT, yang dapat memungkinkan attacker untuk melompat ke dalam sistem korporat.

Perangkat ini memiliki sensor yang menghubungkannya ke internet untuk tujuan komunikasi. Mereka umum dalam rantai pasok, karena dapat membantu dalam prediksi kegagalan mesin dan manajemen inventori, di antara hal lainnya. Meskipun nilai fungsional mereka, mereka adalah vektor serangan populer yang dapat memberikan attacker akses ke data sensitif, dan memfasilitasi saboteur serta serangan botnet.

Contoh serangan semacam ini menggunakan botnet yang dikenal sebagai Mirai untuk menaklukkan Dyn, sebuah perusahaan yang menyediakan layanan nama domain untuk Reddit, Netflix, dan Github, di antara lainnya. Mirai adalah botnet spesifik IoT yang dirancang untuk melakukan serangan distributed denial of service (DDOS).

Contoh di atas memberikan kredibilitas pada fakta bahwa attacker dapat menggunakan titik lemah dalam rantai pasok Anda untuk mendapatkan akses ke sistem. Untungnya, Anda tidak dapat mengendalikan secara langsung langkah keamanan yang diimplementasikan oleh mitra rantai pasok Anda. Namun di akhir hari, pelanggan tidak peduli bagaimana Anda terkompromi. Mereka hanya ingin tahu bahwa data mereka aman. Dan ini menempatkan tanggung jawab untuk memastikan keamanan yang ketat di tangan Anda.

Due diligence dalam menilai sistem keamanan pihak ketiga dan kebijakan privasi mereka adalah esensial. Seperti yang telah kita lihat, organisasi besar dan kecil dapat menjadi korban taktik ini. Tidak peduli ukuran mitra Anda, esensial untuk menilai komitmen mereka terhadap keamanan.

Buat menjadi tujuan utama untuk menilai di mana kelemahan Anda berada, dan prioritaskan menutup semua lubang.

Olivia Scott adalah marketing manager di VPNpro.com.