RaaS:Serangan Ransomware pada Rantai Pasokan Menjadi Mudah
Dengan cloud menjadi sarana utama untuk mengakses semakin banyak penawaran perangkat lunak, sepertinya setiap aplikasi bermigrasi ke model pengiriman "sebagai layanan" akhir-akhir ini. Jadi, tidak mengherankan jika ransomware telah melompat ke kereta musik cloud.
Temui ransomware-as-a-service (RaaS), sarana pra-paket, mudah digunakan untuk mengunci jaringan data kemudian memeras pemiliknya untuk pembayaran — biasanya dalam bentuk Bitcoin atau jenis cryptocurrency lainnya — untuk membuka kuncinya .
Seperti bentuk layanan terkelola yang paling populer, RaaS mungkin menyertakan dukungan teknis 24 jam dan forum pengguna yang didedikasikan untuk mendapatkan hasil maksimal dari aplikasi. Pembeli dapat memperoleh "solusi" dalam beberapa cara, termasuk dengan berlangganan bulanan, biaya lisensi satu kali atau pembagian keuntungan dengan penyedia perangkat lunak. Bagaimanapun itu mungkin disediakan, RaaS memiliki tujuan yang sama:untuk menimbulkan kekacauan digital dan meraup keuntungan besar dalam prosesnya. Ini adalah alasan utama mengapa pendapatan ransomware melonjak hingga sekitar $20 miliar di AS tahun lalu, menurut Cybersecurity Ventures.
Dilaporkan tersedia di web gelap sejak sekitar tahun 2016, RaaS telah meningkat pesat sejak saat itu sebagai sarana untuk menyebarkan ransomware. Rantai pasokan global, yang terdiri dari beberapa mitra independen dari semua ukuran dan tingkat kecanggihan teknologi, sangat rentan terhadap serangan. Pabrikan, distributor, dan pengecer besar mungkin menganggap diri mereka aman, setelah menghabiskan jutaan dolar untuk langkah-langkah keamanan yang ketat di dalam rumah mereka sendiri, tetapi pemasok terkecil dan paling tidak penting dapat berfungsi sebagai pintu menuju banyak data sensitif tentang pelanggan dan operasi. Menurut beberapa perkiraan, dua pertiga dari semua serangan dunia maya saat ini datang melalui rantai pasokan.
Perangkat seluler, yang telah meledak dalam jumlah dan aplikasi selama dekade terakhir, adalah vektor populer untuk infeksi. “Misalnya subkontraktor dari pengembang akan datang untuk membangun ekstensi perangkat lunak berbasis API untuk klien,” kata Padmini Ranganathan, wakil presiden global strategi produk dengan SAP Procurement. “Bagaimana Anda tahu kode mereka aman? Atau bahwa mereka melindungi perangkat yang mereka gunakan?”
Jaringan harus sama-sama waspada dalam melindungi sistem tertanam di dalam cloud, kata Ranganathan. Dan meskipun teknologi cloud bukanlah ancaman keamanan otomatis, teknologi ini meningkatkan tingkat risiko dengan menjamurnya perangkat yang terhubung ke internet of things. Perusahaan perlu merespons dengan melakukan audit ketat terhadap semua perangkat dan sistem yang memiliki akses ke data mereka, baik secara eksternal maupun internal, katanya.
Dengan RaaS yang memudahkan penjahat cyber untuk menahan jaringan untuk tebusan, orang akan berpikir bahwa perusahaan swasta dan lembaga pemerintah akan sangat berhati-hati untuk melindungi data mereka. Ruam serangan ransomware dalam beberapa tahun terakhir menunjukkan bahwa ini tidak terjadi. Pada tahun 2021 saja, korban sudah termasuk pipa minyak, pengepakan daging, distributor kimia, produsen mobil, bahkan layanan feri di Martha’s Vineyard. Tampaknya tidak ada pola mengenai entitas yang diserang — hanya saja mereka semua terbukti rentan terhadap suatu bentuk serangan yang menjadi sangat mudah untuk dilakukan.
Vendor yang lebih kecil — atau yang besar, dalam hal ini — mungkin berpendapat bahwa mereka kekurangan sumber daya untuk berinvestasi dalam keamanan siber. Ranganathan menyarankan bahwa mereka tidak melihat masalah dengan kerangka berpikir yang tepat. Yang pasti, langkah-langkah keamanan yang tepat bisa mahal untuk diperoleh, dan berfungsi sebagai hambatan sementara pada neraca. Tapi berapa biaya untuk pulih dari serangan dunia maya — terutama permintaan tebusan yang mungkin mencapai jutaan dolar? Atau dampak dari kehilangan pelanggan yang marah karena data pribadi sensitif mereka disusupi karena diabaikan oleh pengecer atau penyedia layanan? “Kami meremehkan konsep nilai yang berisiko,” kata Ranganathan.
Salah satu aspek penting dari keamanan siber tidak selalu membutuhkan biaya lebih. Ini adalah kesadaran dan ketekunan di pihak karyawan tentang ancaman pelanggaran melalui sejumlah sistem dan perangkat. Tidak ada yang harus dipercaya sejak awal; seringkali serangan yang berhasil dapat dikaitkan dengan kecerobohan manusia, bukan kerentanan dalam teknologi.
Teknik peretas, tentu saja, terus berkembang. Serangan ransomware hari ini kemungkinan akan mengambil bentuk yang sama sekali baru di tahun-tahun mendatang. Teknologi akan berusaha untuk mengimbangi ancaman yang selalu berubah, tetapi kewaspadaan yang konstan di pihak perancang sistem dan bahkan pengguna yang paling biasa adalah kuncinya.
Perusahaan perlu memberikan perhatian yang sama pada keamanan sistem seperti yang mereka lakukan di dunia penjualan, pemasaran, dan pengembangan produk baru yang lebih mempesona. Ranganathan berkata:“Kami tidak bisa mengabaikan kebersihan arsitektur atas nama inovasi yang cepat.”
