Ransomware-as-a-Service: Bagaimana Rantai Pasokan Berbasis Cloud dengan Mudah Diserang
Saat cloud menjadi sarana utama untuk mengakses sejumlah perangkat lunak yang semakin banyak, sepertinya setiap aplikasi sedang bermigrasi ke model pengiriman “as-a-service” saat ini. Jadi tidak mengherankan jika ransomware telah melompat ke bandwagon cloud.
Kenalilah ransomware-as-a-service (RaaS), cara paket siap pakai dan mudah diterapkan untuk mengunci jaringan data kemudian mengekorsi pemiliknya untuk pembayaran — biasanya dalam bentuk Bitcoin atau jenis cryptocurrency lainnya — untuk membukanya.
Seperti bentuk layanan terkelola yang paling populer, RaaS mungkin termasuk dukungan teknis 24 jam sehari dan forum pengguna yang didedikasikan untuk mendapatkan yang terbaik dari aplikasi. Pembeli dapat memperoleh “solusi” dalam sejumlah cara, termasuk dengan langganan bulanan, biaya lisensi satu kali, atau pembagian keuntungan dengan penyedia perangkat lunak. Namun bagaimana cara persediaannya, RaaS memiliki tujuan yang sama: untuk menyebabkan kekacauan digital dan meraih keuntungan besar dalam prosesnya. Ini adalah alasan utama mengapa pendapatan ransomware melonjak ke perkiraan 20 miliar dolar di Amerika Serikat tahun lalu, menurut Cybersecurity Ventures.
Dilaporkan tersedia di dark web sejak sekitar 2016, RaaS telah berkembang pesat sejak itu sebagai cara untuk menyebarkan ransomware. Rantai pasokan global, yang terdiri dari banyak mitra independen dari semua ukuran dan tingkat kemajuan teknologi, sangat rentan terhadap serangan. Produsen, distributor, dan eceran besar mungkin berpikir mereka aman, setelah menghabiskan jutaan pada pengamanan yang ketat di dalam rumah mereka sendiri, tetapi supplier yang paling kecil dan tidak penting dapat menjadi pintu masuk untuk sekumpulan data sensitif tentang pelanggan dan operasi. Menurut beberapa perkiraan, dua pertiga semua serangan siber saat ini datang melalui rantai pasokan.
Perangkat seluler, yang jumlah dan aplikasinya meledak dalam satu dekade terakhir, adalah vektor populer untuk infeksi. “Katakanlah subkontraktor dari pengembang datang untuk membangun ekstensi perangkat lunak berbasis API untuk klien,” kata Padmini Ranganathan, global vice president of product strategy dengan SAP Procurement. “Bagaimana Anda tahu kode mereka aman? Atau bahwa mereka melindungi perangkat yang mereka gunakan?”
Jaringan perlu sama waspadanya dalam melindungi sistem tertanam di dalam cloud, kata Ranganathan. Dan sementara teknologi cloud bukan ancaman keamanan otomatis, itu meningkatkan tingkat risiko dengan proliferasi perangkat yang terhubung ke internet of things. Perusahaan perlu merespons dengan melakukan audit yang ketat pada semua perangkat dan sistem yang memiliki akses ke data mereka, baik secara eksternal maupun internal, kata dia.
Dengan RaaS yang memudahkan kriminal siber untuk menahan jaringan untuk tebusan, seseorang akan berpikir bahwa perusahaan swasta dan instansi pemerintah akan memperhatikan perlindungan data mereka secara khusus. Glombang serangan ransomware dalam beberapa tahun terakhir menunjukkan bahwa ini bukan kasus. Pada 2021 saja, korban telah termasuk saluran pipa minyak, pengempa daging, distributor kimia, produsen mobil, bahkan layanan ferry di Martha’s Vineyard. Tidak ada pola yang terlihat mengenai entitas yang terkena — hanya bahwa mereka semua terbukti rentan terhadap bentuk serangan yang telah menjadi sangat mudah untuk disusun.
Vendor yang lebih kecil — atau yang besar, untuk masalahnya — mungkin berpendapat bahwa mereka tidak memiliki sumber daya untuk berinvestasi dalam keamanan siber. Ranganathan menyarankan bahwa mereka tidak melihat masalah dengan kerangka pikiran yang tepat. Untuk memastikan, pengamanan yang tepat dapat mahal untuk diperoleh, dan menjadi beban sementara pada neraca. Tapi berapa biaya pemulihan dari serangan siber — terutama tebusan yang mungkin mencapai jutaan dolar? Atau dampak kehilangan pelanggan yang marah karena data pribadi sensitif mereka diretas karena kelalaian oleh eceran atau penyedia layanan? “Kami meremehkan konsep nilai risiko,” kata Ranganathan.
Salah satu aspek penting keamanan siber tidak selalu memerlukan lebih banyak biaya. Itu adalah kesadaran dan ketelitian dari pihak karyawan tentang ancaman pelanggaran melalui sejumlah sistem dan perangkat. Tidak ada yang harus dipercaya pada awalnya; sering kali serangan yang berhasil dapat disebabkan oleh kelalaian manusia, bukan kerentanan dalam teknologi.
Teknik hacker, tentu saja, terus berkembang. Serangan ransomware hari ini kemungkinan akan mengambil bentuk yang sepenuhnya baru dalam beberapa tahun ke depan. Teknologi akan berusaha untuk mengikuti ancaman yang selalu berubah, tetapi waspada terus-menerus dari pihak desainer sistem dan bahkan pengguna yang paling kasual adalah kunci.
Perusahaan perlu memberikan perhatian yang sama pada keamanan sistem seperti yang mereka berikan pada dunia penjualan, pemasaran, dan pengembangan produk baru yang lebih memukau. Katakan Ranganathan: “Kami tidak dapat melepaskan mata dari kebersihan arsitektur demi inovasi yang cepat.”
