Para peretas bertanggung jawab atas Serangan April 2024 terhadap AT&T dibuat dengan sejumlah besar data pengguna. Menurut laporan, pelanggaran tersebut mengakibatkan panggilan telepon dan pesan teks selama enam bulan dari hampir setiap pelanggan jaringan seluler AT&T, yang diperkirakan mencakup 109 juta pelanggan menggunakan 127 juta perangkat.
Meskipun skala pelanggarannya mengkhawatirkan, hal ini bukan satu-satunya faktor yang perlu dipertimbangkan secara cermat. Keadaan yang memfasilitasi kegagalan keamanan, serta cara AT&T dan pejabat pemerintah meresponsnya, memberikan wawasan bagi mereka yang mengandalkan langkah-langkah keamanan siber untuk menjaga keamanan data mereka.
Peran kerentanan pihak ketiga dalam peretasan AT&T
The Kegagalan serangan massa yang menyebabkan pemadaman komputer global pada bulan Juli 2024 menyoroti bahayanya mempercayai penyedia pihak ketiga untuk menyediakan layanan keamanan. Kegagalan AT&T menyoroti jenis kerentanan pihak ketiga yang berbeda.
“Data yang terlibat dalam peretasan AT&T tidak diambil langsung dari AT&T, tetapi dari platform cloud pihak ketiga,” jelas Dev Nag, Pendiri dan CEO QueryPal. “Elemen pelanggaran tersebut menggarisbawahi pentingnya praktik silsilah data yang kuat.”
Nag adalah seorang profesional teknologi berpengalaman yang pernah bekerja sebagai Insinyur Senior di Google dan Manajer Strategi Operasi Bisnis di PayPal. Dia meluncurkan QueryPal untuk merevolusi pengalaman pelanggan dengan menyediakan solusi bertenaga AI untuk mengotomatiskan respons tiket di lingkungan bervolume tinggi.
Peretasan AT&T menyoroti sifat kompleks dari lanskap penyimpanan data saat ini. Perusahaan yang mengumpulkan data dalam jumlah besar sering kali beralih ke penyedia pihak ketiga untuk penyimpanan. Pendekatan ini menjadi rumit karena penyedia penyimpanan memindahkan permintaan yang semakin besar ke perusahaan lain. Akibatnya, seringkali sulit untuk menentukan secara pasti perusahaan mana yang bertanggung jawab atas keamanan.
“Tidak lagi cukup hanya memeriksa vendor langsung Anda,” Nag memperingatkan. “Anda harus memahami keseluruhan ekosistem data, termasuk subprosesor dan langkah-langkah keamanannya.”
Peretasan AT&T juga menimbulkan pertanyaan tentang seberapa banyak simpanan data pengguna yang disimpan perusahaan. Beberapa ahli percaya bahwa semakin banyak data yang disimpan suatu perusahaan, semakin menarik bagi peretas.
“Pelanggaran ini memaksa kami untuk mengevaluasi kembali kebijakan penyimpanan data,” kata Nag. “Apakah kita benar-benar perlu menyimpan data sensitif seperti itu pada platform pihak ketiga untuk waktu yang lama – dalam hal ini hampir satu tahun – yang pada dasarnya menciptakan honeypot bagi penyerang?”
Potensi efek riak dari peretasan AT&T
Ketika rincian peretasan mulai terungkap, AT&T mengumumkan di a tekan rilis bahwa data tersebut tidak berisi “isi panggilan atau SMS, informasi pribadi seperti nomor Jaminan Sosial, tanggal lahir, atau informasi identitas pribadi lainnya.” Meskipun ini merupakan kabar baik, bukan berarti data yang diperoleh tidak berharga bagi peretas.
“Data ini memberi para peretas gambaran yang lebih baik mengenai target mereka, sehingga memungkinkan mereka melancarkan serangan dengan kualitas yang lebih baik,” jelas Ashley Manraj, Chief Technology Officer di Teknologi Penting. “Misalnya, mereka dapat menggunakan data tersebut untuk mengetahui dokter mana yang berinteraksi dengan orang-orang atau layanan apa yang mereka daftarkan. Mereka mungkin tidak dapat merugikan Anda secara langsung dengan data tersebut, namun mereka dapat menggunakannya untuk mempelajari lebih lanjut tentang Anda.”
Manraj adalah auditor keamanan berpengalaman yang telah menghabiskan lebih dari satu dekade mengevaluasi sistem untuk mengidentifikasi kerentanan keamanan siber. Solusi yang diberikan Pvotal mendukung infrastruktur perusahaan yang memungkinkan pertumbuhan dan ketangkasan berjalan seiring dengan keamanan.
Siaran pers AT&T memvalidasi kekhawatiran Manraj, dengan menyatakan: “Meskipun data tidak menyertakan nama pelanggan, sering kali ada cara, dengan menggunakan alat online yang tersedia untuk umum, untuk menemukan nama yang terkait dengan nomor telepon tertentu.”
Implikasi dari tertundanya pengungkapan peretasan AT&T
Ketika pelanggaran keamanan terjadi, praktik terbaik menuntut agar pihak yang terkena dampak diberi informasi sesegera mungkin. Pelanggan mungkin perlu mengambil berbagai langkah untuk merespons pelanggaran, seperti mengubah kata sandi atau membatalkan kartu kredit. Mengetahui tentang pelanggaran juga dapat membantu pelanggan bersiap menghadapi penipuan yang dapat dipicu oleh data.
Namun, laporan serangan AT&T membutuhkan waktu berbulan-bulan untuk muncul, dan AT&T mengaitkan penundaan tersebut dengan serangan AT&T Departemen Kehakiman AS.
“Persetujuan DOJ untuk menunda pengungkapan informasi, dengan alasan keamanan nasional atau masalah keselamatan publik, merupakan hal yang sangat tidak biasa,” kata Nag. “Keterlibatan publik DOJ dan FBI, dibandingkan lembaga seperti CIA, menunjukkan bahwa hal ini mungkin terkait dengan penyelidikan kriminal dalam negeri yang sedang berlangsung, dan bukan pada peretas negara. Hal ini dapat mengindikasikan upaya aktif untuk melacak para penyerang saat mereka melanjutkan operasinya, yang berpotensi mengungkap jaringan kriminal yang lebih besar.”
Meskipun penundaan ini tidak biasa, seperti yang dikatakan Nag, hal ini seharusnya membuat perusahaan dan konsumen waspada bahwa hal ini selalu mungkin terjadi. Penundaan yang memiliki tujuan lebih tinggi mungkin diperlukan, meskipun penundaan tersebut berpotensi menyebabkan lebih banyak kerugian bagi mereka yang datanya terpengaruh.
“Faktor-faktor yang berperan dalam peretasan AT&T menyoroti kompleksitas keamanan siber telekomunikasi yang berkembang pesat, di mana pertimbangan pengelolaan data dan penegakan hukum menjadi sama pentingnya dengan langkah-langkah keamanan jaringan tradisional,” kata Nag.
Peretasan AT&T mengingatkan kita bahwa ancaman dunia maya terus berkembang. Setiap pelanggaran baru memiliki implikasi yang harus dipertimbangkan oleh perusahaan dan konsumen jika mereka ingin menjaga keamanan data mereka.
