Mana Lebih Baik, Belajar Cybersecurity dari Penjudi atau Otoritas Keuangan?

Jakarta -

Jika ditanyakan, dari siapa anda ingin belajar sekuriti. Apakah dari institusi penjudi atau dari otoritas yang mengurusi keuangan. Tentunya jawaban yang akan muncul adalah semua orang akan belajar sekuriti dari otoritas, siapa yang mau belajar dari institusi penjudi? Bisa-bisa mentalnya rusak dan menjadi penjudi.

Tetapi kejadian dalam beberapa hari terakhir ini menunjukkan anomali. Kita justru sangat banyak mendapatkan informasi dan contoh praktek sekuriti sehubungan dengan sekuriti dari institusi penjudi dan sangat sedikit yang bisa didapatkan dari otoritas negara yang berwenang mengurusi semua bank dan lembaga finansial.

Seperti kita ketahui, dua group penguasa jaringan kasino terbesar di Amerika MGM dan Caesar Palace menjadi korban serangan ransomware dan hal yang menarik adalah reaksi dari dua institusi tersebut dimana satu melawan dan teguh dengan prinsipnya tidak ada kompromi, tidak membayar uang tebusan dengan konsekuensi disrupsi dan kerugian sangat besar pada operasional perusahaan.

Dan satunya berkompromi membayar uang tebusan yang tidak main-main lebih dari USD 10 juta dan tetap bisa menjalankan operasional usahanya yang jika terhenti satu hari saja akan mengakibatkan kerugian puluhan juta dolar.

Lain lagi yang terjadi pada salah satu bank pemerintah di Indonesia yang mengalami serangan ransomware dan layanannya kepada nasabah terhenti berhari-hari namun tetap menyangkal menjadi korban ransomware.

Meskipun bukti yang terpapar terang benderang dimana data bank tersebut disebarkan oleh pembuat ransomware dan secara bisnis dengan bocornya data yang sedemikian masif, bank ini mengalami kerugian strategis yang sangat signifikan sebagai tambahan atas kerugian terganggunya operasional bank selama berhari-hari.

Lalu dalam beberapa hari terakhir layanan pengaduan online konsumen otoritas keuangan Indonesia juga mengalami gangguan dan tidak berfungsi sampai saat artikel ini dibuat. Walaupun banyak beredar informasi bahwa otoritas tersebut mengalami serangan ransomware, namun hal ini disangkal oleh otoritas yang bersangkutan. Sekalipun hal ini disangkal, namun fakta bahwa situs otoritas sempat tidak berfungsi dan layanan pengaduan konsumen online sampai saat ini belum berfungsi menimbulkan pertanyaan besar.

Belajar dari insiden MGM dan Caesar Palace

MGM dan Caesar Palace bukannya tidak mengamankan diri dengan baik. Bukti usaha MGM mengamankan dirinya adalah MGM menggunakan jasa Okta. Okta adalah perusahaan yang menangani pengamanan identitas dan memiliki pengamanan MFA Multi Factor Authentication yang secara teknis lebih rumit dan lebih aman dari pengamanan TFA.

Namun tentu menjadi pertanyaan, sudah menggunakan Okta kok masih tetap bisa jebol? apakah MFA atau TFA sudah tidak aman sehingga bisa diambil alih? Jawabannya adalah rekayasa sosial.

Ketika pengamanan sudah dijalankan dengan baik dan secara teknis sangat sulit menembus pengamanan sekuriti, maka yang akan diserang adalah bagian yang paling lemah dan sulit diamankan.

Rekayasa sosial

Rekayasa sosial yang memalsukan diri sebagai salah satu karyawan yang informasinya didapatkan dari LinkedIn digunakan oleh tim peretas untuk meminta akses kepada tim IT. Dengan bantuan teknologi AI yang bisa memalsukan suara seseorang dan informasi detail lain dari Linked In, peretas berhasil mendapatkan kredensial penting dan menguasai akun Okta.

Dari sini bencana berawal karena semua akses penting diamankan oleh Okta sehingga peretas leluasa menjalankan aksinya, mencuri data dan mengenkripsinya guna mendapatkan uang tebusan. Bahkan dalam kasus MGM mengakibatkan gangguan yang sangat signifikan pada operasional perusahaan.

To pay or not to pay?

Apakah tidak membayar tebusan adalah keputusan yang salah ? Apakah ketika menjadi korban ransomware kita lebih baik membayar saja demi kelangsungan operasional perusahaan? Lalu kalau membayar, apa jaminannya peretas akan menepati janjinya? Beberapa pertanyaan ini menjadi dilema besar bagi perusahaan yang menjadi korban ransomware.

Jika membandingkan Caesar Palace dengan MGM, secara finansial MGM mengalami kerugian yang lebih besar dari Caesar Palace yang karena membayar uang tebusan tidak mengalami disrupsi dalam layanan resortnya. Terhenti dan terganggunya MGM resort berhari-hari mengakibatkan kerugian finansial jauh lebih besar dibandingkan uang tebusan yang dibayarkan. Namun sebagai catatan, membayar uang tebusan akan makin memotivasi peretas untuk menjalankan aksinya di kemudian hari.

Sedia payung sebelum hujan

Jika perusahaan sudah melakukan mitigasi dengan baik dan mempersiapkan diri ketika terjadi serangan siber, kerugian atas serangan siber bisa ditekan. Hampir tidak mungkin mencegah serangan siber karena layanan digital memanfaatkan keuntungan jaringan internet yang tersebar dan bisa diakses gratis oleh siapa saja di seluruh dunia. Namun sayangnya ini juga termasuk peretas yang dapat melakukan kejahatannya secara online dan lintas negara.

Jika anda sudah memiliki mitigasi dan mempersiapkan diri, anda bisa berpegang pada prinsip ini. Tetapi kalau tidak memiliki mitigasi yang baik ketika terjadi bencana, modal pegang prinsip saja tidak cukup menyelamatkan anda dari bencana kerugian besar. Apalagi jika anda bertanggung jawab atas layanan vital.

Hal ini terutama harus menjadi perhatian khususnya institusi vital yang mengurusi kepentingan masyarakat seperti distribusi BBM, listrik, sistem lalu lintas, air minum, internet, perbankan, data dan telekomunikasi.

Selain itu, ada baiknya pihak otoritas juga menerapkan adanya keterbukaan informasi yang bertanggung jawab dimana jangan terkesan setiap kali ada insiden siber lalu saling melindungi berlomba menutupi apa sebenarnya yang terjadi dan berdoa saja semoga masyarakat lupa atas insiden yang terjadi.

Keterbukaan informasi untuk setiap insiden siber akan mendewasakan kita dan setiap orang bisa belajar, dimana letak masalahnya dan apa yang bisa dipelajari dari insiden yang terjadi. Bukan untuk mencari siapa yang bersalah memberikan hukuman, hal ini tidak bisa membatalkan apa yang sudah terjadi dan kita harus bisa mendapatkan pelajaran terbaik dari setiap insiden siber jika ingin makin aman ke depannya.

Simak Video "Serangan Geng Ransomware Kembali Hantui Indonesia"
[Gambas:Video 20detik]
(asj/asj)