Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Threat / Data Breach

Data Breach

Peretasan GoDaddy menyebabkan pelanggaran data yang memengaruhi 1,2 juta pelanggan

by

GoDaddy mengatakan bahwa data 1,2 juta pelanggannya terungkap setelah peretas memperoleh akses ke lingkungan hosting WordPress Terkelola perusahaan.

Insiden itu ditemukan oleh GoDaddy Rabu lalu, pada 17 November, namun penyerang memiliki akses ke jaringannya dan data yang terdapat pada sistem yang dilanggar setidaknya sejak 6 September 2021.

    Penyerang dapat mengakses informasi pelanggan GoDaddy berikut menggunakan kata sandi yang disusupi:

  • Hingga 1,2 juta pelanggan WordPress Terkelola aktif dan tidak aktif memiliki alamat email dan nomor pelanggan mereka. Pemaparan alamat email menghadirkan risiko serangan phishing.
  • Kata sandi Admin WordPress asli yang ditetapkan pada saat penyediaan terungkap. Jika kredensial tersebut masih digunakan, kami menyetel ulang kata sandi tersebut.
  • Untuk pelanggan aktif, nama pengguna dan kata sandi sFTP dan database diekspos. Kami mengatur ulang kedua kata sandi.
  • Untuk subset pelanggan aktif, kunci pribadi SSL diekspos. Kami sedang dalam proses menerbitkan dan memasang sertifikat baru untuk pelanggan tersebut.

Perusahaan juga mengungkapkan pelanggaran tahun lalu, pada bulan Mei, ketika memperingatkan beberapa pelanggannya bahwa pihak yang tidak berwenang menggunakan kredensial akun hosting web mereka pada bulan Oktober untuk terhubung ke akun hosting mereka melalui SSH.

Tim keamanan GoDaddy menemukan insiden itu setelah melihat file SSH yang diubah di lingkungan hosting GoDaddy dan aktivitas mencurigakan di subset server GoDaddy.

Pada tahun 2019, scammers juga menggunakan ratusan akun GoDaddy yang disusupi untuk membuat 15.000 subdomain, mencoba meniru situs web populer dan mengarahkan calon korban ke halaman spam yang mendorong produk minyak ular.

Sebelumnya pada tahun 2019, GoDaddy diketahui menyuntikkan JavaScript ke situs pelanggan AS tanpa sepengetahuan mereka, sehingga berpotensi membuat mereka tidak dapat dioperasikan atau memengaruhi kinerja mereka secara keseluruhan.

Sumber : Bleeping Computer

Regulator Singapura Menghukum Pelanggaran Data Terbesar yang Pernah Ada: Hampir 5,9 Juta Info Pelanggan Hotel Terekspos

by

RedDoorz.com malu setelah meninggalkan kunci akses AWS di APK

Komisi Perlindungan Data Pribadi Singapura (PDPC) telah mengeluarkan denda sebesar SG $ 74.000 ($ 54.456) pada perusahaan travel Commeasure, yang mengoperasikan situs web pemesanan travel bernama RedDoorz yang mengekspos 5,9 juta data pelanggan — pelanggaran data terbesar yang ditangani oleh Komisi sejak awal.

PDPC mengumumkan hukuman karena “gagal menerapkan pengaturan keamanan yang wajar untuk mencegah akses tidak sah dan eksfiltrasi data pribadi pelanggan yang dihosting dalam database cloud”.

RedDoorz mulai hidup di Indonesia sebelum pindah operasi ke Singapura, dari sana ia mengumpulkan pemesanan hotel murah di kota-kota tertentu di Asia Tenggara. Pengguna memilih hotel murah dari RedDoorz berdasarkan foto, area dan harga. Ketika wisatawan tiba, pengalaman kamar hotel diganti namanya menjadi RedDoorz dan dilengkapi dengan layanan tertentu – seperti WiFi, TV, dan air minum.

Commeasure mengetahui ada pelanggaran data pelanggan RedDoorz pada September 2020, ketika sebuah perusahaan cybersecurity yang berbasis di Atlanta memberi tahu perusahaan induk tentang peretasan dan menawarkan layanan perbaikan. Dalam seminggu, perusahaan teknologi perjalanan memberi tahu PDPC.

Data yang dicuri termasuk nama, nomor kontak, alamat email, ulang tahun, kata sandi akun RedDoorz terenkripsi dan informasi pemesanan. Menurut putusan PDPC, database tidak termasuk nomor kartu kredit. Jarahan itu disiapkan untuk dijual di forum hacker.

Kesalahan langkah yang membuat data dicuri kembali ke hari-hari startup perusahaan, ketika kunci akses AWS disematkan ke dalam paket aplikasi Android (APK) yang tersedia untuk diunduh dari Google Play Store. APK, yang dibuat pada tahun 2015 dan terakhir diperbarui pada Januari 2018, secara keliru ditandai sebagai kunci “uji” oleh pengembang pada saat itu. Itu tetap terlihat meskipun dianggap “mati” sampai perusahaan diberitahu tentang pelanggaran pada tahun 2020.

Dengan kunci akses AWS di tangan, crims dapat memperoleh akses dan exfiltrate catatan pelanggan yang dihosting di database cloud Amazon RDS. RedDoorz memang melakukan upaya untuk melindungi data – misalnya dengan menyewa perusahaan cybersecurity dan menggunakan alat obfuscation Java Proguard untuk mencegah rekayasa balik APK – tetapi itu semua sia-sia karena file yang relevan tidak pernah dievaluasi.

Pendiri dan CEO RedDoorz, Amit Samberwal, mengatakan kepada The Register:

Kami segera melakukan tinjauan internal dan kemudian melibatkan perusahaan cybersecurity eksternal untuk meningkatkan langkah-langkah keamanan. Pada saat itu, kami juga telah memberi tahu semua pengguna, media publik, dan otoritas masing-masing tentang pelanggaran tersebut. PDPC di Singapura baru-baru ini menyelesaikan penyelidikan setelah lebih dari satu setengah tahun, dan menganggap kasus ini ditutup dengan denda $ 74K yang dikenakan.

Commeasure mengatakan kepada PDPC bahwa kegagalan untuk menerapkan proses yang cukup kuat untuk mengelola inventaris kunci akses infrastrukturnya adalah karena pergantian karyawan yang tinggi. Itu tidak berjalan dengan baik dengan Komisi. Namun, otoritas pengatur mengatakan mempertimbangkan perilaku kooperatif perusahaan, tindakan perbaikan, tinjauan keamanan yang tidak efektif namun teratur, dan keadaan yang tidak menguntungkan menjadi bisnis perhotelan di tengah pandemi, karena memutuskan hukuman keuangan.

Komisi memberi Commeasure 30 hari untuk membayar sebelum bunga masuk.

Sumber: The Register

Meningkatnya Serangan Iran ke Sektor TI

by Leave a Comment

Aktor ancaman Iran meningkatkan serangan terhadap perusahaan layanan TI sebagai cara untuk mengakses jaringan pelanggan mereka. Kegiatan ini penting karena menargetkan pihak ketiga memiliki potensi untuk mengeksploitasi organisasi yang lebih sensitif dengan memanfaatkan kepercayaan dan akses dalam rantai pasokan. Microsoft telah mengamati beberapa aktor ancaman Iran yang menargetkan sektor layanan TI yang bertujuan untuk mencuri kredensial sign-in ke jaringan pelanggan yang memungkinkan serangan lebih lanjut. Microsoft Threat Intelligence Center (MSTIC) dan Digital Security Unit (DSU) menilai ini adalah bagian dari tujuan spionase yang lebih luas untuk mengkompromikan organisasi yang berkepentingan dengan rezim Iran.

Hingga Juli 2021, Microsoft telah mengamati sejarah yang relatif sedikit tentang aktor Iran yang menyerang target India. Ketika India dan negara-negara lain meningkat sebagai pusat layanan TI utama, lebih banyak aktor negara mengikuti rantai pasokan untuk menargetkan pelanggan sektor publik dan swasta di seluruh dunia yang sesuai dengan kepentingan negara.

Hingga tahun ini, Microsoft telah mengeluarkan lebih dari 1.600 pemberitahuan kepada lebih dari 40 perusahaan TI sebagai tanggapan atas penargetan Iran, dibandingkan dengan 48 pemberitahuan pada tahun 2020, menjadikan ini peningkatan yang signifikan dari tahun-tahun sebelumnya (Gambar 1). Fokus beberapa kelompok ancaman Iran di sektor TI terutama melonjak dalam enam bulan terakhir – sekitar 10-13% dari pemberitahuan kami terkait dengan aktivitas ancaman Iran dalam enam bulan terakhir, dibandingkan dengan dua setengah persen dalam enam bulan sebelumnya (Gambar 2).

Gambar 1: Jumlah pemberitahuan yang dikirim ke Layanan TI terkait penargetan aktor yang berbasis di Iran
Gambar 2: Jumlah pemberitahuan yang dikirim ke Layanan TI terkait penargetan aktor yang berbasis di Iran

Sebagian besar penargetan difokuskan pada perusahaan layanan TI yang berbasis di India, serta beberapa perusahaan yang berbasis di Israel dan Uni Emirat Arab. Meskipun beda teknik dari serangan rantai pasokan baru-baru ini, serangan ini merupakan contoh lain tentang bagaimana aktor negara semakin menargetkan rantai pasokan sebagai vektor tidak langsung untuk mencapai tujuan mereka.

Seengkapnya: Microsoft

Web Server Polri Diretas oleh Peretas Brasil

by

Dilansir dari CyberThreat.id, seorang peretas asal Brasil bernama son1x mengklaim bahwa ia telah meretas web server dari subdomain milik Polri. Tidak hanya satu web server namun 3 web server yang berhasil ia retas. Lebih buruknya lagi, basis data yang diduga berasal dari salah satu server, ia bagikan secara gratis di akun Twitter nya.

Peretas ini adalah peretas yang sama yang melakukan deface pada situs web Pusat Malware Nasional milik Badan Siber dan Sandi Negara pada akhir Oktober kemarin. Ia mengklaim sebetulnya bisa masuk lebih dalam lagi ke server BSSN, tapi dirinya takut dipenjara.

Baru-baru ini, ia kembali berulah dengan merusak empat subdomain Badan Pengkajian dan Penerapan Teknologi (BPPT) dan satu subdomain Goverment Certification Authority (GovCA), yaitu otoritas yang mengotentikasi pihak yang akan bertransaksi khususnya di pemerintahan. GovCa dibentuk oleh BPPT.

Ia mengatakan bahwa semenjak ia meretas BSSN, ada beberapa upaya Polri untuk mencari tahu tentang dirinya.

Basis data yang ia bocorkan berisi informasi pribadi dan kredensial pegawai Polri dan orang-orang yang terlibat di dalamnya.

Dari pengamatan CyberThreat.id, basis data tersebut berisi:

  • Nama
  • Tempat tanggal lahir
  • Satker
  • Pangkat
  • Status pernikahan
  • Jabatan
  • Alamat
  • Pangkat terakhir
  • Agama
  • Golongan darah
  • Suku
  • pen_umum_terakhir
  • pen_polri_terakhir
  • pen_jurusan_terakhir
  • pen_jenjang_terakhir
  • rehab_no_putusan
  • rehab_tanggal_putusan_sidang
  • rehab_id_jenis_pelanggaran
  • id_propam
  • s_tgl_hukuman_selesai
  • s_tgl_hukuman_mulai
  • s_tgl_rehab_mulai
  • s_tgl_rehab_selesai
  • s_tgl_binlu_mulai
  • s_tgl_binlu_selesai
  • email
  • no_hp.[]

Sumber: Cyberthreat.id

7 juta alamat email pengguna Robinhood dijual di forum peretas

by

Sekitar 7 juta data pelanggan Robinhood dicuri dalam pelanggaran data baru-baru ini dan data tersebut dijual di forum dan pasar peretasan populer.

Robinhood mengungkapkan setelah salah satu karyawannya diretas,pelaku kemudian menggunakan akun mereka untuk mengakses informasi sekitar 7 juta pengguna melalui sistem dukungan pelanggan.

Data yang dicuri selama serangan termasuk informasi pribadi adalah:

  • Alamat email untuk 5 juta pelanggan
  • Nama lengkap untuk 2 juta pelanggan lainnya
  • Nama, tanggal lahir, dan kode pos untuk 300 orang
  • Informasi akun yang lebih luas untuk sepuluh orang

Selain mencuri data, Robinhood menyatakan bahwa peretas berusaha memeras perusahaan untuk mencegah pelepasan data. Dua hari setelah Robinhood mengungkapkan serangan itu, seorang aktor ancaman bernama ‘pompompurin’ mengumumkan bahwa mereka menjual data di forum peretasan.

Pompompurin mengatakan dia menjual 7 juta informasi curian pelanggan Robinhood untuk setidaknya lima angka, yaitu $ 10.000 atau lebih tinggi.

Data yang terjual termasuk 5 juta alamat email, dan untuk kumpulan pelanggan Robinhood lainnya, 2 juta alamat email dan nama lengkap mereka. Namun, pompompurin mengatakan mereka tidak menjual data untuk 310 pelanggan yang memiliki informasi lebih sensitif yang dicuri, termasuk kartu identitas untuk beberapa pengguna.

pompompurin memperoleh akses ke sistem dukungan pelanggan Robinhood setelah menipu karyawan meja bantuan untuk menginstal perangkat lunak akses jarak jauh di komputer mereka.

Setelah perangkat lunak akses jarak jauh diinstal pada perangkat, pelaku ancaman dapat memantau aktivitas mereka, mengambil tangkapan layar, dan mengakses komputer dari jarak jauh. Selain itu, saat mengendalikan perangkat dari jarak jauh, penyerang juga dapat menggunakan kredensial login yang disimpan karyawan untuk masuk ke sistem Robinhood internal yang dapat mereka akses.

Pompompurin memposting tangkapan layar yang mengakses sistem internal Robinhood. Tangkapan layar ini termasuk bantuan internal yang digunakan untuk mencari informasi anggota Robinhood melalui alamat email, halaman basis pengetahuan internal tentang inisiatif “Project Oliver Twister” yang dirancang untuk melindungi pelanggan berisiko tinggi, dan halaman “anotasi” yang menunjukkan catatan untuk tujuan tertentu. pelanggan.

Bagian dari tangkapan layar yang menunjukkan catatan anggota internal

pompompurin juga bertanggung jawab atas penyalahgunaan server email FBI untuk mengirim email ancaman selama akhir pekan,entitas AS mulai menerima email yang dikirim dari penerima peringatan infrastruktur FBI bahwa “kluster virtual” mereka menjadi sasaran dalam “serangan berantai canggih,” seperti yang ditunjukkan dalam email di bawah ini.
Email peringatan FBI palsu dikirim akhir pekan ini

Untuk mengirim email ini, pompompurin menemukan bug di portal FBI Law Enforcement Enterprise Portal (LEEP) yang dapat dimanfaatkan aktor untuk mengirim email dari alamat IP milik FBI.

Karena email tersebut berasal dari alamat IP yang dimiliki oleh FBI, itu menambah legitimasi pada email tersebut, menyebabkan badan pemerintah dibanjiri dengan panggilan prihatin tentang peringatan palsu tersebut.

Setelah mengetahui serangan itu, FBI membuat server terkait offline untuk menyelesaikan masalah tersebut.

Selengkapnya : Bleeping Computer

Robinhood mengungkapkan pelanggaran data yang berdampak pada 7 juta pelanggan

by

Platform perdagangan saham Robinhood telah mengungkapkan pelanggaran data setelah sistem mereka diretas dan aktor ancaman memperoleh akses ke informasi pribadi sekitar 7 juta pelanggan.

Serangan itu terjadi pada 3 November setelah seorang pelaku ancaman menelepon seorang karyawan dukungan pelanggan dan menggunakan rekayasa sosial untuk mendapatkan akses ke sistem dukungan pelanggan.

Setelah mengakses sistem pendukung, pelaku ancaman dapat mengakses informasi pelanggan, termasuk nama lengkap, alamat email, dan untuk sejumlah orang, data kelahiran, dan kode pos.

Singkatnya, pelanggaran data mengungkapkan:

  • Alamat email untuk 5 juta pelanggan.
  • Nama lengkap untuk 2 juta.
  • Nama, tanggal lahir, dan kode pos untuk 300 orang.
  • Informasi akun yang lebih detail untuk 10 orang.

Perusahaan menyatakan bahwa mereka tidak percaya ada nomor Jaminan Sosial, nomor rekening bank, atau nomor kartu debit yang terpapar dalam serangan itu.

Setelah mengetahui serangan itu dan mengamankan sistem mereka, RobinHood juga menerima permintaan pemerasan. Sementara Robinhood belum memberikan perincian apa pun mengenai permintaan pemerasan, kemungkinan ada ancaman bahwa data yang dicuri akan bocor jika tebusan Bitcoin tidak dibayarkan.

RobinHood mengatakan mereka terus menyelidiki insiden tersebut dengan bantuan Mandiant, sebuah perusahaan keamanan siber terkenal yang biasa digunakan untuk melakukan respons insiden setelah serangan.

Selengkapnya: Bleeping Computer

Peretas meminta maaf kepada keluarga kerajaan Arab karena membocorkan data mereka

by

Pada bulan Oktober, geng ransomware terkenal yang dikenal sebagai Conti merilis ribuan file yang dicuri dari toko perhiasan Inggris Graff.

Sekarang, para peretas ingin dunia tahu bahwa mereka menyesali keputusan mereka, mungkin sebagian karena mereka merilis file milik orang yang sangat kuat.

Di antara data yang dibocorkan Conti, ada file sensitif milik selebriti seperti David Beckham, Oprah Winfrey, dan Donald Trump, menurut The Daily Mail. Ada juga, menurut peretas itu sendiri, informasi milik keluarga kerajaan UEA, Qatar, dan Saudi.

Dan para peretas benar-benar tidak ingin membuat mereka kesal.

“Kami menemukan bahwa data sampel kami tidak ditinjau dengan benar sebelum diunggah ke blog,” tulis para peretas dalam pengumuman yang diterbitkan pada hari Kamis. “Conti menjamin bahwa informasi apa pun yang berkaitan dengan anggota keluarga Arab Saudi, UEA, dan Qatar akan dihapus tanpa paparan dan peninjauan apa pun.”

“Tim kami meminta maaf kepada Yang Mulia Pangeran Mohammed bin Salman dan setiap anggota Keluarga Kerajaan lainnya yang namanya disebutkan dalam publikasi atas ketidaknyamanan ini,” tambah para peretas.

Peretas juga mengatakan bahwa selain mempublikasikan data di situs mereka, mereka tidak menjual atau memperdagangkannya, dan mulai sekarang mereka akan “menerapkan proses peninjauan data yang lebih kaku untuk operasi apa pun di masa mendatang.”

Selengkapnya: Vice

Peretas BlackShadow melanggar perusahaan hosting Israel dan memeras pelanggan

by

Kelompok peretas BlackShadow menyerang penyedia hosting Israel Cyberserve untuk mencuri basis data klien dan mengganggu layanan perusahaan.

Cyberserve adalah perusahaan pengembangan web dan perusahaan hosting Israel yang digunakan oleh berbagai organisasi, termasuk stasiun radio lokal, museum, dan lembaga pendidikan.

Mulai Jumat, ketika mencoba mengakses situs web yang dihosting di Cyberserve, pengunjung menemui kesalahan situs web atau pesan bahwa situs tersebut tidak dapat diakses karena insiden keamanan siber.

Sebuah kelompok peretasan yang dikenal sebagai BlackShadow mengaku bertanggung jawab atas serangan terhadap Cyberserve dan memeras perusahaan hosting dan pelanggannya dengan menuntut $ 1 juta dalam cryptocurrency untuk tidak membocorkan data yang dicuri.

Batas waktu permintaan pemerasan ini ditetapkan selama 48 jam, dimulai pada hari Sabtu, tetapi para aktor segera membocorkan sampel 1.000 catatan untuk membuktikan bahwa meraka benar-benar memiliki data perusahaan.

Termasuk dalam pencurian data adalah database yang berisi informasi pribadi dari situs LGBT besar bernama ‘Atraf,’ yang membuat insiden keamanan cukup mengerikan.

Mengekspos orang-orang LGBT yang hidup dalam masyarakat konservatif menempatkan mereka pada risiko yang signifikan, baik secara fisik maupun psikologis.

Pada saat penulisan, banyak situs web yang dihosting di CyberServe tidak dapat diakses, termasuk Atraf, yang menunjukkan bahwa perusahaan masih menanggapi serangan tersebut.

Direktorat Cyber Nasional setempat mengatakan kepada The Times of Israel bahwa mereka telah memperingatkan CyberServe tentang serangan cyber yang akan segera terjadi beberapa kali di hari-hari sebelumnya.

Tidak jelas apakah Cyberserve mengabaikan peringatan ini atau tidak dapat menemukan kerentanan keamanan yang digunakan oleh pelaku ancaman.

Selengkapnya: Bleeping Computer