Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Personal Data

Personal Data

Para Ahli Memperingatkan Risiko Privasi yang Disebabkan oleh Pratinjau Tautan di Aplikasi Perpesanan

by

Peneliti keamanan siber selama akhir pekan mengungkapkan risiko keamanan baru yang terkait dengan pratinjau tautan di aplikasi perpesanan populer yang menyebabkan layanan membocorkan alamat IP, mengekspos tautan yang dikirim melalui obrolan terenkripsi end-to-end, dan bahkan mengunduh gigabyte data secara diam-diam di latar belakang.

“Tautan yang dibagikan dalam obrolan mungkin berisi informasi pribadi yang ditujukan hanya untuk penerima,” kata peneliti Talal Haj Bakry dan Tommy Mysk.

“Ini bisa berupa tagihan, kontrak, catatan medis, atau apa pun yang mungkin dirahasiakan.”

“Aplikasi yang mengandalkan server untuk menghasilkan pratinjau tautan mungkin melanggar privasi penggunanya dengan mengirimkan tautan yang dibagikan dalam obrolan pribadi ke server mereka.”

Pratinjau tautan yang dihasilkan di sisi penerima membuka pintu ke risiko baru yang memungkinkan pelaku kejahatan untuk mengukur perkiraan lokasi mereka tanpa tindakan apa pun yang diambil oleh penerima hanya dengan mengirimkan tautan ke server di bawah kendali mereka.

Ini terjadi karena aplikasi perpesanan, setelah menerima pesan dengan tautan, membuka URL secara otomatis untuk membuat pratinjau dengan mengungkapkan alamat IP ponsel dalam permintaan yang dikirim ke server.

Reddit Chat dan aplikasi yang dirahasiakan, yang “dalam proses memperbaiki masalah ini”, ditemukan mengikuti pendekatan ini, menurut para peneliti.

Penggunaan server eksternal untuk menghasilkan pratinjau, sambil mencegah masalah kebocoran alamat IP, menciptakan masalah baru: Apakah server yang digunakan untuk membuat pratinjau menyimpan salinan, dan jika demikian, untuk berapa lama, dan untuk apa mereka menggunakannya?

Beberapa aplikasi, termasuk Discord, Facebook Messenger, Google Hangouts, Instagram, LINE, LinkedIn, Slack, Twitter, dan Zoom, termasuk dalam kategori ini, tanpa ada indikasi bagi pengguna bahwa “server mengunduh apa pun yang mereka temukan di tautan”.

Pengujian aplikasi ini mengungkapkan bahwa kecuali untuk Facebook Messenger dan Instagram, yang lain memberlakukan batas 15-50 MB untuk file yang diunduh oleh server masing-masing. Slack, misalnya, menyimpan pratinjau tautan dalam cache selama sekitar 30 menit.

Meski begitu, para peneliti memperingatkan, ini bisa menjadi “mimpi buruk privasi” jika server menyimpan salinannya dan “pernah ada pelanggaran data dari server ini.”

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: The Hacker News

Google menghapus dua pemblokir iklan Chrome yang tertangkap sedang mengumpulkan data pengguna

by

Google telah menghapus dua ekstensi pemblokir iklan dari Toko Web Chrome resmi selama akhir pekan setelah keduanya kedapatan mengumpulkan data pengguna minggu lalu.

Kedua ekstensi tersebut diberi nama Nano Adblocker dan Nano Defender, dan masing-masing memiliki lebih dari 50.000 dan 200.000 penginstalan, pada saat keduanya dihapus.

Keduanya telah ada selama lebih dari setahun, tetapi kode berbahaya itu tidak disertakan dengan versi aslinya.

Kode pengumpulan data ditambahkan pada awal bulan ini, pada Oktober 2020, setelah penulis asli menjual dua ekstensi tersebut ke “tim pengembang Turki”.

Setelah analisis lebih lanjut, kode berbahaya ini terungkap untuk mengumpulkan informasi tentang pengguna, seperti:

Alamat IP pengguna
Negara
Detail OS
URL situs web
Time Stamp untuk permintaan web
Metode HTTP (POST, GET, HEAD, dll.)
Ukuran respons HTTP
Kode status HTTP
Waktu yang dihabiskan di setiap halaman web
URL lain yang diklik di halaman web

Setelah dipanggil ke GitHub, kedua pengembang Turki itu membuat halaman kebijakan privasi di mana mereka mencoba untuk mengungkapkan perilaku pengumpulan data dalam upaya yang salah untuk melegitimasi kode berbahaya tersebut. Kedua ekstensi tersebut dihapus selama akhir pekan dan dinonaktifkan di Chrome pengguna browser.

Versi Firefox dari Nano Adblocker dan Nano Defender tidak pernah berisi kode berbahaya, karena mereka bukan bagian dari penjualan dan dikelola oleh pengembang yang berbeda.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: ZDNet

Ini adalah Dua Alasan Utama Dibalik 65% Denda GDPR

by

Analisis baru dari perusahaan penemuan data Exonar mengungkapkan bahwa organisasi di seluruh Eropa telah menderita denda GDPR lebih dari £313 juta (US$ 404 juta) karena gagal melindungi data pribadi pelanggan/karyawan dan tidak memiliki keamanan siber yang sesuai.

Exonar mengklaim bahwa sejauh ini 50 penalti dengan total £482 juta (US$ 622 juta) telah dikeluarkan berdasarkan GDPR, di mana 65% di antaranya terutama disebabkan oleh dua masalah utama – keamanan yang tidak memadai dan penyimpanan data yang tidak aman.

Hampir 39% dari denda GDPR disebabkan oleh tindakan keamanan yang tidak memadai di organisasi, yang memengaruhi perusahaan termasuk British Airways, Active Assurances, dan DSK Bank, dengan total denda sebesar £ 188.865.900 (US$ 243.727.981) hingga saat ini.

Menyimpan data tidak aman bertanggung jawab atas 26% denda sebesar £123.663.350 (US$ 159.562.925) yang memengaruhi organisasi terkenal termasuk Marriott, Deutsche Wohnen, dan 1 & 1 Telecom.

Selain itu, penggunaan ilegal informasi identitas pribadi (PII) dan gagal memenuhi Permintaan Akses Subjek Data (DSAR) bertanggung jawab atas 19% denda sebesar £92.055.300 (US$ 118.774.866).

Denda 16% yang tersisa berjumlah £77.135.050 (US$ 99.540.611) disebabkan oleh berbagai masalah seperti kegagalan Uber untuk melaporkan pelanggaran dengan cukup cepat, Pembagian data yang salah dari Unicredit, dan H&M memberikan €35,2 (US $41,1 juta) besar-besaran bulan ini untuk penggunaan data karyawan yang melanggar hukum.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Cisomag

Badan Intelijen Asing Menggunakan Situs Media Sosial untuk Menargetkan Orang-orang dengan Izin Keamanan

by

FBI merilis sebuah peringatan mengenai ancaman dari China.

China dan pemerintah asing lainnya menggunakan situs media sosial jejaring profesional untuk menargetkan orang-orang dengan izin keamanan pemerintah AS.

Badan intelijen asing mungkin menggunakan profil palsu, permintaan yang tampaknya ramah, janji pembayaran yang menguntungkan, dan taktik lain untuk mencoba mendapatkan informasi non-publik dan rahasia untuk keuntungan mereka.

FBI mendesak semua orang — terutama mereka yang memegang (atau pernah memegang) izin keamanan — untuk berhati-hati saat didekati oleh individu secara online mengenai peluang karier.

Apa yang Harus Anda Lakukan?

  • Tinjau pengaturan akun Anda di jejaring sosial dan profesional untuk mengontrol informasi yang tersedia untuk umum, terutama yang berkaitan dengan izin keamanan.
  • Hanya bentuk kontak online dengan orang yang Anda kenal atau setelah Anda memverifikasi sah dengan cara lain.
  • Beri tahu petugas keamanan Anda jika ada kontak dari perusahaan atau individu yang Anda curigai.
  • Jika Anda adalah mantan pemegang izin pemerintah A.S., hubungi kantor FBI terdekat untuk melaporkan penargetan jahat di situs media sosial jejaring profesional atau kirimkan tip secara daring di tips.fbi.gov.

Selengkapnya: FBI

H&M Memecahkan Rekor Denda GDPR Atas Pengawasan Karyawan Ilegal

by

Perusahaan ritel multinasional Swedia, H&M, telah terkena denda GDPR sebesar €35 juta (Rp 607 milyar) karena mengawasi karyawan secara ilegal di Jerman.

Perusahaan ditemukan telah memantau secara berlebihan kepada beberapa ratus karyawan di pusat layanan Nuremberg.

“Setelah absen seperti liburan dan cuti sakit, ketua tim pengawas melakukan apa yang disebut sebagai “Welcome back talk” dengan karyawan mereka. Setelah pembicaraan ini, dalam banyak kasus tidak hanya pengalaman liburan konkret karyawan yang dicatat, tetapi juga gejala penyakit dan diagnosa,” kata HmbBfDI.

“Selain itu, beberapa supervisor memperoleh pengetahuan luas tentang kehidupan pribadi karyawan mereka melalui pembicaraan pribadi, mulai dari detail yang agak tidak berbahaya hingga masalah keluarga dan keyakinan agama.”

H&M mengatakan sekarang akan meninjau keputusan tersebut dengan hati-hati. “Insiden tersebut mengungkapkan praktik untuk memproses data pribadi karyawan yang tidak sesuai dengan pedoman dan instruksi H&M,” kata perusahaan itu.

“H&M bertanggung jawab penuh dan ingin membuat permintaan maaf tanpa pamrih kepada karyawan di pusat layanan di Nuremberg.”

Denda tersebut adalah hukuman GDPR tertinggi yang dikenakan di Jerman sejak undang-undang tersebut diberlakukan pada tahun 2018, dan yang tertinggi kedua dari jenisnya di seluruh benua.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Forbes

Layanan avatar online Gravatar memungkinkan pengumpulan informasi pengguna secara massal

by

Teknik enumerasi pengguna yang ditemukan oleh peneliti keamanan Carlo Di Dato menunjukkan bagaimana Gravatar dapat disalahgunakan untuk pengumpulan data massal profilnya oleh web crawlers dan bots.

Gravatar adalah layanan avatar online yang memungkinkan pengguna mengatur dan menggunakan gambar profil (avatar) di beberapa situs web yang mendukung Gravatar.

Menurut dokumentasi resmi Gravatar, struktur URL profil Gravatar terdiri dari nama pengguna atau hash MD5 dari alamat email yang terkait dengan profil itu.

Peneliti keamanan Italia Carlo Di Dato dalam menemukan kemungkinan ini menghubungi BleepingComputer minggu ini setelah gagal mendapatkan tindakan konkret dari Gravatar.

Rute API tersembunyi di dalam layanan memungkinkan siapa saja untuk mendapatkan data JSON pengguna hanya dengan menggunakan bidang “id” profil.

“Jika Anda melihat file JSON, Anda akan menemukan banyak informasi menarik. Bahaya dari masalah semacam ini adalah bahwa pengguna jahat dapat mengunduh data dalam jumlah besar dan melakukan segala jenis serangan social engineering terhadap pengguna yang sah,” kata Di Dato.

Dalam pengujian yang dilakukan BleepingComputer, mereka dapat mengonfirmasi profil pengguna tertentu memiliki lebih banyak data publik daripada yang lain, misalnya, alamat dompet BitCoin, nomor telepon, lokasi, dll.

Pengguna yang membuat profil publik di Gravatar setuju untuk membuat data ini tersedia untuk umum, jadi ini bukan kebocoran data atau masalah privasi dalam hal itu.

Dulu, penjahat telah mengumpulkan data profil Facebook secara massal menggunakan API-nya dan menjualnya di dark web untuk mendapatkan keuntungan.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Bleeping Computer

Detail pribadi jutaan orang di seluruh dunia dikumpulkan oleh perusahaan teknologi China

by

Sebuah perusahaan teknologi China mengumpulkan data lebih dari 2,4 juta orang di seluruh dunia, termasuk lebih dari 35.000 warga Australia yang merupakan politisi, pebisnis, pemimpin teknologi, jurnalis, dan banyak lagi.

Basis data milik perusahaan Shenzhen Zhenhua Data berisi informasi pribadi termasuk tanggal lahir, alamat, status perkawinan, foto, asosiasi politik, kerabat, catatan kriminal, artikel berita, dan pelanggaran perusahaan.

Basis data juga mencakup 51.000 orang Amerika, 10.000 India, 10.000 warga Inggris, termasuk keluarga kerajaan, dan 5.000 warga Kanada, AFR melaporkan.

Basis data bocor ke akademisi Amerika Christopher Balding, yang sebelumnya berbasis di Shenzhen tetapi telah kembali ke AS karena masalah keamanan. Dia berbagi data dengan Internet 2.0 untuk pemulihan dan analisis. Penemuan ini pertama kali dipublikasikan pada hari Senin oleh konsorsium outlet media termasuk Australian Financial Review dan Daily Telegraph di Inggris.

Situs web Zhenhua tampaknya telah dihapus setelah beberapa pertanyaan diajukan ke perusahaan mengenai temuan ini.

Berita selengkapnya dapat di baca pada tautan di bawah ini;
Source: The Guardian

Sejumlah 890.000 Data Pelanggan Kreditplus Dijual Di Dark Web

by

Sebuah perusahaan keamanan, Cyble Inc, menemukan ratusan ribu data pribadi pelanggan Kreditplus dijual di dark web.

Data yang dijual termasuk nama, alamat email, password, alamat tempat tinggal, nomor telepon, data pekerjaan, data perusahaan, dan data keluarga.

Cyble telah mengindeks data temuan mereka tersebut pada platform data breach monitoring mereka, AmiBreached.com.

Berita selengkapnya dapat dibaca pada tautan di bawah ini;
Source: Cyble Inc