Tak Hanya di Indonesia, Ini 10 Kebocoran dan Kejahatan Data Terbesar Tahun 2021

Sejauh ini (7/9/2021) sudah lebih dari 98,2 juta orang terkena dampak dari 10 pelanggaran data terbesar pada paruh pertama tahun 2021, dengan tiga dari 10 pelanggaran terbesar terjadi di perusahaan teknologi. 

Pada semester pertama  tahun 2021, hanya 118,6 juta orang yang terkena dampak pelanggaran data, paparan data, dan kebocoran data. Dan hanya 38 persen dari total pelanggaran data tahun 2020 sebanyak 310 juta korban. Itu turun tajam dari rekor 2,5 miliar korban pada 2016.

Penjahat dunia maya telah mengalihkan serangan mereka untuk mengejar penjahat dan target yang dianggap tidak terlindungi dengan baik dengan harapan mengamankan pembayaran ransomware yang lebih besar, menurut Pusat Sumber Daya Pencurian Identitas (ITRC) , yang melacak insiden di mana peretas mencuri catatan sensitif pelanggan dan karyawan yang berisi Data Pribadi Informasi yang Dapat Diidentifikasi seperti nomor jaminan sosial, nomor SIM, nomor kartu kredit dan catatan medis. Akibatnya, layanan profesional, manufaktur, dan utilitas mengalami peningkatan paling signifikan dalam kompromi data, sementara layanan kesehatan dan ritel mengalami penurunan data.

1. Astoria Company

Jumlah Korban: 30 Juta akun

Tim intelijen Night Lion Security menyadari pada bulan Januari beberapa database dijual di web gelap oleh kelompok peretasan Shiny Hunters, termasuk 40 juta akun Jaminan Sosial AS milik Perusahaan Astoria. Night Lion melaporkan masalah tersebut kepada Astoria, yang tidak menyadari bahwa data mereka telah terdaftar untuk dijual di pasar web gelap.

Analisis data Night Lion menemukan bahwa 10 juta pelanggan Astoria memiliki nomor Jaminan Sosial, rekening bank, dan nomor SIM mereka. Selain itu, lebih dari 10 juta pelanggan Astoria memiliki informasi dari bidang lain yang terkena pelanggaran seperti riwayat kredit, data medis, rumah, dan informasi kendaraan.

Data Astoria yang bocor juga berisi log transaksi email yang menunjukkan informasi sensitif pengguna yang ditransfer, tidak terenkripsi, melalui email, menurut Night Lion. Ribuan email yang terkandung dalam file log ini mencakup informasi sensitif serupa yang dikirim ke sejumlah domain berbeda, kata Night Lion.

2. ParkMobile

Jumlah Korban: 21 Juta akun

ParkMobile menyadari  pada bulan Maret terkait dengan kerentanan dalam perangkat lunak pihak ketiga yang digunakan perusahaan. Dengan cekatan, perusahaan segera mengadakan penyelidikan, dan menemukan bahwa informasi dasar pengguna nomor plat kendaraan, alamat email, nomor telepon, dan nama panggilan kendaraan telah diakses. Dalam persentase kecil kasus, alamat surat juga diakses.

Perusahaan juga menemukan bahwa kata sandi terenkripsi diakses, tetapi bukan kunci enkripsi yang diperlukan untuk membacanya. ParkMobile mengatakan itu bentuk perlindungan kata sandi pengguna dengan mengenkripsinya dengan teknologi hashing dan salting yang canggih. Sebagai tindakan pencegahan tambahan, ParkMobile mengatakan pengguna dapat mempertimbangkan untuk mengubah kata sandi mereka.

Tidak ada kartu kredit atau riwayat transaksi parkir yang diakses, dan ParkMobile mengatakan tidak mengumpulkan nomor Jaminan Sosial, nomor SIM, atau tanggal lahir. "Sebagai aplikasi parkir terbesar di AS, kepercayaan pengguna kami adalah prioritas utama kami," kata ParkMobile. "Yakinlah kami menganggap serius tanggung jawab kami untuk menjaga keamanan informasi pengguna kami."

3. ClearVoiceResearch.com

Jumlah Korban: 15,7 Juta akun

ClearVoice mengetahui pada bulan April bahwa pengguna gelap telah memposting database online yang berisi informasi profil peserta survei dari Agustus dan September 2015 dan menawarkan informasi kepada publik untuk dibeli. Data yang dapat diakses meliputi informasi kontak, kata sandi, dan tanggapan atas pertanyaan yang dijawab pengguna tentang kondisi kesehatan, afiliasi politik, dan etnis.

Kumpulan data dapat disalahgunakan oleh pihak yang tidak bertanggung jawab, yang mengakibatkan peserta survei dihubungi untuk tujuan seperti periklanan, kata ClearVoice. Selain itu, informasi yang dapat diakses dapat digunakan untuk menyiapkan profil pribadi, yang dapat digunakan dalam konteks komersial atau politik, menurut ClearVoice.

Dalam waktu satu jam setelah menerima email dari pengguna yang tidak sah, ClearVoice mengatakan telah menemukan file cadangan, mengamankannya, dan menghilangkan paparan lebih lanjut ke file tersebut di layanan cloud. ClearVoice juga memaksa pengaturan ulang kata sandi untuk semua anggota yang informasinya berpotensi terekspos, dan menerapkan langkah-langkah keamanan untuk mencegah terulangnya insiden semacam itu dan melindungi privasi data anggota.

4. Jefit

Jumlah Korban: 9,05 Juta akun

Aplikasi pelacakan olahraga Jefit pada bulan Maret menemukan pelanggaran data karena bug keamanan yang memengaruhi akun klien yang terdaftar sebelum 20 September 2020. Pelaku mendapatkan akses ke beberapa atau mungkin semua hal berikut: Nama pengguna akun Jefit; alamat email yang terkait dengan akun; kata sandi terenkripsi; dan alamat IP saat membuat akun. Jefit menyimpan alamat IP untuk tujuan anti-bot dan untuk mendaftarkan akun yang menyalahgunakan.

Perusahaan mengatakan mengambil tindakan segera untuk mengamankan server dan akun yang terkena dampak, mengidentifikasi akar penyebab pelanggaran data, dan mengkonfirmasi bahwa sistem Jefit lainnya tidak terpengaruh. Jefit mengatakan telah mengambil langkah-langkah keamanan untuk memperkuat jaringannya terhadap pelanggaran serupa di masa depan, dan juga mengadopsi kebijakan kata sandi yang jauh lebih kuat pada produknya untuk lebih melindungi akun pengguna di masa depan.

Jefit mengatakan tidak ada data keuangan sensitif yang terlibat karena perusahaan tidak pernah menyimpan informasi pembayaran pelanggan. Semua proses pembayaran langsung ditangani oleh Google Play Store, Apple App Store, atau langsung diproses oleh perusahaan payment gateway saat pelanggan membeli produk di website Jefit.

5. Infinity Insurance Company

Jumlah Korban: 5,72 Juta akun

Perusahaan Asuransi Infinity mengungkapkan pada bulan Maret bahwa telah terjadi akses singkat dan tidak sah ke file di server di jaringan Infinity pada dua hari di bulan Desember 2020. Infinity melakukan tinjauan komprehensif terhadap file yang disimpan ke server yang diakses, dan menemukan bahwa beberapa Nomor keamanan atau nomor SIM yang terkandung dalam file.

Pelanggaran ini juga mempengaruhi karyawan Infinity saat ini atau mantan, di mana informasi yang terpapar termasuk nama karyawan, nomor Jaminan Sosial, dan/atau dalam kasus tertentu informasi medis sehubungan dengan cuti medis atau klaim kompensasi pekerja. Karyawan dan pelanggan yang terkena dampak akan menerima keanggotaan layanan pemantauan kredit gratis selama satu tahun.

Untuk mengurangi risiko pelanggaran serupa di masa depan, Infinity mengatakan pihaknya terus meninjau program keamanan sibernya dan akan menggunakan informasi dari penyelidikan untuk mengidentifikasi langkah-langkah tambahan guna lebih meningkatkan keamanan jaringannya. "Kami memahami pentingnya melindungi informasi pribadi dan kami dengan tulus meminta maaf atas ketidaknyamanan ini," tulis perusahaan itu dalam sebuah surat kepada karyawan.

6. Florida Healthy Kids Corporation

Jumlah Korban: 3,5 Juta akun

Platform web yang digunakan untuk menghosting situs web Florida Healthy Kids - Jelly Bean Communications Design - telah diretas, artinya informasi pribadi yang diberikan oleh keluarga Florida yang menyelesaikan Aplikasi Florida KidCare online organisasi antara November 2013 dan Desember 2020 dapat diekspos ke peretas .

Informasi pribadi yang dapat diekspos, digunakan, atau diakses oleh peretas meliputi: nama lengkap; tanggal lahir; alamat email; nomor telepon; alamat fisik dan alamat surat; nomor Jaminan Sosial; Informasi keuangan seperti upah, tunjangan, tunjangan anak, royalti, dan potongan pajak; informasi asuransi sekunder; dan hubungan keluarga di antara pelamar.

Organisasi tersebut menemukan bahwa beberapa ribu alamat pelamar Florida KidCare telah diakses secara tidak tepat, dirusak, dan diubah oleh para peretas. Pakar keamanan siber menemukan bahwa Jelly Bean Communications Design telah gagal menerapkan patch keamanan ke perangkat lunaknya, sehingga membuat situs web rentan terhadap kerentanan yang akhirnya dieksploitasi oleh peretas.

7. Accellion

Jumlah Korban: 3,46 Juta akun

Peretas pada bulan Desember 2020 menyatukan eksploitasi untuk beberapa kerentanan zero-day dalam produk Accellion File Transfer Appliance (FTA) lama dan data yang dieksfiltrasi, menuntut pembayaran untuk memastikan pengembalian dan penghapusan data. Situs kebocoran data geng ransomware Clop digunakan untuk mempublikasikan beberapa data yang dicuri untuk mendorong pembayaran uang tebusan, menurut Panduan HIPAA .

Setidaknya 9 organisasi layanan kesehatan diketahui telah terpengaruh oleh pelanggaran data Accellion pada April. Itu termasuk: 1,47 juta pelanggan Kroger Pharmacy; 1,24 juta anggota Health Net, 587.000 pasien Trinity Health; 80.000 anggota Kesehatan & Kebugaran California; 50.000 pelanggan Trillium Health Plan; dan 29.000 anggota Arizona Complete Health, menurut Panduan HIPAA.

Stanford Medicine, University of Miami Health, dan Centene Corp juga terkena dampak pelanggaran tersebut, meskipun Jumlah Korban di masing-masing organisasi tersebut belum dikonfirmasi. Informasi yang terungkap dalam pelanggaran termasuk : nama, Nomor Jaminan Sosial, tanggal lahir, nomor kredit atau rekening bank, nomor asuransi kesehatan, dan/atau informasi terkait kesehatan.

8. Volkswagen Group of America

Jumlah Korban: 3,3 Juta akun

Pihak ketiga memperoleh informasi yang diterima dari atau tentang pelanggan Amerika Serikat dan Kanada dan pembeli yang tertarik melalui vendor yang digunakan oleh Audi, Volkswagen dan beberapa kesepakatan, Volkswagen mengungkapkan pada bulan Juni. Informasi yang terungkap dikumpulkan untuk tujuan penjualan dan pemasaran antara 2014 dan 2019 dan dibiarkan tanpa jaminan oleh vendor antara Agustus 2019 dan Mei 2021, kata Volkswagen.

Sekitar 90.000 pelanggan Audi atau calon pembeli memiliki nomor SIM mereka, sementara jumlah yang lebih kecil memiliki informasi sensitif tambahan yang diekspos seperti tanggal lahir, nomor Jaminan Sosial atau asuransi sosial, nomor rekening atau pinjaman, dan nomor identifikasi pajak. Semua orang ini akan menerima layanan pemantauan kredit, asuransi $ 1 juta, dan bantuan jika terjadi pencurian identitas.

Untuk sisa 97 persen individu yang terkena dampak, informasi yang terpapar hanya terdiri dari data kontak dan kendaraan. Ini dapat mencakup pelanggan Audi atau calon pelanggan: nama depan dan belakang; alamat rumah atau bisnis; alamat email; nomor telepon; Nomor Identifikasi Kendaraan (VIN); membuat; model; tahun; warna; dan paket trim, menurut Volkswagen.

9. DriveSure

Jumlah Korban: 3,28 Juta akun

Seorang aktor ancaman memposting beberapa basis data yang mengklaim berasal dari drivesure.com di forum peretasan web gelap berbahasa Inggris yang populer, menurut Keamanan Berbasis Risiko . Dalam posting panjang untuk membuktikan kualitas database yang tinggi, aktor ancaman merinci file yang bocor dan informasi pengguna, dengan banyak file dan folder backend bocor, menurut Risk Based Security.

Satu folder bocor memperlihatkan 91 database sensitif yang berisi informasi dealer dan inventaris terperinci, data pendapatan, laporan, klaim, dan data klien. Data pengguna yang terekspos dalam file yang disusupi meliputi: nama; alamat; nomor telepon; alamat email; alamat IP; rincian mobil; nomor VIN; catatan layanan mobil; klaim kerusakan; kata sandi yang di-hash; pesan teks dan email dengan klien.

Informasi yang bocor dalam basis data ini adalah yang utama untuk penipuan asuransi, dengan penjahat menggunakan informasi pengenal pribadi, klaim kerusakan, detail mobil yang diperluas, dan informasi dealer dan garansi untuk menargetkan perusahaan asuransi dan pemegang polis. Kredensial pengguna dapat dimanfaatkan oleh pelaku ancaman untuk masuk ke platform lain seperti rekening bank, akun email pribadi, dan sistem perusahaan.

10. 20/20 Eye Care Network

Jumlah Korban: 3,25 Juta akun

20/20 Eye Care Network menemukan bahwa data telah dihapus dari bucket S3 yang dihosting di lingkungan Amazon Web Services (AWS) dan semua data di bucket S3 kemudian dihapus. Peretas mungkin telah memperoleh akses ke nama, alamat, nomor Jaminan Sosial, nomor identifikasi anggota, tanggal lahir, dan informasi asuransi kesehatan untuk beberapa atau semua anggota paket kesehatan 20/20.

Sebuah perusahaan keamanan siber menyelidiki pelanggaran untuk 20/20 dan tidak bisa mengatakan file mana yang dilihat atau dihapus oleh musuh yang tidak dikenal. 20/20 tidak berpikir ada penyalahgunaan yang sebenarnya dari informasi pribadi atau penglihatan/pendengaran dari anggota program kesehatannya, tetapi mengakui tidak tahu pasti.

Setelah menemukan pelanggaran tersebut, 20/20 mengatakan pihaknya bergerak cepat untuk menyelidiki dan merespons, menilai keamanan sistemnya, memberi tahu individu yang berpotensi terkena dampak, dan menerapkan perlindungan dan pelatihan tambahan untuk karyawannya. 20/20 mengatakan juga menyediakan akses ke layanan pemantauan kredit tanpa biaya selama dua belas bulan kepada individu yang informasi pribadinya berpotensi dikompromikan dalam pelanggaran tersebut.