Asosiasi Komisaris Asuransi Nasional (NAIC) mengonfirmasi bahwa mereka baru saja mengalami serangan siber yang mengakibatkan data yang dicuri bocor di dark web. Meskipun NAIC tidak menyebutkan kelompok pelaku atau ukuran data yang dicuri, grup ternama ShinyHunters mengklaim bertanggung jawab dan menyatakan bahwa mereka telah mencuri sekitar 3,1TB informasi.
Dalam pengumuman keamanan yang dipublikasikan di situs NAIC, disebutkan bahwa para penyerang berhasil mengeksploitasi kerentanan zero-day pada Oracle PeopleSoft, sebuah paket perangkat lunak perencanaan sumber daya perusahaan (ERP) yang dirancang untuk membantu bisnis mengelola karyawan, keuangan, rantai pasokan, dan lainnya. Menurut Cybernews yang merujuk pada Google Mandiant, ShinyHunters pertama kali memanfaatkan kerentanan ini pada 27 Mei dan berhasil mengkompromikan lebih dari 100 organisasi serta 300 individu sebelum Oracle akhirnya merilis pembaruan darurat pada 10 Juni.
Di antara korban serangan tersebut adalah NAIC, di mana lingkungan PeopleSoft mereka berhasil diretas. Data ini kemudian digunakan untuk mendapatkan kredensial dan bergerak ke lokasi penyimpanan data internal.
ShinyHunters Melangkah Maju
Menurut hasil penyelidikan NAIC, informasi yang dicuri termasuk laporan keuangan wajib yang tersedia untuk umum, data peringkat kredit investasi perusahaan asuransi, serta beberapa informasi teknis seperti log dan file konfigurasi yang sudah usang. Namun, tidak ada bukti bahwa data pribadi, informasi perbankan, atau data pembayaran diakses.
NAIC mendeteksi serangan ini pada 11 Juni dan segera meluncurkan protokol respons insiden mereka, termasuk memberi tahu pihak berwenang, memblokir pelaku jahat, dan mengundang ahli keamanan pihak ketiga. Insiden ini diumumkan pada 17 Juni, sehari sebelum ShinyHunters mempublikasikan klaim mereka.
Kelompok ransomware terkenal ini mengklaim telah mengambil lebih dari 264.000 dokumen pengajuan regulasi asuransi, 2.000 pesanan pelanggan berisi informasi pribadi yang dapat diidentifikasi, lebih dari 45.000 file dari agensi penilai kredit utama, serta laporan keuangan tahunan dan kuartalan yang diserahkan oleh perusahaan asuransi. Mereka juga mengklaim telah mencuri log infrastruktur AWS, file konfigurasi cloud, data otomatisasi beban kerja, dan skrip SQL.
Karenanya, dengan beredarnya file-file tersebut di internet, bisa dipastikan bahwa NAIC tidak (ingin) membayar tuntutan tebusan yang diajukan oleh pelaku.
