Pelaku Tersembunyi di Balik Sebagian Besar Paparan Data

Ketika orang membayangkan kebocoran data, biasanya mereka membayangkan seorang peretas bertopi kerudung menerobos firewall atau menyebarkan ransomware terhadap jaringan perusahaan. Namun menurut riset keamanan terkini yang disoroti oleh TechRadar, sumber terbesar data pribadi yang terekspos bukanlah penjahat yang canggih. Melainkan database yang salah konfigurasi, dibiarkan terbuka di internet oleh organisasi yang justru seharusnya melindunginya.

Skala masalah ini bukanlah hal baru, tetapi tetap mengejutkan. Pada akhir 2015, peneliti keamanan Chris Vickery menemukan sebuah database yang berisi informasi pribadi 191 juta pemilih, timbunan data sebesar 300 GB yang tersedia secara publik tanpa kata sandi atau autentikasi apa pun. Tidak ada yang membobol masuk. Tidak ada malware yang terlibat. Seseorang baru saja menyiapkan database tanpa kontrol akses yang memadai, dan database itu terpapar bagi siapa saja yang tahu tempat mencarinya.

Insiden satu dekade lalu itu menggambarkan sebuah pola yang menurut para peneliti keamanan tidak pernah benar-benar hilang: database yang salah konfigurasi tetap menjadi ancaman utama bagi keamanan data, sering kali melampaui insiden peretasan tradisional dalam hal volume data yang terekspos.

Mengapa Salah Konfigurasi Lebih Berbahaya Dibandingkan Peretasan

Mungkin terdengar berlawanan dengan intuisi bahwa kesalahan pengaturan sederhana bisa mengekspos lebih banyak data daripada serangan siber yang disengaja, tetapi hitungannya masuk akal setelah Anda memahami cara kerja infrastruktur data modern. Perusahaan dan lembaga pemerintah semakin mengandalkan database cloud dan bucket penyimpanan untuk mengelola informasi dalam jumlah besar. Membuat database baru hanya butuh waktu beberapa menit. Mengonfigurasinya dengan benar – dengan autentikasi yang tepat, pembatasan jaringan, dan enkripsi – membutuhkan lebih banyak waktu dan keahlian, dan justru langkah inilah yang sering kali dilewati atau dikerjakan dengan kacau.

Tidak seperti peretasan yang ditargetkan, yang biasanya memerlukan upaya, keterampilan teknis, dan rencana untuk membobol target tertentu, database yang salah konfigurasi sering kali hanya tergeletak begitu saja, terindeks oleh mesin pencari atau alat pemindaian, menunggu untuk ditemukan secara tidak sengaja. Peneliti keamanan, jurnalis, dan ya, aktor jahat, secara rutin mencari database terbuka semacam ini karena mereka tidak perlu melewati pertahanan apa pun. Pintunya sudah dibiarkan terbuka lebar.

Ini tidak berarti bahwa pelanggaran tradisional dan serangan ransomware bukanlah ancaman serius. Insiden seperti serangan ransomware Spirals terhadap perusahaan TI Asia menunjukkan bahwa aktor ancaman yang gigih terus memeras organisasi melalui penyusupan yang ditargetkan. Dan klaim seperti dugaan pencurian kode sumber Accenture oleh peretas '888' menunjukkan bahwa pencurian data perusahaan yang sensitif secara sengaja tetap menjadi perhatian aktif. Namun dalam hal volume mentah, paparan yang tenang dan tidak disengaja yang disebabkan oleh database yang diamankan dengan buruk sering kali jauh lebih besar daripada apa yang bisa dicapai oleh kampanye peretasan mana pun.

VPN dan Enkripsi Bukan Solusi Menyeluruh

Bagi pembaca yang mengandalkan VPN untuk melindungi aktivitas online mereka, ada baiknya memahami satu kenyataan pahit: VPN melindungi koneksi Anda ke internet, bukan database yang digunakan perusahaan untuk menyimpan informasi Anda setelah Anda menyerahkannya. Jika perusahaan yang Anda percayai dengan alamat email, nomor telepon, atau detail pembayaran Anda salah mengonfigurasi sistem backend mereka, enkripsi pribadi sebanyak apa pun di sisi Anda tidak akan menghentikan data itu dari terpapar.

Inilah mengapa pelanggaran yang melibatkan data pribadi yang tersimpan, seperti insiden yang mempengaruhi peserta terkenal Festival Film Tribeca atau kebocoran Suno yang muncul kembali mengekspos 55 juta email dan data Stripe, menjadi sangat penting. Insiden-insiden ini menunjukkan bahwa begitu data Anda meninggalkan perangkat dan masuk ke database perusahaan, privasi Anda sepenuhnya bergantung pada praktik keamanan organisasi tersebut, bukan pada alat Anda sendiri.

Arti Pentingnya Bagi Anda

Sebagai konsumen, Anda tidak bisa secara pribadi mengaudit konfigurasi database dari setiap layanan yang Anda gunakan, tetapi Anda bisa membuat pilihan yang lebih bijak. Carilah perusahaan yang transparan tentang praktik keamanan mereka, yang memiliki rekam jejak pengungkapan pelanggaran secara cepat, dan yang menggunakan enkripsi untuk data yang disimpan, bukan hanya data yang sedang dikirim. Tanyakan apakah sebuah layanan meminimalkan data pribadi yang dikumpulkannya sejak awal. Semakin sedikit informasi sensitif yang disimpan perusahaan, semakin kecil kerusakan yang dapat ditimbulkan oleh database yang salah konfigurasi jika suatu saat terekspos.

Penting juga untuk diingat bahwa database yang salah konfigurasi mempengaruhi organisasi dari berbagai ukuran, mulai dari startup kecil hingga database pemilih nasional. Ini bukanlah masalah yang terbatas pada perusahaan dengan anggaran keamanan yang lemah; ini adalah masalah sistemik yang terkait dengan seberapa cepat infrastruktur cloud diterapkan dibandingkan dengan seberapa hati-hati ia diamankan.

Langkah-Langkah yang Dapat Dilakukan

  • Gunakan kata sandi unik dan aktifkan autentikasi multi-faktor di mana pun memungkinkan, sehingga satu database yang terekspos tidak mengompromikan banyak akun.
  • Pantau pemberitahuan pelanggaran data dan pertimbangkan menggunakan layanan pelacakan pelanggaran untuk mengetahui kapan data Anda telah terekspos.
  • Pilih layanan yang menerbitkan kebijakan penyimpanan dan keamanan data yang jelas, serta yang meminimalkan pengumpulan informasi pribadi.
  • Ingatlah bahwa VPN melindungi lalu lintas Anda, bukan basis data yang menyimpan informasi Anda; perlindungan data memerlukan pendekatan berlapis.

Database yang salah konfigurasi kemungkinan akan tetap menjadi penyebab utama paparan data skala besar di masa mendatang, semata-mata karena laju adopsi cloud terus melampaui konfigurasi yang hati-hati. Tetap terinformasi tentang bagaimana dan di mana data Anda disimpan, serta menuntut akuntabilitas dari layanan yang Anda gunakan, tetap menjadi salah satu cara paling praktis untuk mengurangi risiko pribadi Anda.