CISA Konfirmasi Pergeseran Besar dalam Taktik BianLian
Badan Keamanan Siber dan Infrastruktur (CISA) telah mengonfirmasi bahwa BianLian, kelompok ransomware yang sebelumnya dikenal karena mengunci jaringan rumah sakit, sepenuhnya berhenti mengenkripsi file sejak Januari 2024. Alih-alih mengacak data dan meminta pembayaran untuk kunci dekripsi, kelompok tersebut kini hanya fokus mencuri informasi sensitif dan mengancam akan membocorkannya jika korban tidak membayar.
Konfirmasi ini penting karena menandakan perubahan yang lebih luas dalam cara operator ransomware beroperasi. Selama bertahun-tahun, pola standar melibatkan enkripsi file korban, meninggalkan catatan tebusan, dan memaksa organisasi memilih antara membayar kunci dekripsi atau membangun ulang dari cadangan. Peralihan BianLian dari model tersebut menunjukkan bahwa pencurian data saja, tanpa langkah enkripsi tambahan, bisa sama menguntungkannya dan jauh lebih sederhana untuk dijalankan.
Dari Enkripsi ke Pemerasan: Mengapa Pergeseran Ini Penting
Mengenkripsi seluruh jaringan membutuhkan waktu, sumber daya komputasi, dan tingkat akses yang meningkatkan kemungkinan terdeteksi sebelum serangan selesai. Cukup menyalin file dari jaringan dan keluar secara diam-diam lebih cepat, lebih sulit dideteksi secara real-time, dan tetap memberi penyerang daya tawar yang kuat. Jika sebuah kelompok dapat mengambil data rekam medis pasien, dokumen keuangan, atau komunikasi internal, ancaman untuk mempublikasikan data tersebut secara publik sering kali cukup untuk menekan korban agar membayar.
Pendekatan ini juga menghindari beberapa pertahanan yang telah dibangun organisasi terhadap serangan berbasis enkripsi. Banyak perusahaan telah berinvestasi besar dalam sistem cadangan dan pemulihan khusus untuk meredam dampak ransomware pengunci file. Cadangan tersebut tidak berguna melawan kelompok yang sama sekali tidak menyentuh integritas file—mereka hanya menyalin data dan pergi. Konfirmasi CISA tentang pergeseran ini sejalan dengan pola yang telah dipantau oleh badan tersebut dengan cermat, termasuk kasus di mana kelompok ransomware beralih mengeksploitasi kerentanan tingkat keparahan tinggi secara luas setelah kerentanan itu diketahui publik, seperti yang terlihat ketika CISA mengonfirmasi geng ransomware mengeksploitasi celah BlueHammer dalam skala besar alih-alih mencadangkannya untuk serangan yang sempit dan tertarget.
Organisasi Layanan Kesehatan Tetap Menjadi Sasaran
Sejarah BianLian yang menargetkan jaringan rumah sakit patut diperhatikan, bahkan dengan perubahan taktik kelompok tersebut. Organisasi layanan kesehatan menyimpan beberapa data pribadi paling sensitif yang ada, termasuk riwayat medis, rincian asuransi, dan catatan perawatan. Sensitivitas itulah yang membuat pemerasan pencurian data bekerja sangat baik terhadap sektor ini. Rumah sakit yang menghadapi prospek data pasien dipublikasikan atau dijual memiliki insentif kuat untuk membayar dengan cepat, terlepas dari apakah sistem mereka pernah dienkripsi atau tidak.
Mendapatkan akses awal ke jaringan ini sering kali masih bergantung pada mengeksploitasi kerentanan yang diketahui, sebuah pola yang telah didokumentasikan CISA berulang kali melalui katalog Kerentanan yang Diketahui Tereksploitasi. Peringatan terbaru badan tersebut tentang celah eskalasi hak akses Linux yang sudah dieksploitasi secara liar menggambarkan bagaimana penyerang terus mengandalkan sistem yang belum ditambal sebagai titik masuk mereka, terlepas dari apa yang mereka lakukan setelah berhasil masuk.
Apa Artinya Bagi Anda
Jika organisasi Anda menangani data sensitif—entah itu rumah sakit, bisnis kecil, atau entitas apa pun yang menyimpan informasi pelanggan—pergeseran ini mengubah seperti apa “perlindungan ransomware” seharusnya. Strategi cadangan tetap penting, tetapi tidak lagi cukup jika berdiri sendiri. Serangan pencurian data seperti pendekatan baru BianLian mengharuskan organisasi untuk sama fokusnya pada pencegahan akses tidak sah dan pemantauan transfer data keluar yang tidak biasa, karena kerusakan terjadi begitu file meninggalkan jaringan, bukan saat file dienkripsi.
Bagi individu, kesimpulannya lebih bersifat pribadi. Jika sebuah organisasi yang menyimpan rekam medis, rincian keuangan, atau informasi pribadi Anda menjadi korban serangan pencurian data, Anda mungkin tidak akan pernah melihat catatan tebusan atau mendengar tentang sistem yang terenkripsi. Tanda pertama masalah bisa saja hanya surat pemberitahuan pelanggaran, atau lebih buruk lagi, menemukan informasi Anda dijual atau bocor secara online.
Langkah-langkah yang Dapat Diambil
Organisasi harus memprioritaskan alat pemantauan jaringan yang mampu menandai transfer data besar atau tidak biasa, bukan hanya peringatan enkripsi yang spesifik untuk ransomware. Menambal kerentanan yang diketahui dengan cepat tetap penting, karena akses awal biasanya masih bergantung pada mengeksploitasi sistem yang belum ditambal. Individu harus tetap waspada terhadap pemberitahuan pelanggaran dari penyedia layanan kesehatan dan lembaga keuangan, serta mempertimbangkan layanan pemantauan kredit atau perlindungan pencurian identitas jika menerimanya. Seiring kelompok ransomware seperti BianLian terus menyesuaikan metode mereka, tetap mendapat informasi tentang pergeseran ini—daripada mengasumsikan bahwa pertahanan masa lalu masih mencakup ancaman hari ini—adalah perlindungan terbaik yang tersedia.
