Kelompok Pemeras Baru Menargetkan Sektor Keuangan
Gelombang serangan siber terhadap dana lindung nilai, perusahaan ekuitas swasta, dan organisasi keuangan lainnya telah dikaitkan dengan UNC6671, kelompok pemeras yang dilaporkan terkait dengan pelaku ancaman BlackFile. Keterkaitan tersebut, seperti dilaporkan oleh BleepingComputer, mengarah pada kampanye terkoordinasi yang secara langsung menyasar beberapa sudut industri keuangan yang memiliki sumber daya besar tetapi secara historis kurang mendapat pengawasan.
Dana lindung nilai dan perusahaan ekuitas swasta mengelola jumlah modal yang sangat besar dan menyimpan data sensitif mengenai investor, jalur kesepakatan, dan perusahaan portofolio. Kombinasi antara informasi bernilai tinggi dan, dalam banyak kasus, tim keamanan yang lebih ramping dibandingkan bank-bank besar menjadikan mereka target menarik bagi kelompok yang mengkhususkan diri pada pemerasan alih-alih enkripsi ransomware tradisional.
Siapa UNC6671 dan BlackFile?
UNC6671 adalah sebutan yang digunakan untuk melacak rangkaian intrusi khusus ini, dan keterkaitannya yang dilaporkan dengan BlackFile menunjukkan adanya perangkat, infrastruktur, atau panduan operasional yang digunakan bersama di antara keduanya. Kelompok pemeras seperti ini biasanya mengikuti pola yang sudah lazim: mendapatkan akses ke jaringan, secara diam-diam mengeksfiltrasi file sensitif, lalu menekan korban untuk membayar dengan mengancam akan membocorkan data curian tersebut ke publik. Tidak seperti operator ransomware klasik yang berfokus pada enkripsi sistem dan meminta pembayaran untuk kunci dekripsi, kelompok yang berorientasi pemerasan sering kali melewatkan enkripsi sama sekali dan semata-mata mengandalkan ancaman pembongkaran, yang bisa lebih sulit dideteksi oleh pihak pertahanan hingga kerusakan sudah terjadi.
Pendekatan ini mencerminkan apa yang terjadi dalam insiden-insiden terbaru lainnya. Pelanggaran data Stadler Rail, misalnya, menampilkan geng Everest yang menuntut pembayaran jutaan dolar terkait pelanggaran platform pertukaran data alih-alih penguncian di seluruh sistem. Taktik pemerasan sebagai langkah pertama telah menjadi semakin umum di berbagai industri justru karena taktik ini memerlukan overhead teknis yang lebih rendah dibandingkan menyebarkan dan mengelola muatan ransomware, sambil tetap memberikan pengaruh signifikan kepada penyerang atas korban yang khawatir akan dampak reputasi dan regulasi.
Mengapa Perusahaan Keuangan Menjadi Sasaran Utama
Dana lindung nilai dan perusahaan ekuitas swasta menempati posisi unik dalam lanskap ancaman. Mereka menangani informasi investor yang bersifat rahasia, ketentuan kesepakatan non-publik, dan data keuangan yang dapat bernilai tidak hanya untuk pemerasan, tetapi juga berpotensi untuk perdagangan orang dalam atau intelijen kompetitif jika bocor atau dijual. Dibandingkan dengan bank yang teregulasi, banyak dari perusahaan ini beroperasi dengan tim keamanan internal yang lebih kecil dan sangat bergantung pada vendor pihak ketiga, platform cloud, serta perangkat akses jarak jauh – yang semuanya dapat menjadi titik masuk bagi penyerang.
Hal ini sejalan dengan tren yang lebih luas yang terlihat di lanskap ancaman tahun ini, di mana penyerang semakin mengincar perangkat edge dan infrastruktur akses jarak jauh untuk membangun pijakan. Kampanye yang melibatkan zero-day SonicWall SMA 1000 yang dieksploitasi oleh ransomware INC dan zero-day Cisco FMC yang sedang diserang aktif keduanya menggambarkan betapa cepatnya aktor ancaman bergerak begitu kerentanan di perangkat keras perusahaan yang digunakan secara luas diketahui. Apakah UNC6671 mengandalkan akses tingkat infrastruktur serupa atau lebih pada phishing dan rekayasa sosial yang ditargetkan belum dirinci, tetapi pelajaran mendasarnya berlaku di semua sektor: perimeter hanya sekuat titik masuk terlemah dan paling tidak dipantau.
Apa Artinya Bagi Anda
Jika Anda bekerja di atau berinvestasi melalui dana lindung nilai, perusahaan ekuitas swasta, atau perusahaan jasa keuangan mana pun, kampanye ini adalah pengingat bahwa informasi pribadi dan keuangan Anda mungkin melewati organisasi yang semakin dipandang sebagai target empuk oleh kelompok pemeras. Investor biasanya memiliki sedikit visibilitas tentang seberapa baik suatu dana melindungi data yang dikumpulkannya selama orientasi, uji tuntas, atau pelaporan berkelanjutan.
Bagi karyawan di perusahaan-perusahaan tersebut, risikonya lebih mendesak. Kelompok pemeras sering kali mendapatkan akses awal melalui kredensial yang telah dikompromikan, email phishing, atau perangkat lunak akses jarak jauh yang belum ditambal, alih-alih hanya melalui zero-day yang canggih. Artinya, praktik kebersihan dasar seperti autentikasi multifaktor, verifikasi email yang cermat, dan penambalan tepat waktu masih dapat menutup sebagian besar titik masuk potensial.
Tetap Selangkah Lebih Maju dari Serangan Berbasis Pemerasan
Keterkaitan UNC6671 dan BlackFile menegaskan bagaimana taktik pemerasan telah menjadi strategi pilihan bagi aktor ancaman yang menyasar sektor keuangan, di mana risiko reputasi saja sudah cukup untuk memaksa pembayaran. Seperti insiden-insiden terbaru lainnya yang melibatkan kelompok seperti ransomware Qilin yang mengeksploitasi celah bypass PAN-OS, polanya konsisten: penyerang mencari jalur dengan hambatan paling rendah menuju jaringan bernilai, lalu mengandalkan pembongkaran data alih-alih gangguan untuk memicu respons.
Jika Anda berinteraksi dengan dana lindung nilai, perusahaan ekuitas swasta, atau lembaga keuangan serupa, tanyakan secara langsung tentang bagaimana data Anda dilindungi, apakah enkripsi digunakan untuk catatan sensitif, dan rencana respons insiden apa yang tersedia. Bagi perusahaan itu sendiri, memperlakukan kelompok pemeras seperti UNC6671 sebagai kategori risiko yang berbeda dan terus berkembang, terpisah dari ransomware tradisional, merupakan langkah penting untuk menutup celah yang tengah dieksploitasi para penyerang ini.
