Apa yang Terjadi: FulcrumSec dan Paparan Token GitHub
Kelompok pemerasan siber yang menyebut diri mereka FulcrumSec berada di balik pelanggaran data di Novo Nordisk, perusahaan farmasi yang dikenal karena memproduksi obat diabetes dan penurunan berat badan yang banyak digunakan. Menurut laporan, para penyerang mendapatkan pijakan mereka bukan melalui eksploitasi zero day yang canggih, melainkan dengan menemukan kredensial yang ditanam secara hardcoded terkait token akses GitHub yang berada di infrastruktur TI Novo Nordisk yang menghadap publik.
Ini bukan taktik sekali pakai bagi kelompok tersebut. FulcrumSec dilaporkan telah membentuk pola dengan memindai repositori kode publik, skrip sisi klien, dan infrastruktur terbuka lainnya untuk mencari rahasia yang tertinggal seperti kunci API, token sesi, dan kredensial akses yang secara tidak sengaja ditinggalkan oleh pengembang. Setelah token yang valid ditemukan, token tersebut dapat bertindak sebagai kunci induk, memberikan penyerang jalur masuk ke sistem yang seharusnya tidak pernah dapat dijangkau dari luar.
Pelanggaran data Novo Nordisk yang melibatkan token GitHub ini menggambarkan tema yang berulang dalam intrusi korporat modern: penyerang semakin tidak perlu menembus firewall ketika sepotong kode yang terlupakan justru menyerahkan kunci kepada mereka.
Mengapa Kredensial Hardcoded Terus Menyebabkan Pelanggaran Korporat
Kredensial hardcoded, yaitu nama pengguna, kata sandi, kunci API, atau token yang ditulis langsung ke dalam kode sumber alih-alih disimpan di manajer rahasia yang aman, tetap menjadi salah satu penyebab pelanggaran data korporat yang paling persisten dan dapat dicegah. Pengembang sering menyematkan nilai-nilai ini selama pengujian atau siklus penerapan yang cepat, dengan niat untuk menghapusnya nanti. Di organisasi teknik yang besar dan bergerak cepat, langkah pembersihan itu sering kali dilewati atau dilupakan.
Setelah kode tersebut didorong ke repositori publik atau semi-publik, atau dikirim di dalam JavaScript sisi klien yang dapat diunduh oleh browser pengunjung mana pun, kredensial tersebut secara efektif terekspos kepada siapa pun yang tahu di mana harus mencari. Kelompok seperti FulcrumSec telah membangun seluruh model operasi mereka di sekitar pencarian kelalaian semacam ini dalam skala besar, memperlakukan pemindaian kredensial sebagai bagian dari proses pengintaian mereka yang dapat diulang dan hampir otomatis.
Pola ini meluas jauh melampaui industri farmasi. Institusi keuangan, perusahaan teknologi, dan produsen semuanya pernah mengalami kompromi serupa yang didorong oleh kredensial. Liputan tentang klaim pelanggaran Deutsche Bank oleh kelompok ransomware Unsafe dan serangan ransomware D1R terhadap ARM yang melewati autentikasi dua faktor keduanya menunjuk pada masalah mendasar yang sama: penyerang merasa lebih mudah berjalan melalui pintu yang dibiarkan tidak terkunci oleh pengembang daripada memaksa membukanya.
Apa Artinya Ini bagi Data Kesehatan Pasien dan Konsumen
Bagi perusahaan seperti Novo Nordisk, taruhan dari kebocoran kredensial melampaui rasa malu korporat yang biasa. Perusahaan farmasi menangani informasi sensitif yang terkait dengan penelitian klinis, manufaktur, dan dalam banyak kasus data yang terhubung dengan pasien yang mengandalkan obat-obatan mereka. Ketika kelompok pemerasan mendapatkan akses internal melalui token yang bocor, paparan tersebut dapat menjalar ke luar ke mitra, penyedia layanan kesehatan, dan pada akhirnya orang-orang yang informasi kesehatannya menyentuh sistem tersebut.
Pelanggaran ini menambah daftar insiden yang terus bertambah yang memengaruhi sektor kesehatan dan farmasi. Liputan sebelumnya merinci bagaimana Boston Scientific dan McKesson keduanya mengonfirmasi pelanggaran yang mengekspos data pasien, dan bagaimana kelompok ShinyHunters menyerang Abbott dan NAIC melalui celah Oracle, mengganggu penelitian obat kanker dalam prosesnya. Setiap insiden menggunakan titik masuk teknis yang berbeda, tetapi hasilnya sama: data sensitif yang berkaitan dengan kesehatan berakhir di tangan orang-orang yang tidak memiliki klaim sah atasnya.
Konsumen yang mengonsumsi obat yang diproduksi oleh perusahaan farmasi besar umumnya memiliki visibilitas atau kendali yang terbatas atas bagaimana perusahaan-perusahaan tersebut mengamankan jalur pengembangan internal mereka. Hal itu menjadikannya wajar untuk mengasumsikan bahwa organisasi mana pun yang menangani data kesehatan hanya seaman rahasia pengembangnya yang paling lemah, dan untuk bertindak sesuai dengan itu ketika diberi tahu tentang pelanggaran.
Bagaimana Organisasi dan Individu Dapat Mengurangi Paparan dari Kebocoran Kredensial
Bagi organisasi, solusinya tidak eksotis. Tim keamanan secara rutin merekomendasikan rotasi kredensial pada jadwal teratur, memindai repositori kode dan skrip sisi klien untuk rahasia yang terekspos sebelum penerapan, dan beralih dari token hardcoded ke alat manajemen rahasia terpusat yang menerbitkan kredensial berumur pendek yang dapat dicabut. Tidak ada satu pun dari ini yang merupakan saran baru, tetapi terulangnya pelanggaran-pelanggaran ini menunjukkan betapa sulitnya untuk menegakkannya secara konsisten di seluruh tim teknik yang besar.
Bagi individu, respons praktis terhadap berita seperti pelanggaran data Novo Nordisk yang melibatkan token GitHub ini cukup sederhana. Perhatikan surat pemberitahuan pelanggaran dari perusahaan farmasi, apotek, atau rencana kesehatan mana pun yang Anda berinteraksi dengannya, dan tanggapi dengan serius bahkan jika pemberitahuan tersebut terdengar rutin. Gunakan kata sandi unik untuk portal kesehatan dan aktifkan autentikasi multifaktor di mana pun fitur itu ditawarkan. Pantau akun yang terkait dengan resep, asuransi, dan penagihan untuk aktivitas yang tidak biasa, karena data yang dicuri dari insiden-insiden ini sering kali muncul kemudian dalam kampanye phishing atau upaya pencurian identitas.
Poin-Poin Penting
Pelanggaran Novo Nordisk adalah pengingat bahwa penyerang tidak selalu memerlukan alat canggih untuk mengompromikan perusahaan besar; terkadang satu kredensial yang terlupakan sudah cukup. Jika Anda menggunakan produk dari Novo Nordisk atau perusahaan kesehatan dan farmasi lainnya, pantau pemberitahuan pelanggaran resmi, tinjau pengaturan keamanan pada akun terkait apa pun, dan tanggapi email tak terduga yang menyebutkan resep atau riwayat medis Anda dengan sangat hati-hati. Mengingat pola yang terlihat pada pelanggaran lain yang berkaitan dengan kesehatan, ada baiknya secara berkala memeriksa bagaimana akun-akun terkait kesehatan Anda sendiri diamankan, daripada menunggu surat pemberitahuan untuk memicu tindakan.
