Serangan ShinyHunters terhadap Oracle PeopleSoft memiliki detail baru: apa yang awalnya digambarkan sebagai satu zero-day ternyata adalah tiga celah yang dirangkai. Menurut laporan tersebut, ShinyHunters menggabungkan kerentanan-kerentanan tersebut untuk mengambil alih server tanpa perlu login, dan serangannya telah mencakup berbagai sektor.
Hal itu penting jauh melampaui tim TI. PeopleSoft adalah perangkat lunak perusahaan, sehingga orang-orang yang paling terdampak mungkin tidak pernah menyentuh sistem yang rentan secara langsung. Tulisan ini menjelaskan apa yang dilaporkan, siapa yang bisa terekspos, dan langkah praktis apa yang dapat Anda ambil.
Apa yang Terjadi: Tiga Celah PeopleSoft yang Dirangkai
Temuan utamanya adalah bahwa ShinyHunters mengeksploitasi tiga celah Oracle PeopleSoft yang dirangkai yang memungkinkan pengambilalihan server tanpa autentikasi. "Tanpa autentikasi" berarti penyerang tidak memerlukan nama pengguna atau kata sandi untuk memulai. "Dirangkai" berarti setiap celah secara individual mungkin tidak memberikan kendali penuh, tetapi jika digunakan secara berurutan, celah-celah itu bisa.
Ini adalah pola umum dalam intrusi serius. Satu bug mungkin memungkinkan penyerang menjangkau sesuatu yang seharusnya tidak mereka akses, bug lain mungkin menaikkan hak istimewa mereka, dan bug ketiga mungkin memungkinkan mereka menjalankan perintah di server. Deskripsi awal insiden ini membingkainya sebagai satu zero-day, tetapi sifatnya yang dirangkai menunjukkan bahwa serangan tersebut lebih disengaja dan rumit daripada yang dilaporkan pertama kali.
Artikel sumber menyebutkan bahwa serangan tersebut mencakup berbagai sektor. Kami tidak memiliki detail lebih lanjut selain itu dalam materi yang disediakan, sehingga akan menjadi kesalahan untuk menebak korban spesifik, jumlah catatan, atau lini masa di sini. Organisasi yang menjalankan PeopleSoft harus mengandalkan panduan Oracle sendiri dan tim keamanan mereka untuk detail spesifiknya.
Siapa yang Berisiko Setelah Kebocoran PeopleSoft
PeopleSoft biasanya digunakan untuk menjalankan fungsi back-office di dalam organisasi besar. Ketika server yang menjalankannya diambil alih, eksposur biasanya meluas ke orang-orang yang datanya disimpan sistem tersebut, bukan hanya organisasi itu sendiri.
Itu dapat mencakup:
- Karyawan, yang informasi SDM atau penggajiannya mungkin tersimpan di sistem yang terhubung.
- Pelajar dan pelamar, jika sekolah mereka menggunakan PeopleSoft untuk catatan atau penerimaan.
- Pelanggan, jika suatu organisasi menyimpan detail mereka di sistem yang didukung PeopleSoft.
Poin kuncinya adalah Anda tidak perlu melakukan kesalahan apa pun. Jika pemberi kerja, sekolah, atau perusahaan yang Anda berurusan dengannya menjalankan server yang rentan, data Anda mungkin berisiko bahkan jika Anda tidak pernah login ke sana. Apakah informasi Anda benar-benar diakses bergantung pada organisasinya, itulah sebabnya meminta pemberitahuan yang jelas itu penting.
Bagaimana Data Curian Memicu Phishing dan Pengambilalihan Akun
Pengambilalihan server itu sendiri hanyalah langkah pertama. Apa yang terjadi pada data curian setelahnya sering kali merupakan hal yang paling merugikan individu.
Nama, alamat email, jabatan, dan detail internal membuat pesan phishing jauh lebih meyakinkan. Pesan yang menyebut pemberi kerja, departemen, atau sekolah Anda yang sebenarnya tampak sah dengan cara yang tidak dimiliki penipuan generik. Penyerang dapat menyamar sebagai SDM, dukungan TI, atau kantor bantuan keuangan dan meminta Anda untuk "memverifikasi" kata sandi atau mengklik tautan.
Jika Anda menggunakan ulang kata sandi di berbagai layanan, kredensial apa pun yang terekspos dalam pelanggaran data juga dapat dicoba di tempat lain, teknik yang dikenal sebagai credential stuffing. Inilah sebabnya serangan lanjutan dapat muncul berminggu-minggu setelah intrusi awal, dan mengapa pelanggaran data yang tidak pernah Anda dengar masih bisa menyebabkan email mencurigakan di kotak masuk Anda.
Eksploitasi berangkai bukan hal unik dalam kasus ini. Liputan kami tentang bagaimana UTA0565 merangkai zero-day Chrome dan Windows menunjukkan strategi yang sama: menghubungkan beberapa kelemahan sehingga bersama-sama mereka mencapai apa yang tidak bisa dicapai satu pun secara sendiri.
Apa Artinya Bagi Anda
Jika Anda adalah karyawan, pelajar, atau pelanggan dari organisasi yang menggunakan PeopleSoft, Anda tidak dapat menambal server itu sendiri. Yang dapat Anda lakukan adalah mengurangi kerusakan jika data Anda terekspos:
- Anggap bahwa pesan yang menyebut pemberi kerja atau sekolah Anda bisa dibuat dari detail yang bocor.
- Lindungi akun Anda sehingga kata sandi yang dicuri saja tidak cukup.
- Tetap waspada terhadap pemberitahuan dari organisasi, dan mintalah jika tidak ada yang datang.
VPN tidak melindungi Anda di sini. Eksposur terjadi di server organisasi, bukan pada koneksi Anda, sehingga keamanan akun dan kewaspadaan adalah alat yang penting.
Apa yang Harus Dilakukan Jika Pemberi Kerja atau Sekolah Anda Menggunakan PeopleSoft
- Tanyakan langsung. Hubungi SDM, TI, atau kantor registrasi Anda dan tanyakan apakah mereka menjalankan PeopleSoft, apakah mereka terdampak, dan apakah pemberitahuan pelanggaran data direncanakan.
- Aktifkan autentikasi multi-faktor (MFA) pada akun kerja, sekolah, email, dan perbankan. Aplikasi authenticator atau kunci perangkat keras lebih kuat daripada kode SMS.
- Ganti kata sandi yang digunakan ulang dan gunakan pengelola kata sandi agar setiap akun memiliki kata sandi yang unik.
- Pantau akun Anda. Waspadai proses masuk yang tidak biasa, email reset kata sandi yang tidak Anda minta, dan aktivitas keuangan yang tidak dikenal.
- Perlakukan pesan tak terduga dengan curiga. Jika email atau teks mengklaim berasal dari SDM, TI, atau kantor sekolah, jangan klik tautannya. Kunjungi situs resmi secara langsung atau hubungi nomor yang dikenal.
- Simpan catatan pemberitahuan pelanggaran data apa pun yang Anda terima, dan ikuti sarannya tentang pemantauan kredit atau perlindungan identitas.
Kesimpulan
Serangan ShinyHunters terhadap Oracle PeopleSoft adalah pengingat bahwa data Anda hanya seaman server terlemah yang menyimpannya. Pergeseran dari satu zero-day menjadi tiga celah yang dirangkai menunjukkan bagaimana penyerang membangun jalur yang andal ke sistem perusahaan tanpa memerlukan satu kata sandi pun.
Anda tidak dapat mengendalikan bagaimana pemberi kerja atau sekolah Anda menambal perangkat lunaknya, tetapi Anda dapat mengaktifkan MFA, memantau akun Anda, mempertanyakan pesan tak terduga, dan meminta pemberitahuan pelanggaran data secara tertulis. Untuk contoh lain tentang bagaimana eksploitasi zero-day berangkai bekerja dalam praktik, baca tentang UTA0565 dan serangan CLEANGULP.
