Pabrikan kereta api Swiss, Stadler Rail, telah mengonfirmasi bahwa mereka menolak membayar tebusan sebesar $12,3 juta (₣10.000.000) yang diminta oleh geng pemeras Everest setelah para penyerang mencuri data teknis melalui platform berbagi berkas milik vendor. Pengungkapan ini muncul bersamaan dengan perkembangan terpisah namun terkait: kelompok yang terkait dengan negara Rusia, Laundry Bear, telah menargetkan server email Zimbra yang belum ditambal. Bersama-sama, kedua kisah ini menggambarkan bagaimana aktor ancaman yang bersekutu dengan Rusia menjalankan operasi paralel, satu terhadap rantai pasokan industri, yang lain terhadap infrastruktur email perusahaan, dan mengapa organisasi dari semua ukuran perlu menanggapi keduanya dengan serius.

Serangan Ransomware di Balik Penolakan Stadler Rail

Menurut laporan dari the Record, geng ransomware Everest mengklaim bertanggung jawab atas pencurian data teknis milik Stadler Rail, bukan dengan membobol jaringan pabrikan kereta api itu secara langsung, melainkan dengan mengkompromikan platform berbagi berkas yang dioperasikan oleh salah satu vendornya. Everest kemudian menuntut sekitar $12,3 juta sebagai imbalan agar tidak membocorkan atau menjual berkas-berkas yang dicuri. Stadler Rail menolak membayar.

Ini adalah keputusan yang berarti. Penolakan tebusan sering kali dibingkai semata-mata sebagai tindakan pembangkangan, tetapi hal itu membawa risiko operasional yang nyata: jika sebuah geng menepati ancamannya, data teknis yang dicuri (skema rekayasa, detail pemasok, dokumentasi internal) dapat berakhir dipublikasikan atau dijual kepada pesaing dan kelompok kriminal lainnya. Pilihan Stadler Rail untuk tidak membayar mencerminkan pergeseran yang lebih luas di antara perusahaan industri besar, yang banyak di antaranya kini memperlakukan pembayaran tebusan sebagai memberi imbalan pada model bisnis kriminal alih-alih menyelesaikan keterpaparan yang mendasarinya.

Mengapa Pembobolan Vendor Sama Pentingnya dengan Peretasan Langsung

Yang membuat kasus ini sangat instruktif adalah bahwa titik kompromi awal bukanlah infrastruktur Stadler Rail sendiri, melainkan sistem berbagi berkas milik vendor. Ini adalah pola umum dalam serangan ransomware modern: kelompok kriminal semakin mencari mata rantai terlemah dalam rantai pasokan alih-alih menyerang target utama yang dipertahankan dengan baik secara langsung. Satu vendor dengan kontrol akses yang longgar atau perangkat lunak yang belum ditambal dapat menjadi titik masuk untuk operasi pencurian data yang jauh lebih besar.

Dinamika ini tidak unik pada industri kereta api. Kompromi rantai pasokan sebelumnya telah mengekspos data pemerintah dan perusahaan yang sensitif melalui perangkat lunak pihak ketiga yang tepercaya, seperti yang terlihat dalam dampak dari peretasan SolarWinds yang mengekspos semua email Treasury.gov. Pelajarannya konsisten: postur keamanan sebuah organisasi hanya sekuat vendor dan mitra yang berbagi data dengannya.

Laundry Bear yang Terkait Rusia Menambah Tekanan pada Server Zimbra

Bersamaan dengan kisah Stadler Rail, laporan menyoroti bahwa Laundry Bear, sebuah kelompok ancaman yang terkait dengan Rusia, telah menargetkan server email Zimbra yang belum ditambal. Perangkat lunak kolaborasi dan webmail yang belum ditambal telah lama menjadi titik masuk favorit bagi aktor yang bersekutu dengan negara yang ingin memanen kredensial atau mempertahankan akses persisten ke komunikasi organisasi.

Kampanye ini sesuai dengan pola yang telah berulang kali ditandai oleh badan-badan keamanan. Direktur GCHQ baru-baru ini mengeluarkan salah satu peringatan paling langsung dalam ingatan baru-baru ini tentang operasi siber Rusia yang tanpa henti terhadap infrastruktur kritis dan institusi demokratis. Secara terpisah, otoritas AS mengganggu jaringan router yang dikompromikan yang terkait dengan unit intelijen militer Rusia, GRU. Entah targetnya adalah vendor pabrikan kereta api atau server email yang belum ditambal, benang merahnya sama: kelompok yang bersekutu dengan Rusia sedang menyelidiki infrastruktur yang tersedia secara luas dan sering diabaikan untuk mendapatkan akses, bukan hanya jaringan pemerintah yang menjadi berita utama.

Apa Artinya Bagi Anda

Sebagian besar pembaca tidak menjalankan server Zimbra atau memproduksi kereta api, tetapi risiko mendasar dalam kisah ini berlaku secara luas. Jika Anda menggunakan layanan apa pun, dari platform pemesanan perjalanan hingga program loyalitas, yang membagikan data Anda dengan vendor pihak ketiga, data itu hanya seaman pertahanan vendor itu sendiri. Pembobolan di pemasok yang belum pernah Anda dengar tetap dapat mengekspos informasi yang terkait dengan Anda, entah itu akun perusahaan, berkas bersama, atau detail pribadi yang diproses atas nama Anda.

Untuk bisnis, kesimpulannya sama langsungnya: manajemen tambalan dan pengawasan vendor bukanlah item baris opsional. Perangkat lunak yang belum ditambal, baik itu server email atau alat berbagi berkas, tetap menjadi salah satu cara paling umum bagi penyerang untuk mendapatkan pijakan, dan penolakan tebusan hanya berfungsi sebagai pencegah jangka panjang jika kerentanan mendasar yang memungkinkan penyerang masuk benar-benar diperbaiki.

Hal yang Dapat Ditindaklanjuti

  • Jika Anda bekerja dengan vendor atau pemasok, tanyakan bagaimana mereka menangani penambalan dan kontrol akses untuk sistem berkas bersama, bukan hanya jaringan Anda sendiri.
  • Tanggapi setiap pemberitahuan tentang pembobolan vendor dengan serius, bahkan jika organisasi Anda tidak diretas secara langsung; data masih dapat terpapar melalui pihak ketiga.
  • Perbarui perangkat lunak server kolaborasi dan email secara tepat waktu; sistem yang belum ditambal tetap menjadi titik masuk utama untuk serangan ransomware dan intrusi yang terkait dengan negara.
  • Dukung kebijakan untuk tidak membayar tebusan jika memungkinkan, karena pembayaran dapat mendanai serangan lebih lanjut tanpa menjamin data tidak akan bocor.
  • Tetap terinformasi tentang aktivitas siber yang bersekutu dengan Rusia yang memengaruhi infrastruktur kritis dan perangkat lunak perusahaan, karena kampanye ini sering menargetkan alat yang banyak digunakan alih-alih korban yang terisolasi.