TL;DR
Pelanggaran Cloud: Komisi Eropa sedang menyelidiki pelanggaran lingkungan cloud AWS setelah pelaku ancaman mengklaim telah mencuri lebih dari 350 GB data. Niat Penyerang: Pelaku ancaman yang tidak dikenal berencana untuk membocorkan data yang dicuri secara publik daripada meminta uang tebusan dari Komisi. Penargetan Berulang: Ini menandai insiden keamanan siber besar kedua yang dilakukan Komisi dalam waktu kurang dari tiga bulan, menyusul pelanggaran platform pengelolaan perangkat seluler pada bulan Januari.
Mengonfirmasi penyelidikan aktif, Komisi Eropa mengatakan pihaknya sedang menyelidiki pelanggaran keamanan lingkungan cloud Amazon Web Services setelah pelaku ancaman mengaku telah mencuri lebih dari 350 GB data, termasuk informasi karyawan dan database internal. Dalam siaran pers yang diterbitkan pada hari Selasa, badan tersebut mengatakan bahwa serangan tersebut terjadi pada tanggal 24 Maret, menargetkan infrastruktur cloud yang menampung kehadiran web Europa.eu.
Bagi Komisi, ini menandai insiden keamanan siber besar kedua dalam waktu kurang dari tiga bulan. “Temuan awal dari penyelidikan kami yang sedang berlangsung menunjukkan bahwa data diambil dari situs-situs tersebut,” kata Komisi dalam temuannya. Sistem internal tidak terpengaruh oleh intrusi tersebut.
Detail Pelanggaran dan Klaim Penyerang
Pelaku ancaman yang tidak teridentifikasi menghubungi BleepingComputer minggu lalu untuk mengaku bertanggung jawab, memberikan tangkapan layar sebagai bukti akses ke data karyawan dan server email Komisi. Satu atau lebih akun AWS Komisi telah disusupi dalam serangan tersebut; cara penyerang mendapatkan akses belum diungkapkan.
Yang paling penting, pelanggaran ini terjadi di lingkungan cloud Komisi yang dihosting di platform Amazon, bukan di infrastruktur cloud Amazon itu sendiri, sehingga menempatkan tanggung jawab pada konfigurasi keamanan Komisi sendiri, bukan di Amazon.
Daripada memeras Komisi, pelaku ancaman mengatakan kepada BleepingComputer bahwa mereka berencana membocorkan data secara publik di kemudian hari. Belum ada nama pihak yang bertanggung jawab, dan metode akses awal masih belum diketahui.
Akibatnya, data yang dicuri justru dibuang ke publik dan bukan tebusan, sehingga mempersulit respons Komisi. Tuntutan pemerasan menciptakan jendela negosiasi; ancaman pelepasan ke publik tidak memberikan pengaruh seperti itu dan meningkatkan risiko untuk mengidentifikasi dengan tepat catatan apa yang diambil sebelum catatan tersebut muncul secara online.
Respon Resmi dan Investigasi
Siaran pers Komisi mengonfirmasi bahwa insiden tersebut telah diatasi dan langkah-langkah mitigasi risiko telah diterapkan untuk melindungi layanan dan data, tanpa mengganggu ketersediaan situs web Europa.
“Respon cepat Komisi memastikan insiden tersebut dapat diatasi dan langkah-langkah mitigasi risiko diterapkan untuk melindungi layanan dan data, tanpa mengganggu ketersediaan situs web Europa.”
Sementara itu, entitas-entitas Union yang terkena dampak sedang diberitahu, dan penilaian dampak menyeluruh masih berlangsung. Penyelidik belum menentukan cakupan penuh dari data yang dieksfiltrasi, apakah ada materi rahasia yang diakses, atau berapa banyak catatan individual yang mungkin terekspos.
Dengan klaim sebesar 350 GB, hal ini merupakan salah satu pelanggaran terbesar yang dilakukan lembaga Uni Eropa dalam beberapa tahun terakhir. Catatan personel dan infrastruktur email mewakili permukaan serangan utama, dan sifat data menunjukkan bahwa ribuan anggota staf dapat menghadapi penipuan identitas dan phishing yang ditargetkan setelah file dipublikasikan.
Pola Serangan
Dalam insiden terpisah yang ditemukan pada tanggal 30 Januari, peretas menyusupi platform pengelolaan perangkat seluler Komisi yang digunakan untuk mengelola perangkat staf. Menurut BleepingComputer, para pejabat mengonfirmasi pada bulan Februari bahwa pelanggaran tersebut mungkin telah mengungkap nama staf dan nomor ponsel.
Selain itu, serangan pada bulan Januari tersebut tampaknya terkait dengan gelombang serangan zero-day yang menargetkan lembaga pemerintah Eropa yang mengeksploitasi kerentanan injeksi kode di perangkat lunak Ivanti Endpoint Manager Mobile. Target lainnya adalah Otoritas Perlindungan Data Belanda dan lembaga Valtori Finlandia. CERT-EU mengatasi insiden bulan Januari ini dalam waktu sembilan jam.
Di tengah ancaman yang terus-menerus terhadap layanan publik dan lembaga demokrasi di seluruh Eropa, Komisi berupaya memperkuat ketahanan keamanan siber. Pada tanggal 20 Januari, Komisi mengusulkan undang-undang keamanan siber baru yang menargetkan aktor-aktor yang didukung negara, dan Dewan Uni Eropa baru-baru ini memberikan sanksi kepada tiga perusahaan Tiongkok dan Iran atas serangan siber terhadap infrastruktur negara anggota.
Namun, dua pelanggaran dalam waktu kurang dari tiga bulan memperlihatkan kesenjangan yang semakin besar antara ambisi legislatif Komisi dan keamanan operasionalnya. Ketika pelaku ancaman berjanji untuk merilis data publik, Komisi kini harus memprioritaskan tiga tindakan segera: menyelesaikan penilaian dampak untuk menentukan tindakan yang diambil, memberi tahu staf yang terkena dampak sehingga mereka dapat melindungi akun dan identitas mereka, dan menentukan bagaimana penyerang memperoleh akses untuk mencegah insiden ketiga.
