Judulnya lebay hehe.. ya setidaknya ini yang terbesar sampai dengan tahun ini. Meskipun investasi dalam keamanan siber meningkat dalam dekade terakhir, pelanggaran data masih menjadi masalah besar bagi organisasi. Lebih mengkhawatirkan lagi, banyak dari serangan yang menyebabkan pelanggaran ini melibatkan penyalahgunaan enkripsi. Menurut Breach Level Index dari Gemalto, hanya 4% dari pelanggaran data yang tercatat adalah “pelanggaran aman”, di mana data yang dicuri menjadi tidak berguna berkat penggunaan enkripsi.

Sayangnya, sering kali kesalahan manusia memungkinkan penyerang mengakses saluran yang dienkripsi dan informasi sensitif. Meskipun penyerang dapat memanfaatkan kerentanan seperti zero-day untuk masuk ke sistem, dalam banyak kasus, keberhasilan mereka melibatkan pemicu atau pemanfaatan kesalahan manusia.

Kesalahan manusia memiliki sejarah panjang dalam menyebabkan pelanggaran data. Global Risks Report 2022 dari World Economic Forum menemukan bahwa 95% ancaman keamanan siber disebabkan oleh kesalahan manusia. Data Breach Investigations Report (DBIR) 2022 juga mencatat bahwa 82% pelanggaran melibatkan unsur manusia, termasuk serangan sosial, kesalahan, dan penyalahgunaan.

7 contoh Pelanggaran Data dan apakah enkripsi berperan?

Berikut adalah tujuh contoh terkenal tentang bagaimana kesalahan manusia berkontribusi pada pelanggaran data, serta bagaimana penyalahgunaan enkripsi memperparah dampak dari kesalahan ini.

1. Pelanggaran Data Equifax — Sertifikat Kadaluarsa Menunda Deteksi Pelanggaran

Pada musim semi 2017, tim keamanan siber Equifax tidak segera memperbaiki kerentanan yang diumumkan oleh Department of Homeland Security AS. Selain itu, perangkat yang memeriksa lalu lintas terenkripsi tidak berfungsi karena sertifikat digital yang telah kadaluarsa selama sepuluh bulan. Akibatnya, penyerang berhasil mengakses sistem dan mengekspos informasi pribadi 145 juta orang di AS dan 10 juta di Inggris.

Peran enkripsi: Sertifikat yang tidak diperbarui memudahkan penyerang menyusup dan menyembunyikan aktivitasnya di dalam lalu lintas terenkripsi. Tanpa inspeksi penuh terhadap sertifikat dan kunci enkripsi, sertifikat jahat bisa tetap tidak terdeteksi.

2. Pelanggaran Data Ericsson — Layanan Mobile Terhenti karena Sertifikat Kadaluarsa

Pada Desember 2018, sertifikat yang digunakan Ericsson untuk perangkat lunak penting kadaluarsa, menyebabkan gangguan layanan bagi 32 juta pengguna mobile di Inggris dan 11 negara lain. Hal ini membuat jaringan mobile tidak terlindungi selama periode tersebut.

Peran enkripsi: Sertifikat yang kadaluarsa tidak hanya menyebabkan waktu henti layanan, tetapi juga meninggalkan sistem kritis tanpa perlindungan, yang dapat dimanfaatkan oleh pelaku kejahatan siber.

3. Pelanggaran Data LinkedIn — Sertifikat Kadaluarsa Menghentikan Akses

Pada 30 November 2018, sertifikat LinkedIn untuk subdomain mereka kadaluarsa, yang menyebabkan jutaan pengguna tidak dapat mengakses platform selama beberapa jam. Meski domain utama tidak terpengaruh, banyak subdomain yang tidak dapat diakses.

Peran enkripsi: Kadaluarsanya sertifikat dapat menunjukkan bahwa pengelolaan identitas mesin tidak dilakukan dengan baik, sehingga memberikan peluang bagi penjahat siber untuk meniru perusahaan atau mendapatkan akses ilegal.

4. Pelanggaran Data Strathmore College — Catatan Siswa Terpapar

Pada Agustus 2018, seorang karyawan di Strathmore College secara tidak sengaja mempublikasikan catatan kesehatan siswa di intranet sekolah, termasuk kondisi medis dan kesehatan mental. Data ini tidak terlindungi selama lebih dari satu hari, dan siswa serta orang tua dapat mengaksesnya.

Peran enkripsi: Jika akses ke catatan siswa dienkripsi dengan baik, hanya individu yang memiliki kredensial yang tepat yang bisa mengaksesnya. Data yang tidak terlindungi oleh enkripsi rentan untuk diakses oleh siapa pun yang berhasil menembus perimeter keamanan.

5. Pelanggaran Data Veeam — Rekaman Pelanggan Terkompromi karena Database Tidak Terlindungi

Pada Agustus 2018, sebuah database yang dimiliki Veeam tidak dilindungi kata sandi, membuatnya terekspos ke internet. Database ini berisi informasi pelanggan seperti nama, email, dan alamat IP.

Peran enkripsi: Nama pengguna dan kata sandi saja tidak cukup untuk melindungi akses. Tanpa pengelolaan penuh terhadap kunci enkripsi, penyerang bisa dengan mudah mendapatkan akses ke sistem internal.

6. Pelanggaran Data Marine Corps — Email Tidak Terenkripsi Terkirim ke Alamat Salah

Awal 2018, sistem Defense Travel Departemen Pertahanan AS secara tidak sengaja mengirim email berisi informasi pribadi 21.500 anggota militer ke alamat yang salah, termasuk rekening bank dan nomor jaminan sosial.

Peran enkripsi: Tanpa enkripsi yang tepat, email dapat dengan mudah diintersep (intercept) oleh pelaku kejahatan siber. Mengirimkan informasi sensitif melalui saluran yang tidak dienkripsi membuka peluang bagi pencurian data.

7. Pelanggaran Data Departemen Pendidikan Pennsylvania — Kesalahan Izin Akses

Pada Februari 2018, kesalahan izin dalam sistem manajemen informasi guru memungkinkan pengguna mengakses informasi pribadi orang lain, termasuk guru dan staf Departemen Pendidikan, yang berdampak pada 360.000 individu.

Peran enkripsi: Tanpa kontrol ketat atas siapa yang dapat mengakses informasi, sulit untuk memastikan bahwa hanya individu yang sah yang memiliki akses. Pengelolaan kunci enkripsi yang baik dapat membantu mengontrol akses ini.

Pelanggaran data akibat kesalahan manusia menunjukkan bahwa bahkan dengan sistem enkripsi yang kuat, faktor manusia tetap menjadi celah terbesar dalam keamanan siber. Sertifikat yang kadaluarsa, database yang tidak dilindungi, dan email yang tidak terenkripsi adalah contoh-contoh di mana kelalaian manusia membuka jalan bagi penjahat siber untuk melakukan serangan.

Enkripsi seharusnya menjadi lapisan perlindungan utama dalam setiap sistem, tetapi jika tidak dikelola dengan baik, seperti dalam kasus sertifikat yang tidak diperbarui atau penggunaan enkripsi yang tidak tepat, fungsinya akan sia-sia. Ini menunjukkan bahwa teknologi enkripsi hanya sekuat implementasinya, dan peran manusia dalam mengelola teknologi tersebut sangat penting.

Sebagai praktisi, saya melihat bahwa solusi untuk mengurangi risiko kesalahan manusia adalah dengan menggabungkan teknologi yang lebih cerdas seperti automated certificate management dan real-time threat detection. Namun, lebih penting lagi adalah mengedukasi dan melatih setiap individu dalam organisasi agar memiliki pemahaman mendalam tentang keamanan siber dan pentingnya menjaga infrastruktur enkripsi dengan benar. Tanpa ini, teknologi sebaik apa pun akan tetap rentan terhadap kesalahan manusia.