Serangan yang menargetkan elemen manusia kembali membuktikan efektivitasnya dalam menembus pertahanan perusahaan teknologi besar. Workday, perusahaan perangkat lunak berbasis cloud yang menyediakan sistem sumber daya manusia (SDM) bagi banyak korporasi global, pada hari Jumat, 22 Agustus 2025, mengumumkan bahwa sejumlah informasi pelanggannya telah berhasil diperoleh peretas melalui serangan social engineering atau rekayasa sosial.

Insiden ini menjadi studi kasus yang sangat relevan, menyoroti bagaimana platform bisnis krusial seperti Customer Relationship Management (CRM) menjadi target utama dalam sebuah kampanye serangan siber yang lebih luas.

Rincian Insiden dan Respons dari Workday

Workday, sebuah perusahaan yang termasuk dalam indeks S&P 500 dengan pendapatan lebih dari $8,4 miliar tahun lalu, secara transparan menjelaskan kronologi dan dampak dari serangan yang mereka alami.

Vektor Serangan: Rekayasa Sosial pada Platform Pihak Ketiga

Dalam pernyataan resminya, Workday menyatakan bahwa mereka “baru-baru ini mengidentifikasi bahwa Workday telah menjadi target dan pelaku ancaman (threat actors) mampu mengakses sejumlah informasi dari platform CRM pihak ketiga kami.” Perusahaan tidak menyebutkan secara spesifik platform CRM mana yang mereka gunakan.

Serangan ini tidak mengeksploitasi celah keamanan teknis pada sistem Workday, melainkan memanipulasi elemen manusia untuk mendapatkan akses tidak sah ke platform CRM yang mereka gunakan untuk mengelola hubungan pelanggan.

Lingkup Data yang Terekspos dan Mitigasi

Workday memberikan penekanan penting mengenai lingkup data yang terdampak. Mereka menegaskan bahwa “tidak ada indikasi akses ke tenan pelanggan atau data di dalamnya.” Ini berarti data inti SDM yang dikelola oleh klien-klien Workday, seperti data karyawan, penggajian, dan informasi sensitif lainnya, tidak terpengaruh.

Data yang berhasil diakses oleh pelaku adalah “informasi kontak bisnis yang umum tersedia, seperti nama, alamat email, dan nomor telepon.” Workday berspekulasi bahwa data ini berpotensi dieksploitasi “untuk melancarkan penipuan rekayasa sosial lebih lanjut.”

Menanggapi insiden ini, Workday menyatakan, “Kami bertindak cepat untuk memutus akses tersebut dan telah menambahkan pengamanan ekstra untuk melindungi dari insiden serupa di masa depan.”

Konteks Industri: Gelombang Serangan Terhadap Platform CRM

Insiden yang menimpa Workday bukanlah kejadian yang terisolasi. Workday sendiri mengakui bahwa mereka adalah salah satu dari banyak organisasi yang terdampak oleh kampanye serangan yang menargetkan platform CRM baru-baru ini.

Workday Bukan Satu-Satunya Korban

Beberapa perusahaan besar lainnya juga telah mengumumkan pelanggaran data yang berasal dari vektor serangan rekayasa sosial pada CRM, antara lain:

• Allianz Life
• Qantas
• Hawaiian Airlines

Pola serangan yang seragam ini menunjukkan adanya kampanye terkoordinasi yang menargetkan kelemahan proses dan manusia dalam mengelola akses ke platform CRM.

Taktik Penyerang dan Peringatan dari Salesforce

Peringatan industri baru-baru ini menyoroti bahwa para pelaku kejahatan siber secara aktif menargetkan perangkat lunak Salesforce CRM. Taktik, Teknik, dan Prosedur (TTP) yang digunakan adalah peretas menyamar sebagai personel dukungan IT (IT support) melalui telepon. Dengan menyamar, mereka mencoba mengelabui karyawan untuk mencuri kredensial akses ke data organisasi dan kemudian melancarkan tuntutan pemerasan.

Pada bulan Maret lalu, Salesforce bahkan menerbitkan peringatan resminya sendiri mengenai serangan rekayasa sosial ini. Mereka menyatakan, “Meskipun kami membangun keamanan tingkat korporasi di setiap bagian platform kami,” mereka menekankan bahwa “pelanggan memainkan peran vital dalam melindungi data mereka sendiri.”

Kesimpulan

Pelanggaran data di Workday adalah contoh klasik bagaimana rekayasa sosial tetap menjadi ancaman yang ampuh, mampu melewati pertahanan teknis yang canggih untuk menyasar platform bisnis vital seperti CRM. Meskipun data inti pelanggan Workday berhasil diamankan, pencurian informasi kontak bisnis menciptakan risiko baru bagi para korban, yang kini rentan menjadi target serangan phishing atau penipuan yang lebih personal dan meyakinkan. Insiden ini secara jelas menyoroti kerentanan pada tiga area krusial: elemen manusia, keamanan platform pihak ketiga, dan pentingnya model keamanan bersama dalam ekosistem cloud.

Poin Kunci Pembelajaran

• Manusia sebagai Titik Terlemah (The Human Element): Serangan ini membuktikan bahwa pelatihan kesadaran keamanan dan verifikasi identitas yang ketat sangat penting, karena rekayasa sosial tetap menjadi salah satu metode paling efektif untuk menembus pertahanan.
• Risiko Rantai Pasokan Pihak Ketiga (Third-Party Risk): Keamanan sebuah organisasi tidak hanya bergantung pada sistem internalnya, tetapi juga pada keamanan vendor dan platform pihak ketiga yang digunakannya. Kelemahan pada satu vendor dapat menjadi pintu masuk ke ekosistem perusahaan.
• Platform CRM sebagai Target Bernilai Tinggi: Sistem CRM berisi data kontak bisnis yang terstruktur dan tervalidasi, menjadikannya “tambang emas” bagi pelaku kejahatan yang bertujuan melancarkan kampanye penipuan skala besar.
• Pentingnya Model Keamanan Bersama (Shared Responsibility Model): Seperti yang ditekankan oleh Salesforce, keamanan platform cloud adalah tanggung jawab bersama. Penyedia layanan bertanggung jawab atas keamanan platform, sementara pelanggan bertanggung jawab penuh untuk mengelola akses pengguna dan mengamankan data mereka sendiri di dalam platform tersebut.