Cyberthreat.id - Serangan terhadap Lutheran Social Services of Illinois (LSSI) mengakibatkan peretas mengakses diagnosis medis dan informasi perawatan, nomor Jaminan Sosial (SSN), nama individu, dan data sensitif lainnya.

LSSI mengungkapkan bahwa organisasi tersebut terkena serangan ransomware pada 27 Januari 2022. Organisasi nirlaba tersebut menggambarkan dirinya sebagai "salah satu penyedia layanan sosial terbesar di seluruh negara bagian".

Organisasi nirlaba itu mengatakan melakukan "penyelidikan forensik ekstensif." Yang mengkhawatirkan, LSSI memerlukan waktu sebelas bulan, hingga 28 Desember 2022, untuk menentukan apakah pelaku ancaman mengakses kumpulan data pengguna yang sangat sensitif.

“Jenis informasi yang berpotensi terlibat dapat mencakup: nama individu, tanggal lahir, nomor Jaminan Sosial, informasi rekening keuangan, nomor SIM, informasi biometrik, diagnosis medis dan informasi perawatan, dan informasi asuransi kesehatan,” bunyi pemberitahuan pelanggaran data seperti dilansir Cybernews, Sabtu (28/1).

Meskipun pemberitahuan LSSI tidak menentukan berapa banyak orang yang terpengaruh, pemberitahuan pelanggaran data ke Kantor Kejaksaan Agung Maine menyatakan bahwa serangan siber mempengaruhi lebih dari 184 ribu orang.

LSSI mulai mengirimkan surat kepada pengguna yang berpotensi terpengaruh pada 25 Januari 2023, hampir setahun setelah organisasi nirlaba tersebut menyadari bahwa sistemnya dilanggar. LSSI tidak menemukan bukti bahwa data yang dicuri telah digunakan untuk pencurian identitas atau penipuan keuangan.

Namun, pelaku ancaman dapat menyimpan informasi yang dicuri untuk sementara waktu sebelum menjualnya atau mencoba menyusun data menjadi kumpulan yang lebih besar untuk menjualnya dengan margin yang lebih tinggi.

Setelah dicuri, SSN, nama individu, dan data sensitif lainnya dengan cepat berakhir di pasar bawah tanah, tempat penjahat dunia maya dapat membeli data untuk digunakan dengan cara apa pun yang mereka suka. Informasi medis dan perawatan sangat sensitif, memberi penyerang sarana untuk memukul korban di tempat yang paling mereka sakiti.

Pakar keamanan dunia maya mengkritik perusahaan karena membutuhkan waktu berbulan-bulan untuk memberi tahu pelanggan bahwa data mereka bocor secara online. Sementara perusahaan yang dilanggar melakukan investigasi internal, pelaku ancaman dapat menggunakan data yang bocor untuk melakukan serangan.

Namun, sudah menjadi norma untuk memberi tahu pengguna yang terpengaruh beberapa bulan atau, seperti yang ditunjukkan oleh kasus LSSI, setahun setelah pelanggaran ditemukan.

Misalnya, Five Guys, rantai makanan cepat saji Amerika yang populer, membutuhkan waktu hampir tiga bulan untuk memberi tahu karyawannya bahwa pelaku ancaman mungkin telah mengakses data sensitif mereka, seperti nomor Jaminan Sosial (SSN).

Sementara itu, Nissan North America bertahan selama enam bulan sebelum mengeluarkan pemberitahuan pelanggaran data kepada lebih dari 18 ribu pengguna dengan nama dan tanggal lahir mereka terungkap.