KASUS 5.

2
Kasus Bisnis: Peretasan Linkedin: Pelajaran yang Dipetik dan Bahaya Tersembunyi

Linkedin
Pelanggaran data
Peretas menerobos jaringan
Linkedin dan mencuri 6,5 juta kata
sandi pelanggannya, yang hanya
dienkripsi ringan. Mereka
diposting ke forum hacker Rusia
untuk dilihat dan dicuri semua
orang.
Biaya
Serangan peretasan menyebabkan 6,5 juta alamat
email dan kata sandi dikompromikan.
Lebih dari $1 juta dalam biaya yang terkait dengan
pekerjaan forensik, investigasi, dan penanganan
pelanggaran.
Investasi tujuh digit dalam infrastruktur TI untuk
memperbarui dan memperkuat keamanan jaringan
dan data.

Di jejaring sosial mana pun, sebagian besar pengguna secara keliru percaya bahwa privasi mereka
hanya sebaik privasi teman mereka yang paling ceroboh atau sementara. Faktanya, kata sandi dan
peretas yang lemah dapat merampas semua privasi pengguna (Gambar 5.8). Situs jejaring sosial
bisnis Linkedin diretas pada Juni 2012. Peretas mencuri 6,5 juta kata sandi dan alamat email.
Pelanggaran data ini ditemukan oleh pakar keamanan TI ketika mereka menemukan jutaan kata
sandi Linkedin yang diposting di situs web bawah tanah Rusia. Para ahli juga menentukan bahwa
seorang peretas bernama Dwdm meminta bantuan anggota bawah tanah untuk memecahkan kata
sandi yang dicuri. Hanya dalam 2 hari, sebagian besar kata sandi telah diretas. Mengapa kata sandi
Linkedin diretas begitu cepat? Jawaban sederhana bahwa Linkedin menggunakan metode enkripsi
yang sudah ketinggalan zaman alih-alih enkripsi standar industri terkini. Sebagai hasilnya, kata sandi
anggota benar-benar hanya disamarkan dan dapat dipecahkan.

Linkedin Dikritik karena Keamanan Data yang Buruk

Apa yang dapat dilakukan peretas terhadap akun online Anda jika mereka memiliki
kata sandi Anda selama 48 jam dan Anda tidak mengetahuinya? Itulah yang diizinkan
Linkedin terjadi dengan menunggu 2 hari sebelum memberi tahu anggota bahwa
kata sandi mereka telah dicuri.
Yang mengejutkan pelanggan dan pakar keamanan TI adalah bahwa perusahaan yang
mengumpulkan dan mengambil untung dari sejumlah besar data telah mengambil
pendekatan yang lalai untuk melindunginya.
menjelaskan mengapa sangat mengejutkan dan mengkhawatirkan bahwa
perlindungan kata sandi Linkedin lemah.
Gambar 5.9 Tiga alasan mengapa kurangnya investasi Linkedin dalam keamanan data
tidak masuk akal secara bisnis.

Asetnya yang paling berharga

adalah data.

• Model bisnis Linkedin: mengumpulkan dan mengambil keuntungan dari data.

Ini adalah perusahaan publik

berteknologi tinggi dengan Citra
merek yang harus dilindungi.

• Linkedin bukanlah perusahaan start-up yang miskin uang. Perusahaan memiliki

tumpukan uang tunai dari penawaran umum perdana (IPO) yang sukses pada Mei
2011. Setelah go public, Linkedin, seperti semua perusahaan publik, harus
melaporkan serangan peretasan ke SEC.

Itu memiliki banyak laba bersih untuk

dilindungi.

• Laba bersih Linkedin untuk kuartal pertama 2012 adalah $5 juta, lebih dari dua kali
lipat pendapatan bersihnya $2,1 juta pada kuartal pertama 2011. Linkedin memiliki
banyak hal untuk dilindungi dan kehilangan.

Alamat Email Adalah Nama Pengguna Universal

Di sebagian besar situs e-niaga dan sosial, nama pengguna adalah alamat email yang
menjadikannya sebagai nama pengguna universal kami untuk akun online. Jika email
adalah akun kerja, maka semua orang juga tahu di mana kami bekerja dan nama
login kami. Oleh karena itu, mengetahui nama pengguna dan kata sandi pengguna
memberikan akses resmi ke akun perusahaan dengan hampir tanpa risiko terdeteksi.
Peretas menyerang Linkedin untuk mendapatkan akses ke lebih dari 161 juta
kredensial anggota sebagai sarana untuk mendapatkan akses ke jaringan dan basis
data bisnis yang jauh lebih berharga.

Setelah pelanggaran data, pengguna diserang dari penipuan phishing yang

menggunakan nama login dan kata sandi yang dicuri. Misalnya, predator Linkedin
mengirim email palsu kepada pengguna yang dimaksudkan untuk menyerupai pesan
resmi yang dikirim oleh perusahaan. Penipuan phishing termasuk tautan ke situs
web yang disamarkan sebagai halaman masuk nyata untuk mengelabui pengguna
agar memasukkan nama dan kata sandi masuk mereka. Penipuan phishing lainnya
meminta pengguna untuk membuka lampiran yang menginfeksi komputer mereka.

Risiko Bisnis dan Kerusakan Jaminan

Peretasan menyebabkan risiko bisnis berikut dan kerusakan jaminan.

• Pengambilalihan akun anggota lainnya oleh peretas, penipu, dan penjahat

lainnya. Peretas tahu bahwa orang menggunakan kembali kata sandi; setelah
akun Linkedin mereka ditautkan ke Facebook dan Twitter, terlalu banyak
informasi yang mungkin terungkap. Mengetahui di mana orang bekerja dan
akun email mereka memungkinkan peretas dengan cepat menggunakan kata
sandi Linkedin yang dicuri untuk masuk ke akun perusahaan, rekening bank
online, dan sebagainya untuk mencuri lebih banyak data atau mentransfer
dana.
• Merusak sumber pendapatan terbesar Linkedin—bisnis periklanannya.
Kesuksesan finansial Linkedin adalah terkait dengan pendapatan iklannya,
yang pada gilirannya didasarkan pada jumlah anggota aktif dan pertumbuhan
keanggotaan.
• Denda karena melanggar undang-undang dan peraturan privasi.
Setiap perusahaan yang mengekspos data rahasia pelanggan atau karyawan
akan menghadapi denda besar. Regulator memberlakukan hukuman berat
karena melanggar undang-undang privasi dan tidak mengambil tindakan yang
wajar untuk mempertahankan diri dari pelanggaran data. Undang-undang
privasi data yang ketat di negara bagian seperti Massachusetts dan California
dapat membuat Linkedin berjuang melawan hukum selama bertahun-tahun.
• Biaya pembersihan. Biaya pembersihan Linkedin hampir $1 juta dan upgrade
$2-$3 juta lainnya. Pekerjaan forensik pada pencurian kata sandi
menghabiskan biaya $ 500.000 hingga $ 1 juta.

Keamanan Data: Perhatian Manajemen Puncak

Keamanan data merupakan perhatian dan tanggung jawab manajemen senior. Ini
mempengaruhi operasi perusahaan, reputasi, dan kepercayaan pelanggan, yang
pada akhirnya berdampak pada pendapatan, keuntungan, dan keunggulan
kompetitif. Namun pertahanan yang dapat membantu mencegah pelanggaran tidak
selalu diterapkan.

Beberapa ahli berpendapat bahwa manajemen senior terus berhemat pada

perlindungan dasar karena keamanan komputer tidak diatur-yaitu, sampai bisnis
mengalami krisis besar. Setelah pelanggaran data, Linkedin menerapkan enkripsi
penyimpanan kata sandi yang ditingkatkan, menyewa ahli keamanan dan forensik
swasta, dan memanggil Biro Investigasi Federal (FBI) untuk membantu menyelidiki
pelanggaran keamanan.

Jeremiah Grossman, chief technology officer White Hat Security, memperkirakan

bahwa Linkedin akan mengeluarkan biaya "beberapa ratus ribu dolar" untuk
mengamankan kata sandi, server Web, dan aplikasi anggotanya (Perlroth, 2012a).

Bagaimana Serangan Ini Dibandingkan dengan Yang Lain

Sementara 6,5 juta kata sandi yang bocor merupakan pelanggaran serius, hal itu
memengaruhi persentase yang relatif kecil dari lebih dari 175 juta anggota yang
dimiliki Linkedin saat itu. Secara keseluruhan, pelanggaran Linkedin, meskipun agak
mahal, tidak merugikan sebanyak yang dialami oleh perusahaan lain yang diretas
seperti Pembayaran Global, Sony, dan Otoritas Sertifikat DigiNotar, yang benar-benar
diretas dari bisnis. Sumber: Dikompilasi dari Periroth (2012a), Ponemon Institute
(2013), whitehatsec.com, dan prca.org.uk.

Soal :

1. Masalah apa yang diangkat pada kasus tersebut?

Pelanggaran data, Peretas menerobos jaringan Linkedin dan mencuri 6,5 juta kata sandi
pelanggannya, yang hanya dienkripsi ringan. Serangan peretasan menyebabkan 6,5 juta
alamat email dan kata sandi. Sangat mengejutkan dan mengkhawatirkan bahwa
perlindungan kata sandi Linkedin lemah.
Mengapa kata sandi LinkedIn dapat diretas begitu cepat? LinkedIn menggunakan metode
enkripsi lama atau kedaluwarsa (bukan enkripsi standar industri)

Metode enkripsi yang digunakan Linkedln outdated atau tidak diperbaharui, sehingga hacker
dapat dengan mudah merentas database pengguna. Linkedln baru menyadari bahwa
database perusahaan direntas oleh hacker, 2 hari setelah kejadian.

Karena Hacker mengetahui bahwa orang cenderung akan menggunakan kembali

password tersebut untuk account lain misalnya Facebook, Twitter, dan account-account
lain yang berisi data atau informasi yang penting dan rahasia. LinkedIn telah lalai dalam
melindungi aset utamanya. LinkedIn tidak concern pada
kemanan data dan hanya mengeluarkan sedikit investasi dalam hal keamanan data,
padahal data adalah bisnis utama LinkedIn. Kurangnya pengawasan /control LinkedIn
terhadap aktivitas maupun kegiatan dalam sistem LinkedIn. LinkedIn kurang memperhatikan
problem/masukan dari pengguna atau member LinkedIn.
2. Apakah ancaman keamanan dan dampak yang ditimbulkan dari masalah
ancaman siber pada kasustersebut ?

Peretasan menyebabkan risiko bisnis dan kerusaka akibat masalah ancaman siber pada
khasus Linkedin yaitu Pengambilalihan akun anggota lainnya oleh peretas, penipu, dan
penjahat lainnya dan akibatnya perentas tahu bahwa orang menggunakan kembali kata
sandi, setelah akun Linkedin mereka ditautkan ke Facebook dan Twitter. Dengan begitu
perentas dapat mengetahui di mana orang bekerja dan akun email mereka, memungkinkan
peretas dengan cepat menggunakan kata sandi Linkedin yang dicuri untuk masuk ke akun
perusahaan, rekening bank online, dan sebagainya untuk mencuri lebih banyak data atau
mentransfer dana.
Dan Hacker dapat mengakses data account lain, karena account linkedIn dapat terhubung
dengan Facebook atau Twitter, sehingga banyak informasi yang didapat oleh Hacker (tempat
bekerja, email account).
- Berpengaruh terhadap sumber pendapatan terbesar LinkedIn, terutama bisnis iklanya.
- Perusahaan akan terkena denda karena melanggar peraturan dan undang-undang
mengenai privasi.
- Privasi perusahaan maupun member yang menggunakan LinkedIn menjadi terekspose.

Perentas data pengguna Linkedln dapat mempengaruhi kredibilitas perusahaan diamata

konsumen karena berkurangnya kepercayaan konsumen terhadap Linkedln. Hal ini dapat
berdampak pada menurunya popularitas Linkedln.

3. Bagaimana sebaiknya cara mengatasi masalah keamanan data tersebut ?

Keamanan data merupakan perhatian dan tanggung jawab manajemen senior. Ini
mempengaruhi operasi perusahaan, reputasi, dan kepercayaan pelanggan, yang pada
akhirnya berdampak pada pendapatan, keuntungan, dan keunggulan kompetitif.
sehingga manajer senior harus lebih memperhatikan masalah keamanan informasi yang
berkaitan dengan perusahaanya.

Karena keputusan untuk meningkatkan keamanan data perusahaan dibuat oleh top
manajemen. Keamanan data ini penting karena mempengaruhi operasional perusahaan,
reputasi dan kepercayaan konsumen yang berpengaruh pada pemasukan profit dan
keunggulan kompetitif .

Cara supaya hacker tidak mudah merentas seluruh data pengguna, maka pengguna
sebaiknya mengganti beberapa situs yang digunakan dengan kombinasi password yang
berbeda, dan dari pihak Linkedln juga melakukan peningkatan proteksi dengan cara-cara
menyarankan penggantian password secara berkala. Menurut kami, Linkedln lalai dalam
melindungi aset utamanya, karena mereka tidak melakukan pembaharuan keamanan data
penggunanya.