Grup ransomware di balik peretasan Indigo mengatakan telah merilis data karyawan yang dicuri, tetapi belum ada yang muncul

Tenggat waktu bagi Indigo Books untuk membayar uang tebusan atau risiko pengungkapan publik atas informasi pribadi karyawan telah datang dan pergi tanpa data yang dicuri dipublikasikan, tetapi advokat privasi dan analis keamanan dunia maya sama-sama mengatakan ini tidak berarti ada risiko yang lebih kecil bagi orang Kanada terpengaruh oleh pelanggaran data.

Pada Rabu malam, rantai toko buku terbesar Kanada mengatakan tidak akan menyetujui permintaan pembayaran dari grup online yang mengklaim berafiliasi dengan situs ransomware LockBit, karena tidak dapat menjamin uang tidak akan “berakhir di tangan teroris”.

Grup peretas mengindikasikan akan memposting semua informasi yang dicuri secara publik dan penghitung waktu mundur yang diposting di beberapa versi forum web gelap LockBit mengatakan data akan dirilis pada hari Kamis pukul 15:39 ET.

Setelah batas waktu berlalu pada Kamis sore, forum LockBit mengatakan data telah dirilis. Namun CBC News dan analis keamanan independen tidak dapat menemukan data aktual yang tersedia untuk diakses. CBC menghubungi Indigo untuk mengonfirmasi apakah mereka mengetahui apakah data telah dirilis atau tidak, tetapi tidak mendapat kabar tepat waktu untuk publikasi.

Hanya karena informasi tersebut tampaknya belum diposting, bukan berarti data tersebut aman atau terjamin — dan jelas bukan berarti data tersebut tidak akan dirilis di masa mendatang, menurut Chester Wisniewski, kepala petugas teknologi lapangan di keamanan siber internasional perusahaan Sophos.

“Bagaimanapun, mereka adalah penjahat. Mereka tidak berkewajiban melakukan apa pun yang mereka katakan akan mereka lakukan,” kata Wisniewski, yang tinggal di Vancouver.

Dia mencatat bahwa harus diasumsikan bahwa data karyawan dikompromikan meskipun tidak dirilis ke publik.

Beberapa pekerja Indigo saat ini dan sebelumnya mengatakan kepada CBC News bahwa mereka khawatir tentang apa yang terjadi jika informasi seperti email, alamat rumah, nomor asuransi sosial, dan detail rekening bank mereka dipublikasikan. Indigo sebelumnya memberi tahu karyawan bahwa itu hanyalah beberapa contoh dari beberapa data yang dicuri.

Indigo telah menawarkan beberapa karyawan dan mantan karyawan layanan perlindungan kredit selama dua tahun.

Meghan, yang bekerja di toko milik Indigo hingga tahun 2020, khawatir jika identitasnya dikompromikan karena data yang dicuri ini, dia dapat menghadapi konsekuensi selamanya. CBC telah setuju untuk tidak mengungkapkan nama belakangnya karena masalah privasi.

“Tidak ada jaminan sama sekali dari Indigo kepada saya atau mantan rekan kerja saya untuk mengatakan apa rencana mereka,” katanya dalam sebuah wawancara Kamis pagi.

Perusahaan mengatakan “akan terus menangani setiap kekhawatiran yang mungkin timbul” dalam sebuah pernyataan kepada CBC News pada hari Rabu.

Tetapi Meghan mengatakan rencana dua tahun untuk memantau riwayat kreditnya tidak cukup.

“Saya tidak dapat menandainya bertahun-tahun kemudian jika saya ingin membeli rumah. ‘Oh, saya mungkin [de]ditipu bertahun-tahun yang lalu oleh perusahaan tempat saya tidak bekerja selama sepuluh tahun,'” katanya.

“Ini pasti membuat saya sedikit lebih takut, saya kira, memikirkan masa depan, karena ini adalah sesuatu yang berpotensi mengikuti saya selama sisa hidup saya.”

Perusahaan harus ‘inventaris’ informasi: pakar privasi

Bagian dari mengapa orang Kanada mungkin menghadapi pencurian identitas karena serangan dunia maya adalah karena entitas perusahaan seperti Indigo menyimpan terlalu banyak informasi dan terlalu lama, menurut presiden Dewan Privasi dan Akses Kanada Sharon Polsky.

“Kami harus melihat ke majikan kami dan bertanya mengapa, mengapa Anda menyimpan informasi ini?” katanya, mencatat bahwa undang-undang domestik mungkin tidak cukup untuk melindungi data Kanada karena banyak perusahaan menyimpan informasi mereka di server internasional, sementara organisasi kejahatan dunia maya sering beroperasi di luar yurisdiksi pengadilan.

“Kami tidak dapat melihat undang-undang yang, paling lama, berusia 20 tahun dan dikembangkan sebelum semua teknologi ini dipertimbangkan,” kata Polsky.

Untuk saat ini, dia mengatakan warga Kanada dapat mencoba melindungi diri dari pencurian identitas dengan melacak data pribadi mereka dan menuntut manajemen yang lebih baik dari entitas perusahaan seperti pemberi kerja.

“Salah satu hal yang mungkin ingin dilakukan orang adalah mengajukan permintaan akses formal ke informasi kepada mantan pemberi kerja mereka dan kepada perusahaan dan pemerintah yang mereka tangani untuk mengetahui informasi apa yang disimpan tentang mereka dan kepada siapa informasi itu telah dibagikan,” dia berkata.

“Kita semua harus memiliki inventarisasi informasi yang telah kita berikan,” jelas Polsky, yang mereferensikan poin data seperti tanggal lahir, nomor asuransi sosial, nomor SIM, dan alamat rumah.

Situs web Indigo sebagian tetap turun

Indigo sebelumnya mengatakan tidak mengetahui identitas kelompok di balik penyerangan yang mencuri informasi tersebut. LockBit telah digunakan dalam serangan dunia maya sebelumnya, termasuk yang menargetkan Rumah Sakit Anak Sakit Toronto.

Ketika Indigo terkena serangan dunia maya pada 8 Februari, situs webnya menjadi offline sepenuhnya dan toko toko fisiknya juga tidak dapat memproses transaksi kredit, debit, atau kartu hadiah. Toko fisik kembali aktif setelah akhir pekan berikutnya.

Situs web kembali melakukan beberapa pembelian minggu lalu tetapi masih belum menawarkan banyak produk untuk dijual seperti sebelum serangan ransomware.