Insiden peretasan perusahaan asuransi yang menyalahgunakan kalkulator premi

Ringkasan insiden peretasan perusahaan asuransi Toyota/Eicher Motors

• Situs web kalkulator premi Eicher Motors pada subdomain milik Toyota Tsusho Insurance Broker India mengekspos kredensial cloud perusahaan Microsoft.
• API pengiriman email mengembalikan log pengiriman kepada klien, dan log ini berisi kata sandi akun email.
• Dengan menggunakan kata sandi tersebut, penyerang dapat masuk ke akun email Microsoft "[e-mail]", dan akun ini tidak memiliki autentikasi dua faktor.
• Akun email tersebut memiliki riwayat semua yang dikirim ke pelanggan, termasuk sekitar 657.000 email (~25 GB) yang berisi informasi pelanggan, PDF polis asuransi, tautan reset kata sandi, OTP, dan lainnya.
• Sumber daya lain di Microsoft cloud juga dapat diakses, termasuk direktori perusahaan, SharePoint, Teams, dan lainnya.
• Toyota Tsusho Insurance Broker India menonaktifkan API yang rentan lebih dari 2 bulan setelah laporan, tetapi masih belum mengubah kata sandi akun email.

Toyota Tsusho Insurance Broker India dan Eicher Motors

• Toyota Tsusho Insurance Broker India ("TTIBI") adalah perusahaan pialang asuransi besar di India yang didirikan pada tahun 2008 di bawah Toyota Tsusho Insurance Management Corporation dari Jepang.
• Eicher Motors adalah produsen otomotif besar di India yang memproduksi sepeda motor dengan merek Royal Enfield Motors serta kendaraan komersial dengan merek VE Commercial Vehicles (VECV) melalui usaha patungan dengan Volvo Group.
• Kedua perusahaan memiliki bentuk kemitraan asuransi melalui subdomain khusus Eicher di situs TTIBI.

Kalkulator premi

• Dalam proses menganalisis aplikasi Android MY EICHER, ditemukan URL yang terhubung ke kalkulator premi.
• Ditemukan kode yang mengendalikan mekanisme pengiriman email dari sisi klien, dan saat mencoba permintaan API, log pengiriman email justru dikembalikan bersama error server, sesuatu yang tidak terduga.
• Dari log tersebut, dapat ditemukan kata sandi yang dienkode dalam base64, yang berujung pada masalah keamanan serius.

Akun email

• Akun email "noreply" digunakan untuk mengirim email otomatis kepada pelanggan, dan dalam kasus ini menyimpan riwayat semua yang pernah dikirim kepada pelanggan.
• Melalui akun email tersebut, polis asuransi yang berisi informasi pribadi/sensitif, OTP, tautan reset kata sandi, dan lainnya dapat dilihat, serta sumber daya Microsoft cloud juga dapat diakses.

Badai sempurna dari masalah keamanan

• Kerentanan ini terjadi karena 5 masalah/kesalahan keamanan yang tidak menguntungkan.
  • Masalah #1: Jangan membuat fungsi pengiriman email yang dikendalikan klien.
  • Masalah #2: Tidak ada autentikasi API.
  • Masalah #3: Kebocoran respons API.
  • Masalah #4: Tidak adanya autentikasi dua faktor.
  • Masalah #5: Masalah retensi email.

Kata sandi masih belum diubah

• TTIBI belum mengubah kata sandi akun email itu bahkan lebih dari 5 bulan setelah mengetahui kerentanan tersebut, dan login masih tetap dimungkinkan.
• Penulis menyatakan keterkejutannya karena tidak ada peringatan dari Microsoft tentang login abnormal.

Linimasa

• Karena TTIBI tidak termasuk dalam program pengungkapan kerentanan HackerOne milik Toyota, kerentanan tersebut dilaporkan ke CERT-In India.
• Setelah melalui proses pelaporan, respons, dan verifikasi dari 7 Agustus 2023 hingga 22 Desember, dipastikan bahwa kerentanan telah diperbaiki, dan sempat ada pembahasan mengenai imbalan bug bounty, tetapi TTIBI tidak merespons sehingga kasus ditutup.

Opini GN⁺

• Insiden ini menekankan pentingnya keamanan cloud perusahaan dan perlindungan data. Ini menunjukkan bahwa kerentanan situs web yang sederhana pun dapat berkembang menjadi ancaman keamanan besar.
• Sikap perusahaan yang tidak segera menyelesaikan masalah keamanan dapat merusak kepercayaan terhadap perlindungan data pelanggan.
• Kasus ini mengingatkan pengembang perangkat lunak dan administrator TI untuk meninjau ulang dan memperkuat praktik keamanan mereka.

[GN⁺]

Komentar Hacker News

• Masalah budaya dan gaya manajemen

  Sebagai orang non-India yang bekerja di sebuah perusahaan IT besar, ia mengangkat masalah gaya manajemen yang menghambat pengembang untuk mewujudkan diri atau bekerja secara proaktif, dan hanya berfokus menyelesaikan pekerjaan dengan biaya murah. Ia menyoroti bahwa jika ini terjadi di Amerika Serikat, ia akan keluar dari perusahaan, tetapi di India situasinya tidak semudah itu.

• Kurangnya latar belakang teknis di jajaran manajemen

  Ia mengkritik bahwa sebagian besar manajemen tidak memiliki latar belakang teknis sehingga tidak ingin mendengar apa yang salah, serta menciptakan lingkungan kerja yang terpisah, di mana para pengembang tidak berkomunikasi lintas bidang dan hanya fokus pada wilayah masing-masing.

• Masalah anggaran dan keamanan

  Ia menyebut bahwa bahkan dalam proyek besar pun sering terjadi perdebatan soal biaya yang sepele, dan menyoroti masalah bahwa anggaran tim keamanan adalah yang pertama dipotong.

• Peran pengembang dan tidak adanya budaya inovasi

  Ia menyampaikan kritik terhadap kondisi ketika pengembang tidak inovatif dan bekerja dalam lingkungan seperti call center, hanya menjalankan apa yang diperintahkan.

• Keamanan informasi keuangan yang rapuh

  Ia membagikan pengalaman pernah menemukan kelemahan dalam cara penyimpanan informasi keuangan di dealer mobil pada masa lalu, tetapi tidak melaporkannya karena kurangnya kesadaran terhadap masalah keamanan.

• Pengelolaan keamanan perusahaan yang ceroboh

  Ia mengkritik lemahnya pengelolaan perusahaan terhadap keamanan, seperti menyimpan dokumen pelanggan di akun email.

• Celah keamanan yang sengaja dibuat oleh pengembang

  Ia mengemukakan kecurigaan bahwa pengembang di negara lain mungkin sengaja membuat celah keamanan untuk dijual kepada pemerintah.

• Ketidakpedulian terhadap masalah keamanan

  Ia menyoroti bahwa TTIBI tetap belum mengubah kata sandi meskipun sudah mengetahui adanya kerentanan keamanan.

• Kerentanan melalui JavaScript sisi klien

  Ia menyebut masalah keamanan serius yang memungkinkan akses ke SharePoint dan Outlook akibat kerentanan yang ditemukan melalui JavaScript sisi klien.

• Masalah listrik di India dan kebocoran data

  Ia menyebut bahwa masalah kelistrikan di India adalah persoalan yang lebih besar daripada kebocoran data, sambil menyatakan harapan terhadap perkembangan infrastruktur India.

• Masalah tidak melaporkan kerentanan keamanan

  Ia menyampaikan pendapat bahwa perlu ada tanggung jawab hukum atas kegagalan melaporkan kerentanan keamanan.

• Tidak adanya pemantauan email

  Ia menyoroti tidak adanya pemantauan email dan kegagalan mendeteksi aktivitas tidak normal yang diakibatkannya.

• Ketidakpedulian terhadap bug bounty

  Ia mengkritik sikap TTIBI yang tidak menanggapi pertanyaan tentang bug bounty dan tidak menangani masalah keamanan dengan semestinya.