- Kerentanan serius pada server Microsoft SharePoint dieksploitasi, sehingga lembaga dan perusahaan di seluruh dunia termasuk pemerintah federal dan negara bagian AS, universitas, perusahaan energi, dan operator telekomunikasi Asia menjadi sasaran serangan peretasan
- Peretasan ini menargetkan kerentanan 'zero-day' yang belum memiliki patch, membuat puluhan ribu server SharePoint terekspos risiko. Microsoft hanya merilis patch untuk sebagian versi, sementara versi lainnya masih rentan
- Penyerang menyebabkan dampak kritis seperti pencurian data sensitif, pengumpulan kata sandi, dan perolehan kunci untuk infiltrasi ulang. Dalam beberapa kasus, bahkan repositori dokumen untuk keterbukaan informasi pemerintah sampai "dibajak" dan aksesnya diblokir
- Cakupan dampak tidak hanya di AS, tetapi juga meluas ke Eropa, Asia, Amerika Selatan, dan berbagai negara lainnya. FBI, CISA, dan lembaga lain di berbagai negara bergerak melakukan respons darurat serta berbagi informasi
- Microsoft telah dikritik akibat insiden keamanan berulang dalam beberapa tahun terakhir, dan insiden kali ini kembali menyoroti keterlambatan patch, sistem keamanan yang lemah, dan kemungkinan infiltrasi ulang oleh penyerang sebagai keterbatasan struktural
Peretasan server Microsoft SharePoint
- Penyerang yang belum diketahui memanfaatkan kerentanan keamanan yang belum diungkap pada SharePoint, perangkat lunak kolaborasi milik Microsoft, untuk menyerang lembaga dan perusahaan di seluruh dunia, termasuk pemerintah federal dan negara bagian AS, universitas, perusahaan energi, dan operator telekomunikasi Asia
- Serangan ini menargetkan kerentanan zero-day (0-day) dan menimbulkan beragam kerusakan, termasuk kebocoran dan pencurian data di dalam server serta perolehan kunci enkripsi
Status kerentanan dan patch
- Menurut para ahli, puluhan ribu server SharePoint berada dalam bahaya. Target serangan terbatas pada server on-premise, sedangkan layanan berbasis cloud (seperti Microsoft 365) tidak terdampak
- Microsoft merilis patch untuk satu versi pada hari Minggu, tetapi 2 versi masih belum ditambal. Organisasi terdampak sedang melakukan respons mandiri dan langkah mitigasi sementara
- Penyerang tetap dapat masuk kembali menggunakan kunci yang sudah diperoleh bahkan setelah patch dirilis, sehingga ditekankan bahwa pemulihan kerusakan sulit dilakukan hanya dengan patch cepat
Serangan dan cakupan dampak
- Banyak perusahaan keamanan seperti CrowdStrike, Palo Alto Networks, dan Eye Security mengonfirmasi bahwa lebih dari puluhan lembaga dan perusahaan telah dibobol
- Organisasi terdampak sangat beragam, termasuk pemerintah federal dan negara bagian AS, lembaga pemerintah Eropa, universitas, perusahaan energi, dan operator telekomunikasi Asia
- Salah satu pemerintah negara bagian mengalami kondisi di mana repositori dokumen resmi untuk panduan warga diretas sehingga tidak dapat diakses, dan di beberapa tempat juga muncul kekhawatiran atas serangan "wiper" yang menghapus data sepenuhnya
Respons industri keamanan dan pemerintah
- Lembaga pemerintah AS seperti FBI dan CISA sedang melakukan penyelidikan segera dan respons bersama
- CISA bekerja sama dengan Microsoft segera setelah menerima laporan dari perusahaan keamanan informasi swasta, serta mendorong pengembangan patch
- Center for Internet Security dan pihak lain telah mengirimkan peringatan kerentanan darurat ke sekitar 100 organisasi, sementara kemampuan respons mengalami kesulitan karena personel berbagi informasi dan penanganan insiden berkurang drastis akibat pemotongan anggaran
Microsoft dan kontroversi keamanan yang berulang
- Dalam dua tahun terakhir, Microsoft mengalami penurunan kepercayaan dari lembaga publik dan pelanggan pemerintah akibat rangkaian insiden peretasan, seperti peretasan email pemerintah oleh pihak asal Tiongkok pada 2023, pembobolan jaringan internal, dan kesalahan pemrograman cloud
- Peretasan kali ini kembali memperlihatkan keterbatasan struktural seperti keterlambatan patch, kegagalan merefleksikan kemiripan kerentanan, dan pengelolaan keamanan yang berulang kali longgar
- Ditambah kontroversi penggunaan engineer berbasis di Tiongkok dalam personel pendukung proyek cloud Departemen Pertahanan AS, kekhawatiran atas ketergantungan sektor publik pada Microsoft pun meningkat
Kesimpulan dan prospek
- Insiden ini menunjukkan bahwa satu kerentanan dalam solusi kolaborasi berskala besar dapat menimbulkan dampak serius bagi begitu banyak lembaga dan perusahaan di seluruh dunia
- Dengan kunci enkripsi yang telah diperoleh dan sejenisnya, penyerang memiliki kemungkinan besar untuk tetap bertahan lama bahkan setelah patch diterapkan, sehingga dibutuhkan penguatan keamanan yang lebih mendasar selain sekadar patch
- Pengurangan personel dan anggaran keamanan, serta ketiadaan tata kelola TI, disebut sebagai kelemahan struktural dalam respons sektor publik terhadap ancaman siber
1 komentar
Komentar Hacker News
CISA menyarankan organisasi yang memiliki kerentanan keamanan untuk memutus produk tersebut dari internet sampai patch resmi keluar, tetapi menurut saya menarik bahwa masih ada organisasi yang meng-host SharePoint sendiri secara on-premises dan mengeksposnya ke internet; saya tadinya mengira tempat seperti itu setidaknya akan mewajibkan VPN
Saya menyayangkan CISA telah kehilangan talenta yang benar-benar mumpuni dibanding masa lalu dan berubah menjadi kelompok yang lebih mementingkan kepatuhan politik; dibagikan kasus terbaru ketika Arizona diserang peretas Iran tetapi tidak meminta bantuan tautan artikel, dan ditekankan bahwa organisasi seperti CISA yang menyelidiki serangan berskala luas itu sangat penting, namun sekarang dikhawatirkan terlalu dipengaruhi standar politik tautan Techdirt
Praktik terbaik adalah mengasumsikan jaringan sudah terkompromi; VPN juga tidak memberi jaminan keamanan yang sempurna. Semakin besar organisasinya, semakin mudah perangkat hilang atau sulit dikelola, jadi pendekatan ‘zero trust’ dan akses dari mana saja menjadi penting. Organisasi ingin tetap mengendalikan data sambil mempertahankan fleksibilitas kerja
SharePoint dulu juga dipromosikan secara agresif untuk menjalankan situs web publik; sebelum migrasi ke cloud, sales Microsoft bahkan datang ke kantor dan mempromosikan bahwa WordPress akan hilang berkat SharePoint terbaru. Karena inersia seperti ini, masih banyak organisasi yang bertahan dengan cara lama
Menjalankan layanan internal seperti SharePoint dan Exchange di belakang pre-auth reverse proxy juga bukan hal yang langka
Dulu Microsoft banyak memasarkan SharePoint untuk penggunaan intranet, jadi banyak institusi mengadopsinya. Karena akhir dukungan SharePoint 2019, banyak organisasi sedang berusaha cepat membangun sistem pengganti
Saya penasaran kenapa Principal Engineer Copilot tidak bisa mencegah kerentanan seperti ini
Kerentanannya mungkin sudah ada sebelum Copilot mendapat jabatan itu; bisa jadi masalah warisan sejak masa intern
Peretas, pelanggan, karyawan, admin, semuanya mirip saja; berkali-kali diretas oleh Tiongkok, oleh pelanggan sendiri, dan oleh admin atau karyawan yang berbasis di Tiongkok, jadi saya menganggap seluruh perusahaan sudah terinfiltrasi. Bahkan ada ketidakpercayaan bahwa PE copilot justru bisa membantu penyerang
Para peretas juga bisa memakai Copilot, jadi pada akhirnya salah satu pihak pasti menang(?)
Saya sudah menghabiskan terlalu banyak waktu dengan SharePoint; mengeksposnya ke internet sama sekali bukan pilihan yang baik. Rasanya mulai versi tertentu memang dipromosikan juga sebagai web server publik, tetapi saya justru memasang semua instansnya secara terisolasi di jaringan
Pada awal 2010-an Microsoft memang aktif memasarkan SharePoint sebagai solusi situs internet, dan saya pernah melihat contoh produsen mobil Eropa seperti BMW atau Ferrari memakainya untuk situs pemasaran global. Namun harganya terlalu mahal, seperti 40 ribu dolar per situs, jadi tidak bertahan lama
Saat sempat memakai SharePoint beberapa tahun lalu, saya mengira web hosting publik memang tujuan asli SharePoint
Saya sering mendengar lelucon di kalangan pegawai Pentagon bahwa “kalau ingin menjatuhkan militer AS, cukup matikan SharePoint”, dan ini selalu muncul dalam pidato-pidato militer
Feed peringatan keamanan real-time saya menangkap berita ini lebih dulu daripada media besar feed ZeroDayPublishing
Dalam bisnis enterprise on-premises, menurut saya harusnya Red Hat lebih banyak dipakai daripada Microsoft; terutama untuk pelanggan penting seperti DoD, kerentanan seperti ini tidak bisa diterima. Sering ada anggapan bahwa Google sulit ditembus, tetapi instansi pemerintah justru banyak memakai solusi on-premises yang rapuh seperti SharePoint. Saya penasaran kenapa mereka tidak beralih ke keluarga Linux yang lebih murah dan lebih luas dipakai; bukankah keamanan benar-benar prioritas utama?
Saya penasaran apakah Microsoft benar-benar pernah mengelola server Departemen Pertahanan AS melalui karyawan yang tinggal di Tiongkok; sepertinya di lingkungan DoD juga akan memakai SharePoint
Ada versi M365 khusus yang dipakai DoD, termasuk SPO, tetapi itu tidak terkait dengan artikel ini
Tautan artikel terkait artikel Reuters
Mengutip isi artikelnya, “cacat pemrograman dalam layanan cloud memungkinkan peretas yang berafiliasi dengan Tiongkok mencuri email pemerintah federal, dan ProPublica mengungkap bahwa sampai baru-baru ini Microsoft menempatkan personel Tiongkok sebagai tenaga pendukung dalam program cloud Departemen Pertahanan AS; menteri pertahanan memerintahkan peninjauan menyeluruh atas hal itu”
Saya terkesan bahwa akibat pemotongan besar anggaran CISA, personel respons krisis juga berkurang sampai 65%, sehingga penanganan insiden memakan waktu jauh lebih lama
Mungkin ini akan terdengar agak sinis, tetapi saya juga berharap kejadian seperti ini makin sering terjadi supaya perusahaan berhenti memakai SharePoint. Saya sudah tidak memakainya sejak 2017, tetapi setiap kali menggunakannya rasanya benar-benar paling buruk, dan saya bahkan pernah memakai kaus bertuliskan ‘SharepoIT Happens’. Rekan-rekan kerja saya juga semua sepakat bahwa SharePoint itu menyebalkan
Selama tidak berhenti memakai M365, Anda pada dasarnya tidak bisa berhenti memakai SharePoint. Misalnya, ketika membuat tim di Teams, otomatis dibuat grup M365, dan setiap grup itu mendapat situs SharePoint serta mailbox Exchange. File channel juga disimpan di SharePoint, pesan disimpan di Exchange, dan file pribadi disimpan di OneDrive (=SharePoint). Artinya, pada dasarnya seluruh M365 dibangun di atas SharePoint dan Exchange
Dulu saya pernah bekerja di perusahaan yang mencoba menerapkan sistem DRM otomatis berbasis SharePoint dari Microsoft. Saat dokumen diunggah, SharePoint otomatis menerapkan DRM, dan ketika pengguna mengunduhnya, file itu hanya bisa dibuka di perangkat yang ditentukan. Tetapi tergantung metode login, file tanpa DRM tetap bisa diunduh begitu saja, dan bahkan konsultan Microsoft pun akhirnya tidak bisa menyelesaikannya
Perusahaan kami punya SharePoint dan juga situs dokumen/catatan internal terpisah, semacam Notion/Quip/Confluence, dan mayoritas developer memakai yang kedua. Namun beberapa karyawan hanya mengunggah file Word, sehingga pada akhirnya semua orang terpaksa memakai SharePoint dan harus mencari dokumen di dua tempat
Atasan saya terus menyuruh saya menyiapkan SharePoint selama lebih dari setahun, tetapi setelah enam bulan saya menelitinya dengan benar, hasilnya tampak tidak ada yang istimewa. Pada akhirnya atasan merekrut teknisi lain yang memasangnya dalam sehari, tetapi tidak ada yang memakainya; satu-satunya hal yang tersisa adalah flash drive USB cepat milik saya dicuri
Dari sudut pandang perusahaan menengah yang bekerja dengan instansi pemerintah, meskipun ada solusi yang lebih baik, hampir tidak pernah dipakai. Persyaratan keamanan siber terlalu banyak sehingga SharePoint menjadi satu-satunya opsi yang ‘layak secara komersial’. Walaupun SharePoint merepotkan, solusi pengganti dianggap ‘berisiko’. Ada banyak keluhan besar dan kecil, seperti tidak bisa scroll daftar file, masalah fitur otomatisasi, login antar-tenant M365 yang rusak, URL yang tidak terbaca, performa pencarian rendah, error pada tabel/filter, UI pengaturan izin yang tersembunyi, dan sebagainya. Ini bukan jenis masalah yang seharusnya perlu dicari-cari solusinya di internet
Kalau suatu hari saya menjadi anggota dewan perusahaan, saya tidak akan begitu saja memercayai CTO atau pendiri yang secara sukarela mendorong adopsi solusi Microsoft. Setiap kali saya mengklik tautan Microsoft Office di Teams, rasa tidak percaya saya terhadap Microsoft makin besar. Jadi kalau ada kerentanan di SharePoint, saya sama sekali tidak terkejut