Insiden Akses Root AWS Rubygems.org – September 2025

• Pada September 2025, terjadi insiden akses tanpa izin ke akun root AWS milik Rubygems.org
• Hasil investigasi yang dipublikasikan menegaskan bahwa tidak ada bukti kerusakan atau kebocoran pada data pengguna maupun lingkungan operasional
• Penyebab utama adalah tidak segera mengganti kata sandi akun root AWS setelah pencabutan akses mantan personel, serta kelemahan dalam pengelolaan kredensial bersama
• Setelah insiden, dilakukan rotasi seluruh kredensial dan kata sandi, penguatan audit keamanan, serta perbaikan proses audit eksternal dan perubahan hak akses
• Etika perusahaan, privasi data, dan komunikasi yang transparan berulang kali ditekankan, sambil menegaskan upaya pemulihan kepercayaan komunitas

---

Ikhtisar dan latar belakang

Ruby Central merilis laporan postmortem resmi mengenai insiden pelanggaran akses root AWS Rubygems.org pada September 2025. Dokumen ini merangkum secara transparan kronologi kejadian, hasil investigasi, hal-hal yang salah ditangani, serta langkah-langkah untuk memperkuat keamanan ke depan.

Insiden bermula ketika terungkap melalui blog publik bahwa mantan administrator André Arko masih dapat mengakses lingkungan produksi Rubygems.org dan alat pemantauan meski hak aksesnya telah dicabut. Ruby Central segera memusatkan perhatian pada integritas layanan dan perlindungan data pengguna, serta menyampaikan permintaan maaf secara terbuka.

Linimasa respons insiden

Alur utama pada 30 September 2025

• 17:23 UTC: André Arko memberi tahu lewat email bahwa dirinya masih dapat mengakses root
• 17:30 UTC: Melalui posting blog pihak luar, akses akun root dan tangkapan layar dipublikasikan ke publik
• 17:51 UTC: Ruby Central membentuk tim investigasi insiden dan mulai meninjau seluruh layanan serta kredensial
• 18:20 UTC: Dikonfirmasi bahwa kata sandi lama telah dinonaktifkan
• 18:24 UTC: Kata sandi akun root AWS direset, akun dipulihkan melalui autentikasi MFA
• 18:30 UTC: Melalui pemeriksaan “Credentials Report”, dikonfirmasi bahwa pada 19 September ada pihak tidak berwenang yang mengubah kata sandi root
• 20:45 UTC: Seluruh sub-akun dan kredensial lawas dicabut, MFA diterbitkan ulang, dan kredensial baru disimpan di brankas terpisah

Rincian perkembangan insiden

Seluruh infrastruktur Ruby Central dijalankan di atas AWS, dan kredensial akun root disimpan di brankas bersama yang hanya dapat diakses oleh 3 orang (2 personel aktif, 1 mantan personel).

18 September 2025

• 18:40 UTC: Arko menerima email pemberitahuan pencabutan akses produksi dan hak layanan on-call
• Kredensial AWS yang digunakan Arko telah dihapus, tetapi kata sandi akun root tidak dirotasi

19 September 2025: awal serangan

• 04:34~04:39 UTC: Dari IP San Francisco, pihak tidak berwenang melakukan login root, mengubah kata sandi, keluar dari grup/kebijakan pihak berwenang, dan menjalankan aktivitas inspeksi menyeluruh IAM

28 September 2025

• 05:49 UTC: Sesi tidak sah dari IP Tokyo terjadi, metadata pengguna diperiksa melalui IAM introspection API
• (Bertepatan dengan konferensi Kaigi on Rails, diduga orang yang sama)

30 September 2025

• 15:25~15:35 UTC: Dari IP Los Angeles, dilakukan akses root dan perintah untuk memperoleh kredensial pengguna dijalankan (sesuai dengan tangkapan layar yang dibagikan di blog)
• 18:24 UTC: Ruby Central memulihkan kendali root

Dampak insiden dan cakupan kerugian

• Hasil peninjauan mendetail menunjukkan tidak ada bukti kerusakan pada data pengguna, akun, gem, maupun ketersediaan layanan
• Rubygems.org tetap beroperasi normal sepanjang insiden
• Tidak ada akses atau kebocoran informasi sensitif seperti PII maupun data keuangan
• Tidak ada perubahan pada database produksi, S3, maupun CI/CD
• Namun, tidak dirotasinya kredensial bersama dan paparan akses yang berkelanjutan merupakan cacat serius dalam prosedur operasional

Proses penyelesaian insiden

• Seluruh kredensial root dan IAM dicabut dan MFA baru diterapkan
• Token untuk integrasi eksternal terkait (Datadog, GitHub Actions, dan lainnya) dirotasi sepenuhnya
• Pemantauan real-time atas perubahan penting diperkuat melalui AWS CloudTrail, GuardDuty, dan DataDog
• Struktur hak akses IAM ditinjau ulang dan hak yang tidak diperlukan dicabut
• Audit keamanan menyeluruh dimulai dengan melibatkan pakar eksternal
• Runbook keamanan baru disusun (termasuk rotasi kata sandi segera saat ada perubahan personel, pemeriksaan triwulanan, dan proses komunikasi saat insiden)

Analisis akar penyebab

• Tidak menyadari kemungkinan adanya salinan eksternal atas pengelolaan kata sandi bersama
• Saat terjadi keluarnya personel, kata sandi root AWS dan MFA tidak dirotasi
• Kedua hal ini memungkinkan pihak tidak berwenang mengakses infrastruktur produksi Rubygems dan berpotensi mencoba memperebutkan kontrol akses

Langkah pencegahan agar tidak terulang

• Prosedur dan checklist pencabutan akses diperluas hingga mencakup pengelolaan brankas bersama
• Kredensial yang tidak terintegrasi, khususnya kredensial bersama, akan segera dirotasi saat terjadi perubahan personel
• Audit keamanan independen akan dialihdayakan ke pihak eksternal
• Akan diterapkan perjanjian operator/kontributor yang jelas tentang siapa yang diberi hak produksi dan dalam kondisi apa

Alasan insiden ini diperlakukan sebagai insiden keamanan

• Berasal dari masalah kontrol sistem inti oleh satu individu
• Mr. Arko sebelumnya menyediakan layanan on-call sekunder sebagai konsultasi berbayar senilai $50 ribu per tahun, lalu setelah perubahan struktur anggaran, sebagai imbalan untuk tetap menyediakan on-call tanpa bayaran ia mengusulkan akses ke log HTTP produksi (termasuk PII) serta peluang monetisasi
• Usulan ini mengandung persoalan mendasar terkait governance, privasi, dan konflik kepentingan, dan Ruby Central menilai hal itu tidak dapat diterima, sehingga dilakukan restrukturisasi operator dan reformasi governance
• Fakta bahwa akses Arko ke sistem yang mencakup PII terus berlanjut menjadi dasar penentu untuk mengklasifikasikan ini sebagai insiden keamanan
• Hingga saat ini tidak ada bukti bahwa data Rubygems bocor atau disimpan di luar, dan mereka berjanji untuk memulihkan kepercayaan komunitas serta meningkatkan transparansi

Kesimpulan

• Terima kasih atas dukungan komunitas dan pengawasan yang sehat
• Ruby Central akan terus menjamin stabilitas dan kepercayaan Rubygems.org melalui operasi yang transparan, tanggung jawab, dan sistem keamanan yang kuat

Shan Cureton
Executive Director