Insiden Pelanggaran Data Coinbase
Coinbase telah menyadari adanya pelanggaran data pelanggan yang melibatkan kontraktor pihak ketiga, TaskUs, sejak bulan Januari, berbulan-bulan sebelum insiden tersebut diumumkan secara publik. Hal ini dilaporkan oleh Reuters pada hari Senin, mengutip enam sumber yang familiar dengan kasus ini.
Detail Pelanggaran
Menurut lima mantan karyawan TaskUs, pelanggaran tersebut disebabkan oleh seorang agen dukungan TaskUs yang berbasis di India, yang telah mengambil tangkapan layar dari komputer kerjanya menggunakan telepon. Karyawan tersebut dan seorang rekan yang diduga terlibat diyakini menjual informasi pengguna Coinbase kepada peretas dengan imbalan suap.
“Kami segera melaporkan aktivitas ini kepada klien,” ujar TaskUs kepada Reuters, menambahkan bahwa mereka telah memecat dua karyawan atas akses ilegal dan meyakini bahwa pelanggaran ini merupakan bagian dari kampanye lebih besar yang terkoordinasi, yang menargetkan Coinbase dan penyedia layanan lainnya.
Respon Coinbase
Decrypt telah menghubungi Coinbase dan TaskUs untuk memberikan komentar. Coinbase mengungkapkan pelanggaran tersebut dalam pengajuan ke SEC pada 14 Mei dan diikuti dengan publikasi blog pada 15 Mei. Perusahaan menyatakan bahwa peretas berhasil mengakses nama pelanggan, alamat, rincian bank yang disamarkan, dan dokumen identitas melalui staf dukungan yang terkompromi. Namun, tidak ada dana atau kata sandi yang dicuri.
Tuntutan dan Tindak Lanjut
Pada 11 Mei, Coinbase menerima tuntutan tebusan Bitcoin sebesar $20 juta, yang mendorong pengungkapan tersebut. Mereka juga menjelaskan bahwa pelaku ancaman tersebut mendapatkan informasi dengan membayar beberapa kontraktor atau karyawan di posisi dukungan untuk akses tanpa izin terhadap data dari sistem internal Coinbase dan menyatakan bahwa
“kasus-kasus di mana personel tersebut mengakses data tanpa kebutuhan bisnis telah terdeteksi secara mandiri oleh pemantauan keamanan perusahaan dalam beberapa bulan sebelumnya.”
Penyelidikan Lebih Lanjut
Reuters melaporkan bahwa sebagian dari pelanggaran ini berkaitan dengan TaskUs, sebuah perusahaan outsourcing Amerika Serikat dengan lebih dari 61.000 karyawan di 12 negara.
“Mereka kemudian berusaha memeras Coinbase sebesar $20 juta untuk menutupinya. Kami menolak,” tulis perusahaan. CEO Brian Armstrong menanggapi dengan menawarkan hadiah sebesar $20 juta untuk informasi yang dapat menyebabkan penangkapan para penyerang. “Kami tidak akan membayar tebusan Anda,” ujarnya dalam sebuah pernyataan video.
Dampak dan Tindakan Selanjutnya
Perusahaan tersebut menyatakan bahwa pelanggaran ini mempengaruhi kurang dari 1% dari total pengguna mereka. Coinbase sejak itu memutuskan hubungan dengan TaskUs dan agen luar negeri lain yang terlibat dalam insiden ini, serta mengklaim telah memperkuat kontrol internal mereka. Pelanggaran ini juga memicu gugatan dari pemegang saham yang diajukan pada 22 Mei di pengadilan federal di Pennsylvania. Investor Brady Nessler menuduh Coinbase melanggar hukum sekuritas karena tidak mengungkapkan pelanggaran tersebut dengan tepat waktu dan mengklaim bahwa perusahaan juga menyembunyikan masalah regulasi lainnya.
Setelah pengungkapan tersebut, saham Coinbase turun 7%, namun sejak itu pulih, didorong oleh inklusinya dalam S&P 500.
Diedit oleh Sebastian Sinclair
