“Kami akan segera bertindak untuk menerapkan standar keamanan kami saat ini pada sistem lama dan proses bisnis internal milik Microsoft, bahkan ketika perubahan ini dapat menyebabkan gangguan pada proses bisnis yang ada,” kata perusahaan itu. “Ini kemungkinan besar akan menyebabkan gangguan pada tingkat tertentu.”
Kelompok yang dianggap bertanggung jawab oleh Microsoft, juga dikenal sebagai “Nobelium,” adalah kelompok peretasan negara canggih yang dihubung-hubungkan dengan Rusia oleh Pemerintah Amerika Serikat (AS).
Kelompok yang sama sebelumnya menyerang SolarWinds Corp, kontraktor federal AS, sebagai bagian dari upaya spionase dunia maya besar-besaran terhadap lembaga-lembaga federal AS.
Perusahaan tersebut mengatakan para peretas itu memulai aksinya sejak November 2023, menggunakan serangan “semprotan kata sandi” untuk menyusup ke sistemnya. Teknik tersebut, terkadang dikenal sebagai serangan brute force, biasanya melibatkan pihak luar yang dengan cepat mencoba beberapa kata sandi pada nama pengguna tertentu untuk mencoba membobol akun perusahaan yang ditargetkan.
Dalam kasus ini, selain akun yang diakses, penyerang juga mengambil email dan dokumen lampiran. Microsoft mengatakan pihaknya mendeteksi peretasan tersebut pada 12 Januari, dan menambahkan bahwa perusahaan tersebut masih memberi tahu karyawan yang emailnya telah diakses.
Eric Goldstein, asisten direktur eksekutif keamanan siber di Badan Keamanan Siber dan Infrastruktur AS, mengatakan pejabat pemerintah “berkoordinasi erat dengan Microsoft untuk mendapatkan wawasan tambahan mengenai insiden ini dan memahami dampaknya sehingga kami dapat membantu melindungi calon korban lainnya.”
Teknologi Microsoft sering menjadi sasaran kampanye peretasan besar-besaran.
Dewan Peninjau Keamanan Siber AS, yang melapor ke Departemen Keamanan Dalam Negeri, telah menilai gangguan pada 2023 terhadap Microsoft Exchange Online yang dikaitkan oleh perusahaan tersebut dengan peretas yang terkait dengan China.
Pelanggaran tersebut memungkinkan terjadinya peretasan akun surel pejabat senior AS dan telah memicu kekhawatiran yang makin besar mengenai keamanan komputasi awan. Microsoft mengatakan pada September bahwa perusahaan mengidentifikasi lima kesalahan berbeda dalam cara sistemnya yang telah “diperbaiki.”
Dalam sebuah wawancara dengan Bloomberg pada 2023 setelah pelanggaran tersebut, Jen Easterly, direktur agensi yang mengelola dewan tersebut, menyarankan agar Microsoft “menangkap kembali etos” dari apa yang oleh salah satu pendiri Microsoft, Bill Gates, disebut sebagai “komputasi yang dapat dipercaya” pada 2002, ketika ia menginstruksikan karyawan untuk fokus pada keamanan daripada menambahkan fitur baru.
“Saya yakin mereka harus fokus untuk memastikan produk mereka aman secara default dan aman secara desain, dan kami akan terus bekerja sama dengan mereka untuk mendorong mereka melakukan hal tersebut,” kata Easterly tentang Microsoft.
Pada November, Microsoft mengatakan pihaknya merombak cara melindungi perangkat lunak dan sistemnya setelah serangkaian peretasan tingkat tinggi. Kini perusahaan mengatakan mereka harus mengambil langkah dalam melakukan perubahan, terutama pada sistem dan produk lama.
“Bagi Microsoft, kejadian ini menyoroti kebutuhan mendesak untuk bergerak lebih cepat,” kata perusahaan itu pada Jumat.
(bbn)
