Peretas Klaim Curi 1,2 Juta Data Donatur dalam Kebocoran Data Universitas Pennsylvania

Insiden peretasan yang mengguncang University of Pennsylvania (Penn) minggu lalu ternyata jauh lebih serius dari yang dilaporkan semula. Seorang peretas mengaku bertanggung jawab atas serangan yang memicu email massal bertajuk “We got hacked” yang dikirim dari domain resmi Penn, dan mengklaim telah mencuri data lebih dari 1,2 juta donatur, alumni, dan mahasiswa.

Email Sarkastik yang Berujung Pengakuan Peretasan

Pada Jumat (31 Oktober), alumni dan mahasiswa Penn menerima sejumlah email dari alamat @upenn.edu dengan isi yang menghina institusi tersebut dan menyebutkan bahwa mereka telah diretas. Salah satu pesan berbunyi:

“University of Pennsylvania adalah institusi elitis dengan keamanan buruk. Kami mencuri semua datamu.”

Pihak universitas semula menepis kabar tersebut, menyebut email itu sebagai “pesan palsu dan tidak kredibel.” Namun, laporan dari BleepingComputer mengonfirmasi bahwa email tersebut benar-benar berasal dari connect.upenn.edu, sistem milis yang di-host di Salesforce Marketing Cloud milik universitas.

Akses Luas ke Sistem Internal

Pelaku kemudian menghubungi BleepingComputer, mengklaim bahwa mereka berhasil mendapatkan akses penuh ke akun PennKey SSO milik salah satu karyawan universitas. Akses ini memungkinkan mereka masuk ke berbagai sistem internal, termasuk:

• VPN universitas
• Platform Salesforce
• Sistem analitik Qlik
• Sistem intelijen bisnis SAP
• Arsip internal di SharePoint dan Box

Dari sana, peretas mengunduh data pribadi milik sekitar 1,2 juta individu, termasuk:

• Nama, tanggal lahir, alamat, dan nomor telepon
• Estimasi kekayaan dan riwayat donasi
• Informasi demografis seperti agama, ras, dan orientasi seksual

Pelaku juga membagikan cuplikan data dan tangkapan layar sebagai bukti, dan mengunggah arsip sebesar 1,7 GB berisi dokumen, spreadsheet, serta materi donasi ke forum daring.

“Tidak untuk Uang Tebusan”

Dalam wawancara dengan BleepingComputer, kelompok tersebut menyatakan tidak berniat memeras universitas, melainkan mengincar database donatur kaya.

“Kami tidak politis, tapi kami tidak menyukai institusi yang melayani anak orang kaya. Target utama kami adalah database donatur mereka yang luar biasa besar,” ujar pelaku.

Mereka mengeklaim peretasan dilakukan pada 30 Oktober 2025, dan setelah akun korban terkunci pada keesokan harinya, pelaku menggunakan akses tersisa ke Salesforce Marketing Cloud untuk mengirim email ofensif ke sekitar 700.000 penerima.

Risiko bagi Donatur

Hingga kini, database donatur belum disebarkan ke publik, namun pelaku mengancam akan merilisnya dalam satu hingga dua bulan ke depan. Sementara itu, University of Pennsylvania menyatakan masih menyelidiki insiden ini.

Bagi para donatur, pakar keamanan menyarankan untuk:

• Waspada terhadap email atau panggilan palsu yang mengatasnamakan Penn.
• Tidak memberikan donasi atau informasi pribadi tanpa verifikasi langsung.
• Mengganti kata sandi dan mengaktifkan autentikasi dua faktor (2FA) pada akun terkait donasi atau pendidikan.

Kebocoran data ini menambah daftar panjang serangan siber terhadap lembaga pendidikan tinggi di Amerika Serikat, yang dalam beberapa tahun terakhir menjadi target empuk bagi kelompok peretas yang mengincar data finansial bernilai tinggi.

Sumber: BleepingComputer