Universitas Pennsylvania Konfirmasi Kebocoran Data Akibat Serangan Siber

Universitas Pennsylvania (Penn) resmi mengonfirmasi bahwa sistem internal mereka menjadi sasaran serangan siber yang mengakibatkan pencurian data sensitif terkait aktivitas pengembangan dan alumni kampus.

Dalam pernyataan terbarunya, Penn membenarkan laporan awal bahwa para peretas berhasil menembus sistem menggunakan kredensial yang dicuri melalui serangan rekayasa sosial (social engineering).

“Pada 31 Oktober, Penn menemukan bahwa sejumlah sistem informasi yang berkaitan dengan kegiatan pengembangan dan alumni telah disusupi,” tulis pihak universitas.
“Meskipun Penn memiliki program keamanan informasi yang kuat, akses ke sistem ini terjadi akibat serangan penyamaran identitas yang sangat canggih.”

Begitu insiden terdeteksi, tim internal Penn segera menutup akses dan menghentikan upaya penyusupan lebih lanjut. Namun, sebelum tindakan tersebut berhasil, pelaku sempat mengirimkan email ofensif kepada komunitas kampus dan mencuri sejumlah data dari sistem.

Data yang Dicuri Mencapai 1,71 GB

Investigasi awal yang dilakukan bersama CrowdStrike dan FBI mengungkap bahwa peretas masuk pada 30 Oktober melalui akun PennKey SSO milik seorang karyawan. Akun tersebut memberikan akses ke berbagai sistem penting, termasuk Salesforce, Qlik, SAP Business Intelligence, serta berkas di SharePoint dan Box.

Melalui akses itu, pelaku mencuri 1,71 GB data internal, yang berisi dokumen, lembar kerja keuangan, serta materi pemasaran alumni. Mereka juga mengklaim telah menyalin database donor Salesforce milik universitas, berisi 1,2 juta entri dengan beragam informasi pribadi dan keuangan.

Contoh data yang bocor mencakup 158 kolom informasi, meliputi:

• Data pribadi (PII): nama lengkap, tanggal lahir, jenis kelamin, alamat rumah dan surat, nomor telepon, serta email.
• Data keuangan dan donasi: riwayat sumbangan, peringkat kekayaan, hingga nilai komitmen donasi seumur hidup.
• Informasi pekerjaan dan afiliasi: nama perusahaan, jabatan, dan hubungan akademik dengan Penn.

Setelah akses mereka dicabut, pelaku masih sempat menggunakan akun Salesforce Marketing Cloud universitas untuk mengirimkan email ofensif massal kepada sekitar 700.000 penerima.

Motif Ekonomi Dibungkus Kritik Sosial

Dalam unggahan di forum peretas, kelompok tersebut mengklaim bahwa motivasi mereka bukan politik, melainkan untuk memperoleh “database donor kaya milik universitas.” Namun, pesan dan unggahan mereka juga berisi kritik tajam terhadap kebijakan DEI (Diversity, Equity, and Inclusion), sistem penerimaan mahasiswa, serta tudingan adanya “nepotisme” di lingkungan kampus.

Pelaku mengaku belum berencana membocorkan data tersebut ke publik, tetapi mengisyaratkan kemungkinan akan melakukannya dalam satu hingga dua bulan ke depan.

Langkah Pengamanan dan Peringatan untuk Komunitas Penn

Pihak universitas menyatakan sedang meningkatkan pengamanan sistem, termasuk pelatihan tambahan bagi karyawan terkait ancaman rekayasa sosial serta pengawasan keamanan yang lebih ketat. Setelah penyelidikan rampung, Penn berkomitmen untuk memberi tahu semua pihak yang terdampak.

Penn juga memperingatkan mahasiswa dan alumni agar berhati-hati terhadap panggilan atau email mencurigakan yang mungkin digunakan untuk melakukan phishing atau serangan sosial lanjutan.