Mantan Analis Data Curi Data Internal Brightly Software untuk Pemerasan Senilai USD 2,5 Juta
Seorang pria asal North Carolina, Amerika Serikat, dinyatakan bersalah atas tindak pidana pemerasan terhadap sebuah perusahaan teknologi tempat ia sebelumnya dipekerjakan sebagai kontraktor analis data.
Meskipun siaran pers dari Departemen Kehakiman AS tidak menyebutkan nama korban secara spesifik, dokumen pengadilan mengungkap bahwa target pemerasan tersebut adalah Brightly Software. Perusahaan Software-as-a-Service (SaaS) yang sebelumnya dikenal dengan nama SchoolDude ini telah beroperasi selama lebih dari dua dekade dan diakuisisi oleh raksasa teknologi Siemens pada Agustus 2022 lalu.
Terdakwa yang teridentifikasi bernama Cameron Curry (27) menyalahgunakan hak aksesnya terhadap sistem informasi penggajian dan data internal korporat. Pria yang beroperasi dengan nama samaran “Loot” ini mencuri berbagai dokumen sensitif untuk dijadikan alat tawar pemerasan, tepat setelah ia mengetahui bahwa kontrak kerjanya yang berdurasi enam bulan tidak akan diperpanjang oleh perusahaan.
Ancaman Kebocoran Data dan Laporan ke SEC
Sehari setelah masa kontraknya habis pada 10 Desember, Curry mulai melancarkan aksinya. Ia mengirimkan lebih dari 60 email pemerasan kepada para karyawan Brightly menggunakan alamat email Microsoft dan alias Loot. Dalam pesannya, Curry mengancam akan membocorkan informasi sensitif yang ia curi antara bulan Agustus hingga Desember 2023 jika pihak perusahaan menolak membayar uang tebusan sebesar USD 2,5 juta.
Sebagai bukti keseriusannya, Curry menyematkan tangkapan layar lembar kerja yang berisi Informasi Identitas Pribadi (PII) milik para karyawan Brightly. Data yang dikompromikan tersebut mencakup nama lengkap, tanggal lahir, alamat rumah, hingga rincian kompensasi gaji.
Tidak berhenti sampai di situ, Curry juga mengancam akan melaporkan Brightly kepada Komisi Sekuritas dan Bursa AS (SEC) atas tuduhan kegagalan perusahaan dalam mematuhi kewajiban hukum untuk melaporkan insiden kebocoran data. Ia menetapkan tenggat waktu hingga 1 Januari 2024 sebelum data gaji karyawan didistribusikan secara bertahap, dan mengklaim adanya ketidaksesuaian pembukuan perusahaan senilai lebih dari USD 16 juta. Curry bahkan menyatakan bahwa nilai tebusan akan terus naik sebesar USD 100.000 untuk setiap bulan keterlambatan pembayaran.
Pembayaran Uang Tebusan dan Intervensi FBI
Menghadapi rentetan ancaman yang agresif tersebut, pihak Brightly sempat mengirimkan pembayaran awal sebesar USD 7.540 dalam bentuk Bitcoin ke dompet kripto yang dikendalikan oleh Curry. Di saat yang bersamaan, perusahaan juga melaporkan insiden ini kepada penegak hukum.
Biro Investigasi Federal (FBI) langsung bergerak cepat dengan melakukan penggeledahan di kediaman Curry pada 24 Januari. Dalam operasi tersebut, aparat berhasil menyita berbagai perangkat elektronik yang memuat bukti kuat terkait skema pemerasannya. Curry sempat dibebaskan dengan jaminan pada Januari 2024, namun kini ia harus menghadapi ancaman hukuman maksimal hingga 12 tahun penjara atas enam dakwaan transmisi komunikasi lintas negara bagian dengan niat memeras perusahaan.
Menanggapi proses hukum ini, pihak Brightly menyatakan apresiasinya terhadap langkah tegas FBI dan Departemen Kehakiman AS. Perusahaan menegaskan telah bersikap kooperatif selama proses investigasi berlangsung dan menyerahkan seluruh proses lanjutan kepada otoritas penegak hukum.
Sebagai catatan tambahan, insiden pemerasan internal ini merupakan pukulan ganda bagi Brightly. Sebelumnya, perusahaan juga sempat melaporkan insiden kebocoran data yang sama sekali tidak terkait pada Mei 2023. Pada kasus tersebut, peretas berhasil menyusup ke basis data platform online SchoolDude dan mencuri kredensial serta data pribadi milik hampir 3 juta pelanggan dan penggunanya.
