Mantan Data Analyst Dipenjara karena Mencuri Data dan Memeras Perusahaan

Seorang mantan kontraktor data analyst Brightly Software dijatuhi hukuman dua tahun penjara setelah terbukti mencuri data sensitif perusahaan dan menggunakannya untuk menjalankan aksi pemerasan senilai $2,5 juta.

Pelaku bernama Cameron Curry, pria berusia 27 tahun asal North Carolina yang juga dikenal dengan alias “Loot”, dinyatakan bersalah pada Maret 2026 karena menjalankan skema cyber extortion terhadap perusahaan tempatnya bekerja.

Brightly Software merupakan perusahaan Software-as-a-Service (SaaS) yang sebelumnya dikenal sebagai SchoolDude. Perusahaan tersebut diakuisisi oleh Siemens pada Agustus 2022 dan kini memiliki lebih dari 700 karyawan. Layanannya digunakan oleh lebih dari 12.000 pelanggan di seluruh dunia untuk kebutuhan manajemen aset dan pemeliharaan.

Mencuri data setelah kontraknya tidak diperpanjang

Menurut dokumen pengadilan, Curry memperoleh akses ke informasi penggajian dan berbagai data perusahaan selama bekerja sebagai kontraktor Brightly. Dari akses tersebut, ia kemudian mencuri sejumlah dokumen sensitif yang nantinya digunakan sebagai alat untuk memeras perusahaan.

Aksi tersebut dilakukan setelah Curry mengetahui bahwa kontrak kerjanya selama enam bulan tidak akan diperpanjang.

Sehari setelah kontraknya berakhir pada 10 Desember 2023, Curry mulai menghubungi karyawan Brightly menggunakan alias “Loot” dan alamat email khusus yang dibuat untuk menjalankan aksinya.

Antara 11 Desember 2023 hingga 24 Januari 2024, ia mengirimkan sejumlah email kepada puluhan karyawan Brightly. Dalam pesan tersebut, Curry mengancam akan menyebarkan data yang telah dicurinya apabila perusahaan tidak membayar tebusan sebesar $2,5 juta dalam bentuk cryptocurrency.

Curry juga mengklaim akan mengungkap informasi penggajian karyawan secara bertahap dan melaporkan Brightly kepada U.S. Securities and Exchange Commission (SEC) karena dianggap gagal mengungkap insiden kebocoran data.

Menggunakan data pribadi karyawan sebagai alat pemerasan

Untuk memperkuat ancamannya, Curry menyertakan screenshot yang berisi informasi pribadi milik karyawan Brightly.

Data tersebut mencakup nama, tanggal lahir, alamat rumah, serta informasi kompensasi karyawan. Dengan menunjukkan bahwa ia benar-benar memiliki akses terhadap data internal perusahaan, Curry berusaha memberikan tekanan agar Brightly memenuhi tuntutan pembayaran.

Dalam salah satu pesan pemerasannya, Curry juga mengklaim menemukan ketidaksesuaian dalam pembukuan perusahaan dengan nilai lebih dari $16 juta.

Ia memperingatkan bahwa kegagalan membayar tebusan akan menyebabkan informasi tersebut disebarluaskan dan bahkan mengancam akan melaporkannya kepada regulator.

Curry juga menetapkan skema pembayaran yang semakin mahal. Ia meminta $2,5 juta untuk menghentikan ancaman tersebut dan menyatakan bahwa tuntutan akan meningkat sebesar $100.000 setiap bulan apabila perusahaan tidak membayar.

Brightly sempat membayar Bitcoin

Setelah menerima serangkaian email pemerasan, Brightly akhirnya mengirimkan $7.540 dalam Bitcoin ke dompet cryptocurrency yang dikendalikan oleh Curry.

Namun, pembayaran tersebut tidak menghentikan proses hukum. Brightly kemudian melaporkan insiden tersebut kepada aparat penegak hukum.

Pada 24 Januari 2024, FBI melakukan penggeledahan di kediaman Curry dan menyita berbagai perangkat elektronik. Perangkat tersebut berisi bukti yang menghubungkan Curry dengan aksi pencurian data dan pemerasan terhadap Brightly.

Penyelidikan kemudian mengarah pada proses hukum hingga Curry akhirnya dinyatakan bersalah dan dijatuhi hukuman dua tahun penjara.

Risiko insider menjadi perhatian serius

Kasus Curry menunjukkan bagaimana akses internal yang sah dapat berubah menjadi ancaman keamanan ketika digunakan untuk tujuan kriminal.

Berbeda dari serangan eksternal yang membutuhkan eksploitasi kerentanan atau pencurian kredensial, insider yang memiliki akses terhadap sistem perusahaan dapat langsung menjangkau informasi sensitif yang seharusnya dilindungi.

Dalam kasus ini, akses terhadap informasi payroll dan data perusahaan memberikan Curry bahan yang cukup untuk memberikan tekanan kepada mantan pemberi kerjanya.

Kasus tersebut juga memperlihatkan risiko yang muncul ketika hubungan kerja berakhir. Perusahaan perlu memastikan akses kontraktor dan karyawan yang kontraknya berakhir segera dicabut serta melakukan pemeriksaan terhadap aktivitas akun sebelum dan setelah proses offboarding.

Brightly pernah mengalami insiden data berbeda

Kasus pemerasan ini bukan satu-satunya insiden keamanan yang pernah dikaitkan dengan Brightly.

Pada Mei 2023, perusahaan mengungkapkan insiden kebocoran data yang tidak berkaitan dengan kasus Curry. Dalam insiden tersebut, penyerang mencuri kredensial dan informasi pribadi dari hampir 3 juta pelanggan dan pengguna database platform SchoolDude.

Data yang terdampak pada insiden tersebut antara lain nama, alamat email, password akun, dan nomor telepon.

Meskipun kedua insiden tersebut tidak saling berhubungan, kasus Curry kembali menyoroti pentingnya pengamanan data perusahaan, pembatasan hak akses, serta pengelolaan akses pengguna setelah hubungan kerja berakhir.

Sumber: [U.S. Department of Justice]