Serangan DDoS Skala Besar Ganggu Layanan Pesan Aman Threema

Layanan pesan instan aman Threema mengalami gangguan serius setelah menjadi target beberapa serangan distributed denial-of-service (DDoS) dalam skala besar pada pekan ini.

Serangan tersebut menyebabkan pengguna mengalami kesulitan mengirim dan menerima pesan, sementara sejumlah wilayah melaporkan layanan tidak dapat digunakan secara normal selama beberapa waktu.

Threema merupakan aplikasi messaging berbayar yang dikembangkan oleh perusahaan teknologi asal Swiss dengan fokus utama pada keamanan dan privasi. Layanan ini menggunakan end-to-end encryption dan menjalankan infrastrukturnya sendiri di sejumlah lokasi di Swiss.

Perusahaan juga menekankan prinsip privasi melalui layanan yang tidak menggunakan iklan, profiling, maupun analisis data tersembunyi.

Menariknya, organisasi yang menggunakan Threema On-Prem tidak terdampak oleh insiden ini karena layanan tersebut berjalan menggunakan infrastruktur milik masing-masing organisasi.

Gangguan Awalnya Diduga Masalah Jaringan

Gangguan pertama mulai dirasakan pengguna pada Selasa sekitar pukul 18.00 UTC. Sejumlah pengguna melaporkan layanan mengalami masalah koneksi dan pesan tidak langsung terkirim.

Pada sekitar satu jam kemudian, Threema menyampaikan bahwa berdasarkan informasi yang tersedia saat itu, gangguan kemungkinan berasal dari masalah jaringan pada sisi perusahaan colocation partner.

Beberapa jam setelah gangguan pertama muncul, Threema menyatakan bahwa layanan sedang dipulihkan setelah partner mereka melaporkan masalah jaringan telah diselesaikan.

Namun, masalah ternyata belum sepenuhnya berakhir.

Pada hari berikutnya, pengguna di Swiss, India, dan China masih melaporkan bahwa layanan mengalami gangguan meskipun halaman status Threema tidak menunjukkan adanya masalah.

Threema Kemudian Konfirmasi Serangan DDoS

Setelah melakukan investigasi lebih lanjut, Threema mengonfirmasi bahwa infrastrukturnya sedang menjadi target serangkaian serangan DDoS.

Perusahaan memperingatkan bahwa serangan tersebut dapat menyebabkan gangguan secara intermittent ketika tim keamanan berusaha melakukan mitigasi.

Menurut laporan post-mortem Threema, serangan membuat layanan menjadi tidak tersedia untuk sementara atau hanya dapat digunakan sebagian pada Selasa malam dan Rabu pagi.

Dalam kondisi normal, serangan DDoS seharusnya dapat diredam tanpa dampak signifikan karena sistem pertahanan dapat beradaptasi dengan pola traffic berbahaya.

Namun, serangan yang terjadi kali ini memiliki skala jauh lebih besar dan berlangsung dalam periode yang cukup panjang.

Penyerang Terus Mengubah Pola Serangan

Salah satu faktor yang membuat serangan sulit ditangani adalah perubahan taktik yang dilakukan threat actor secara terus-menerus.

Pelaku tidak menggunakan satu pola traffic secara konsisten. Ketika sistem mitigasi mulai beradaptasi terhadap pola tertentu, attacker mengubah karakteristik serangan sehingga mekanisme pertahanan harus kembali menyesuaikan diri.

Serangan tersebut juga tidak hanya menargetkan Threema, tetapi turut mengenai Nine, perusahaan colocation yang menyediakan infrastruktur untuk layanan tersebut.

Threema mengatakan belum dapat memastikan apakah perusahaan mereka memang menjadi target utama atau apakah serangan tersebut merupakan bagian dari serangan yang menargetkan beberapa organisasi sekaligus.

Target ganda tersebut membuat analisis terhadap sumber dan tujuan serangan menjadi semakin kompleks.

Halaman Status Threema Ikut Bermasalah

Di tengah serangan DDoS, Threema juga menghadapi masalah teknis lain yang tidak berkaitan langsung dengan serangan tersebut.

Masalah tersebut membuat perusahaan tidak dapat memperbarui halaman status sistem secara normal. Akibatnya, informasi mengenai kondisi layanan tidak selalu mencerminkan gangguan yang sedang dialami pengguna.

Threema kemudian memutuskan untuk menonaktifkan sementara halaman status tersebut hingga masalah teknis yang menghambat pembaruannya dapat diperbaiki.

Untuk pelanggan bisnis yang menggunakan Threema Work, perusahaan menyampaikan informasi mengenai kondisi layanan melalui email pada Rabu pagi. Account manager juga memberikan informasi tambahan kepada pelanggan yang menghubungi perusahaan untuk mengetahui perkembangan situasi.

Threema Tingkatkan Perlindungan DDoS

Serangan ini mendorong Threema menerapkan perlindungan DDoS khusus untuk menghadapi serangan serupa di masa mendatang.

Perusahaan menyatakan telah mengimplementasikan specialized DDoS protection sebagai bagian dari langkah penguatan infrastrukturnya.

Langkah tersebut penting karena serangan DDoS modern dapat menggunakan pola traffic yang berubah-ubah dan berlangsung dalam waktu lama untuk menguji kemampuan sistem mitigasi.

Bagi layanan komunikasi yang bergantung pada ketersediaan server secara terus-menerus, gangguan semacam ini dapat berdampak langsung terhadap kemampuan pengguna untuk berkomunikasi.

Threema On-Prem Tidak Terdampak

Salah satu hal yang menjadi perhatian dari insiden ini adalah perbedaan dampak antara layanan cloud Threema dan implementasi On-Prem.

Organisasi yang menggunakan Threema On-Prem tidak mengalami gangguan karena layanan mereka berjalan pada infrastruktur yang dikelola sendiri, bukan pada infrastruktur publik Threema yang menjadi target serangan.

Kondisi tersebut menunjukkan salah satu keuntungan model on-premise bagi organisasi yang membutuhkan kontrol lebih besar terhadap infrastruktur komunikasi mereka.

Namun, implementasi on-premise juga berarti organisasi harus bertanggung jawab terhadap keamanan, ketersediaan, dan perlindungan DDoS pada infrastrukturnya sendiri.

Serangan terhadap Threema memperlihatkan bahwa bahkan layanan komunikasi yang memiliki fokus kuat pada keamanan dan privasi tetap dapat menghadapi gangguan availability ketika menjadi sasaran DDoS berskala besar.

Threema belum mengungkap identitas pelaku maupun motif di balik serangan. Investigasi mengenai target utama serangan dan hubungan antara serangan terhadap Threema serta infrastruktur Nine juga masih berlangsung.