Pengajuan pengadilan baru telah mengungkapkan peretas Equifax menggunakan kerentanan perangkat lunak yang diketahui tetapi belum ditambal untuk menyusup ke sistem perusahaan.
Departemen Kehakiman AS menuduh empat perwira militer China melakukan serangan itu, yang melihat data pribadi lebih dari 147 juta pelanggan Equifax dicuri pada tahun 2017.
Sistem agen pelaporan kredit tetap dikompromikan selama dua bulan, di mana nama dan nomor jaminan sosial dari hampir separuh AS dicuri.
Penyerang yang diduga disponsori negara menghindari deteksi dengan melewatkan lalu lintas internet mereka melalui server di hampir 20 negara, mengekstraksi data dalam file terkompresi dan menghapus log komputer.
Retasan Equifax
Tidak seperti insiden lain semacam ini, peretas Equifax tidak meninggalkan sidik jari di sistem. Hal ini memungkinkan mereka untuk menghindari deteksi untuk waktu yang lama dan membuat identifikasi pelaku menjadi sangat sulit bagi penyelidik.
Alih-alih merutekan ulang ke domain yang terinfeksi untuk menyebarkan malware (terbuka di tab baru)para peretas secara langsung menghubungkan kode berbahaya ke server, memungkinkan mereka mengorek data dari jaringan dari jarak jauh.
Grup tersebut juga menggunakan serangkaian alat administrasi halal yang sempurna, termasuk saluran komunikasi terenkripsi, yang memungkinkan mereka berpose sebagai peserta jaringan biasa. Mereka juga menyapu data yang mungkin mengekspos mereka setiap hari.
FBI akhirnya mengungkap jaringan rumit dari pengalihan dan teknik penyelubungan untuk mengidentifikasi empat orang yang bertanggung jawab, meskipun pemerintah China menyangkal keterlibatannya.
Timo Steffens, sebelumnya dari Departemen Kehakiman, menggambarkan metode para peretas sebagai “versi modern untuk mengubah identitas Anda dan menumbuhkan janggut serta mewarnai rambut Anda.”
“Ada saat-saat ketika kami mengira kami memiliki keunggulan di luar China, jauh dari belahan bumi, dan itu perlu mengejar semua itu,” tambahnya.
Equifax mencapai kesepakatan dengan regulator AS pada bulan Juli, yang akan membayar hingga $700 juta (dan setidaknya $575 juta). Ini tetap menjadi hukuman terbesar yang pernah dikeluarkan untuk pelanggaran data.
Melalui CyberScoop (terbuka di tab baru)