Seorang pembaca anonim mengutip laporan dari Bloomberg: Pada awal tahun 2024, lembaga yang mengawasi keamanan siber di sebagian besar pemerintahan AS mengeluarkan perintah darurat yang jarang terjadi — segera putuskan sambungan perangkat lunak jaringan pribadi virtual Connect Secure Anda. Mata-mata Tiongkok telah meretas kode tersebut dan menyusup ke hampir dua lusin organisasi. Petunjuk ini berlaku untuk semua lembaga federal sipil, namun mengingat basis pelanggan produk tersebut, dampaknya lebih terasa secara luas. Perangkat lunak tersebut, yang dibuat oleh Ivanti Inc., merupakan standar industri di pemerintahan dan sebagian besar dunia usaha. Klien termasuk Angkatan Udara AS, Angkatan Darat, Angkatan Laut dan bagian lain dari Departemen Pertahanan, Departemen Luar Negeri, Administrasi Penerbangan Federal, Federal Reserve, Badan Penerbangan dan Antariksa Nasional, ribuan perusahaan dan lebih dari 2.000 bank termasuk Wells Fargo & Co. dan Deutsche Bank AG, menurut catatan pengadaan federal, dokumen internal, wawancara dan rekening mantan karyawan Ivanti yang meminta anonimitas karena mereka tidak berwenang untuk mengungkapkan informasi pelanggan. Segera setelah mengirimkan perintah mereka, yang menginstruksikan lembaga-lembaga untuk memasang perbaikan yang dikeluarkan Ivanti, staf di Badan Keamanan Siber dan Infrastruktur menemukan bahwa ancaman juga ada di dalam rumah mereka sendiri. Dua basis data CISA yang sensitif – satu berisi informasi tentang personel di fasilitas kimia, dan satu lagi menilai kerentanan operator infrastruktur penting – telah disusupi melalui perangkat lunak Connect Secure milik lembaga tersebut. CISA telah mengikuti semua panduannya sendiri. Perbaikan Ivanti gagal. Hal ini merupakan titik puncak bagi beberapa pejabat keamanan nasional Amerika, yang telah lama menyatakan keprihatinannya mengenai Connect Secure VPN. CISA kemudian menerbitkan surat kepada Biro Investigasi Federal dan badan keamanan siber nasional di Inggris, Kanada, Australia, dan Selandia Baru yang memperingatkan pelanggan akan “risiko signifikan” yang terkait dengan terus menggunakan perangkat lunak tersebut. Menurut Laura Galante, pejabat tinggi dunia maya di Kantor Direktur Intelijen Nasional, pemerintah sampai pada kesimpulan sederhana tentang teknologi tersebut. “Kamu seharusnya tidak menggunakannya,” katanya. “Tidak ada cara lain untuk menjelaskannya.” Serangan tersebut, bersama dengan beberapa serangan lainnya yang berhasil menargetkan perangkat lunak Ivanti, menggambarkan bagaimana dorongan ekuitas swasta ke pasar keamanan siber pada akhirnya mengorbankan kualitas dan keamanan beberapa produk VPN penting, demikian temuan Bloomberg. Tahun lalu, Bloomberg melaporkan bahwa Citrix Systems Inc., pembuat VPN terkemuka lainnya, mengalami beberapa peretasan besar setelah pemilik ekuitas swasta, Elliott Investment Management dan Vista Equity Partners, memecat sebagian besar tim keamanan produk perusahaan yang beranggotakan 70 orang setelah mereka mengakuisisi perusahaan tersebut pada tahun 2022. Beberapa pejabat pemerintah dan eksekutif sektor swasta kini mempertimbangkan kembali pendekatan mereka dalam mengevaluasi perangkat lunak keamanan siber. Selain menghapuskan VPN milik ekuitas swasta dari jaringan mereka, beberapa pihak juga memasukkan kepemilikan ekuitas swasta ke dalam penilaian risiko mereka terhadap teknologi-teknologi utama.
Baca lebih lanjut cerita ini di Slashdot.
