U-Haul mengatakan penyerang dapat mengkompromikan dua kata sandi individu dan mengakses alat kontrak pelanggan perusahaan, memperlihatkan nama pelanggan dan SIM atau nomor identifikasi negara.
Penyerang memiliki akses tidak sah dari 5 November 2021 hingga 5 April 2022, kata U-Haul. Setelah pelanggaran ditemukan, U-Haul mengubah kata sandi yang terpengaruh dan meluncurkan penyelidikan, perusahaan menjelaskan pada 9 September.
“Investigasi menentukan orang yang tidak berwenang mengakses alat pencarian kontrak pelanggan dan beberapa kontrak pelanggan,” menurut Pemberitahuan U-Haul tentang insiden keamanan siber. “Tidak ada sistem keuangan, pemrosesan pembayaran, atau email U-Haul kami yang terlibat; aksesnya terbatas pada alat pencarian kontrak pelanggan.”
Keamanan Kata Sandi U-Haul Digeser
Pakar seperti Sami Elhini, dengan Cerberus Sentinel, menyorot kurangnya keamanan kata sandi U-Haul.
“Pada akhirnya, ini adalah masalah manajemen identitas,” jelas Elhini dalam pernyataan email. “Menentukan Anda memiliki identitas yang diselesaikan berdasarkan otentikasi satu faktor yang berhasil tidak hanya sangat bodoh, tetapi juga berpotensi lalai secara perdata dan pidana.”
Lior Yaari, CEO Grip Security juga ragu dalam penilaiannya terhadap keamanan siber U-Haul.
"Kata sandi yang dikompromikan dalam serangan U-Haul ini jelas tidak diatur atau dilindungi dengan baik," kata Yaari dalam pernyataan email. “Mungkin ada kata sandi lain yang mungkin telah disusupi yang tidak disadari oleh U-Haul, dan ratusan perusahaan lain, dan tidak akan diketahui, sampai pelanggaran lain seperti ini terjadi.”
Meningkatkan Perlindungan Kata Sandi
Sementara pendekatan yang tepat mungkin sangat lintas sektor dan organisasi, Yaari mengatakan industri perlu berhenti mengulangi kesalahan yang sama dan mengandalkan karyawan sebagai pertahanan yang efektif terhadap serangan siber.
“Pengamanan tambahan yang diambil perusahaan untuk mencegah kompromi kata sandi kemungkinan besar akan gagal, dan jenis pelanggaran ini akan terulang lagi dan lagi,” tambah Yaari. “Daripada menambahkan lebih banyak Band-Aids, industri perlu mengambil pendekatan baru yang menghilangkan beban mengamankan kata sandi dari karyawan.”
