Ransom Disetujui: 5 Perusahaan Publik yang Membayar Penyerang Siber

Semakin banyak organisasi yang mengalami serangan ransomware. Menurut Sophos, 59% organisasi mengalami satu pada tahun 2024 dan mayoritasnya (70%) mengakibatkan enkripsi data.

Bukan hanya jumlah serangan ransomware, tetapi jumlah pembayaran juga meningkat. Pembayaran ransomware median kurang dari $200 ribu pada 2023, yang melonjak 650% menjadi $1.5 million dalam sekitar satu tahun, menurut data IBM.

Serangan ini diproyeksikan akan menimbulkan biaya $275 billion dalam kerusakan global setiap tahun pada 2031. Jadi, apa itu serangan ransomware?

Ransomware adalah jenis malware, perangkat lunak berbahaya yang dirancang untuk memblokir akses organisasi ke sistemnya atau mengenkripsi data mereka. 

Untuk melakukannya, penyerang menginfeksi sistem dengan virus, yang mereka gunakan untuk mengirim email phishing yang mungkin berisi tautan berbahaya atau mencuri kredensial login karyawan untuk mendapatkan akses tidak sah ke jaringan perusahaan. 

Sebagai imbalan atas kunci dekripsi atau pemulihan akses ke sistem, penjahat siber menuntut uang tebusan dari korban. Organisasi berada dalam situasi sulit di mana membayar tebusan tampak sebagai cara paling sederhana dan hemat biaya untuk mendapatkan kembali akses mereka. 

Beberapa varian ransomware telah menambahkan fungsionalitas seperti pencurian data, yang memberikan insentif tambahan untuk membayar tebusan. Namun dalam beberapa kasus profil tinggi, membayar tebusan sebenarnya bisa menjadi opsi paling tidak merusak, meskipun ada risikonya.

Perusahaan yang Membayar Tebusan untuk Melindungi Pelanggan Mereka

Meskipun menyetujui tuntutan penyerang dan membayar tebusan bukanlah cara ideal untuk menangani kejahatan siber, karena tidak hanya tidak menjamin pengembalian data yang dicuri atau pemulihan operasi entitas, tetapi juga mendorong serangan siber lebih lanjut, terkadang tidak ada pilihan lain untuk melindungi bisnis dan pelanggan.

Dengan itu, mari kita lihat beberapa kasus kejahatan siber paling profil tinggi di mana perusahaan membayar tebusan dan semua yang terjadi setelahnya.

1. CNA Financial Corp

Salah satu perusahaan asuransi terbesar di AS, CNA Financial Corp., menjadi korban serangan ransomware pada Maret 2021. Mereka membayar tebusan sebesar $40 juta dalam Bitcoin (BTC), pembayaran ransomware terbesar yang pernah diungkap, untuk mendapatkan kembali kontrol setelah terkunci dari sistem mereka selama dua minggu.

Serangan tersebut datang dari kelompok penjahat siber bernama Phoenix, yang awalnya menuntut tebusan sebesar 999 BTC (sekitar $55 juta pada saat itu) sebelum menaikkannya menjadi 1099 BTC, dengan pernyataan:

“Membuang waktu. Biayanya naik.”

Penyerang mengklaim bahwa data yang mereka miliki penting dan bahwa “Akan berdampak keras jika bocor.” Tebusan diminta sebagai imbalan untuk tidak mengungkapkan pencurian secara publik, mengembalikan data, menghapus salinan data yang dicuri, dan memulihkan semuanya.

Tapi bagaimana tepatnya pelanggaran terjadi? Sebenarnya, itu disebabkan oleh kelalaian kecil dalam keamanan yang menyebabkan insiden besar tersebut. Penyerang berhasil meyakinkan satu karyawan CNA untuk menerima pembaruan peramban palsu. Mereka kemudian dengan cepat menonaktifkan sistem, dan serangan tidak dapat terdeteksi segera.

Sebenarnya CNA membutuhkan beberapa minggu untuk menyadari bahwa mereka telah diretas. Selama waktu itu, penyerang mencuri data pelanggan dan mengunci CNA dari jaringan mereka.

Perusahaan juga tidak memberikan pembaruan, sampai satu minggu setelah serangan terjadi. Kemudian mereka mempublikasikan pembaruan yang menjelaskan bahwa serangan telah terkendali dan mereka sedang bekerja untuk melanjutkan operasi bisnis normal. Dua minggu kemudian, diumumkan bahwa alat deteksi dan pemantauan endpoint telah diterapkan sebagai bagian dari proses pemulihan.

Dua bulan setelah serangan, CNA merilis laporan insiden, di mana mereka mencatat bahwa itu bukan serangan yang ditargetkan. Dan setelah mendeteksi ransomware, perusahaan memutuskan sistem mereka dari jaringan untuk menghentikan penyebaran ancaman.

Beberapa bulan setelah itu, perusahaan asuransi mengumumkan bahwa penyelidikan mereka telah selesai, yang mengungkapkan bahwa pelaku ancaman menyalin informasi sebelum menyebarkan ransomware, tetapi mereka segera memulihkan informasi tersebut dan “tidak ada alasan untuk mencurigai informasi tersebut telah atau akan disalahgunakan.”

Perusahaan induk asuransi berbasis di Chicago juga berkonsultasi dengan pemerintah, termasuk FBI dan Office of Foreign Assets Control (OFAC), mengenai serangan tersebut. Dalam pernyataan, mereka mengatakan, “CNA mengikuti semua hukum, regulasi, dan panduan yang dipublikasikan, termasuk panduan ransomware OFAC 2020, dalam penanganan masalah ini,” namun tidak mengomentari tebusan.

Menurut panduan ini, agensi dapat memberlakukan sanksi sipil pada orang AS yang melakukan pembayaran kepada entitas terlarang.

Penyelidikan perusahaan mengungkapkan bahwa kelompok ancaman bernama Phoenix menggunakan ransomware Phoenix Cryptolocker untuk menyerang jaringan mereka. Pada saat itu, kelompok tersebut tidak dikenai sanksi AS.

CNA adalah perusahaan dengan kapitalisasi pasar $13 miliar, yang sahamnya, pada saat penulisan, diperdagangkan pada $48,16, turun 0,43% tahun-ke-tahun (YTD) tetapi naik 32,27% dalam dua tahun terakhir. Dengan itu, laba per saham (EPS) selama dua belas bulan terakhir (TTM) adalah 3,28, P/E (TTM) adalah 14,67, dan ROE (TTM) adalah 8,98%. Pemegang saham CNA juga menikmati hasil dividen yang layak sebesar 3,82%.

Laporan keuangan kuartal terbarunya menunjukkan laba bersih $274 juta dan pendapatan inti $281 juta.

2. Caesars Entertainment

Perusahaan kasino-hiburan tersebut membayar $15 juta sebagai tebusan kepada kelompok kejahatan siber bernama Scattered Spider, aktor ancaman yang sama yang menjatuhkan sistem komputer MGM hanya beberapa hari setelah menerima pembayaran tebusan dari Caesars Entertainment (CZR ). Penyerang juga menuntut tebusan dari MGM, tetapi mereka tidak membayar.

Dalam kasus Caesars, sebagaimana dilaporkan dalam pengajuan kepada Securities and Exchange Commission (SEC) AS, penyerang menuntut tebusan $30 juta, tetapi perusahaan setuju membayar hanya setengahnya, yang sebagian ditutupi oleh polis asuransi siber perusahaan. Perusahaan tidak mengantisipasi bahwa pembayaran atau dampaknya akan berpengaruh material pada laba bersih mereka.

Serangan terjadi pada pertengahan Agustus 2023 dan dilakukan oleh Scattered Spider, juga dikenal sebagai UNC3944 atau Roasted 0ktapus. Kelompok ini, yang terdiri dari peretas muda yang berbasis di AS dan Inggris, terampil dalam rekayasa sosial, telah terhubung dengan serangan pada perusahaan lain, termasuk Cloudflare, Twilio, dan Okta.

Untuk menargetkan Caesars, peretas pertama-tama membobol vendor TI eksternal. Untuk itu, penyerang menyamar sebagai karyawan Caesars dan meyakinkan vendor untuk memberikan kredensial login ke Okta, penyedia manajemen akses Caesars.

Ini memberi penjahat siber akses tidak sah ke jaringan raksasa hotel dan kasino tersebut. Mereka kemudian mencuri data anggota loyalitas Caesars, yang mencakup SIM dan nomor jaminan sosial, sebelum menyebarkan ransomware BlackCat/ALPHV. Tidak ada bukti bahwa penyerang mengakses PIN, kata sandi, rekening bank, atau data kartu pembayaran, kata perusahaan.

Reuters melaporkan bahwa kelompok peretasan Scattered Spider menyatakan bahwa mereka mengambil enam terabyte data dari sistem Caesars dan MGM.

“Kami telah mengambil langkah untuk memastikan bahwa data yang dicuri dihapus oleh pelaku yang tidak berwenang, meskipun kami tidak dapat menjamin hasil ini.”

– Caesars mengatakan dalam pengajuan

Meskipun perusahaan tidak mengungkapkan berapa banyak pelanggan yang terdampak, pengajuan mencantumkan kurang dari 42.000 orang yang terpengaruh. Pada saat itu, Bloomberg melaporkan bahwa Caesars membayar tebusan setelah kelompok ancaman meretas mereka dan mengancam akan merilis data perusahaan.

Pada akhir September, perusahaan telah memulihkan operasi normal. Namun, setelahnya, Caesars menghadapi kerusakan finansial dan reputasi serta beberapa gugatan class action yang menuduh perusahaan melakukan kelalaian dan memperoleh keuntungan tidak adil karena gagal mengamankan data pribadi tamu mereka.

Dengan kapitalisasi pasar sedikit lebih dari $6 miliar, saham CZR saat ini diperdagangkan pada $29,41, turun 12% tahun ini sejauh ini. Harga sahamnya juga jauh dari puncak 2021 sekitar $119. EPS (TTM) nya adalah -1,10, dan P/E (TTM) adalah -26,80.

Mengenai keuangan perusahaan, pendapatan bersih GAAP untuk Q1 2025 mencapai $2,8 miliar dan Adjusted EBITDA tumbuh 4% YoY menjadi $43 juta “didorong oleh peningkatan signifikan” di segmen Digitalnya.

3. Blackbaud Inc.

Pada tahun 2020, penjahat siber menyusup ke server Blackbaud, perusahaan yang menyediakan perangkat lunak untuk organisasi nirlaba dan fasilitas pendidikan, mengkompromikan data lebih dari 13.000 organisasi. Perusahaan berbasis South Carolina tersebut membayar tebusan sebesar $235.000 dalam BTC kepada peretas dengan janji menghapus data pribadi pelanggan.

Serangan siber terjadi pada Februari tahun itu, tetapi tidak ditemukan sampai beberapa bulan kemudian pada Mei. Pada saat itu, organisasi yang terdampak sudah menghadapi gangguan yang disebabkan oleh pandemi COVID-19.

Penjahat siber menargetkan server Blackbaud untuk mendapatkan akses ke sistem perusahaan. Karena Blackbaud tidak menyadari pelanggaran, penyerang dapat beroperasi tanpa terdeteksi selama berbulan-bulan, di mana mereka mengenkripsi kumpulan data dan mengekstrak sebagian di antaranya.

Ketika penyedia layanan manajemen hubungan pelanggan (CRM) akhirnya menemukan bahwa mereka telah diretas, yang terjadi saat Blackbaud melakukan pemeriksaan keamanan rutin, mereka menerapkan langkah-langkah untuk mencegah kerusakan lebih lanjut.

Pada bulan Juli, perusahaan membuat pengungkapan publik tentang mengalami serangan ransomware. Blackbaud mengumumkan bahwa organisasi pendidikan dan sektor ketiga mungkin data mereka telah dikompromikan, yang tentu saja menimbulkan kejutannya di komunitas yang terdampak dan menimbulkan kekhawatiran tentang keamanan informasi donor sensitif.

Perusahaan mencegah para penjahat untuk sepenuhnya mengenkripsi file dan memblokir akses sistem, tetapi mereka sudah menghapus file cadangan yang berisi informasi pribadi.

Blackbaud memastikan bahwa detail rekening bank atau kartu pembayaran tidak terpengaruh, tetapi banyak informasi, seperti nama, alamat, informasi kontak, nomor Jaminan Sosial, dan perkiraan kekayaan, di antara lainnya, memang terlibat dalam pelanggaran data.

Perusahaan juga mengakui membayar tebusan untuk mengambil kembali data dan melindungi kepentingan kliennya.

Setelah serangan, Federal Trade Commission (FTC) memulai penyelidikan dan percaya bahwa hal itu disebabkan oleh “praktik keamanan dan penyimpanan data yang buruk dari Blackbaud.”

Menurut keluhan FTC, perusahaan gagal menerapkan praktik keamanan paling dasar, tidak mengikuti kebijakan Blackbaud sendiri mengenai retensi data, dan memungkinkan pelanggan menyimpan data penting seperti rekening bank di bidang yang tidak terenkripsi. Agensi juga mengklaim bahwa Blackbaud secara signifikan menyajikan informasi yang menyesatkan tentang cakupan dan tingkat keparahan insiden.

Pada tahun 2024, FTC dan Blackbaud mencapai penyelesaian, yang tidak melibatkan denda finansial tetapi mengharuskan perusahaan menghapus data yang tidak lagi diperlukan, mengembangkan program keamanan informasi komprehensif, dan memberi tahu FTC jika terjadi pelanggaran data di masa depan.

Namun, penyelesaian Blackbaud dengan SEC melibatkan denda $3 juta karena memberikan informasi menyesatkan tentang pelanggaran. Perusahaan juga menyelesaikan $49.5 million dengan 50 jaksa agung negara bagian terkait pelanggaran HIPAA.

Mengenai kinerja pasar Blackbaud, sahamnya saat ini diperdagangkan pada $63,76, turun 13,74% YTD, yang menempatkan kapitalisasi pasar sebesar $3 miliar. Dengan itu, EPS (TTM) nya adalah -5,83 dan P/E (TTM) adalah -10,94.

Pada Q1 2025, perusahaan mencapai pertumbuhan pendapatan organik 5,8%, mencatat $271 juta dalam pendapatan. Blackbaud juga sibuk berinvestasi dalam inovasi, khususnya AI, untuk meningkatkan produktivitas internal dan operasi pelanggan.

4. UnitedHealth Group

Raksasa asuransi kesehatan, UnitedHealth Group Incorporated (UNH ), telah mengalami masa sulit selama satu setengah tahun terakhir. Semua dimulai pada Februari 2024 ketika anak perusahaannya, Change Healthcare, mengalami serangan siber.

UnitedHealth Group beroperasi melalui dua segmen: UnitedHealthcare, yang fokus pada asuransi kesehatan, dan Optum, yang menyediakan layanan teknologi, layanan kesehatan langsung, dan layanan perawatan farmasi melalui Optum Insight, Optum Health, dan Optum Rx.

Pada 2022, UnitedHealth Group mengakuisisi platform Change Healthcare dan mengintegrasikannya ke dalam Optum Insight. Perusahaan memproses hingga 15 miliar klaim medis per tahun, sekitar 40% dari semua klaim, jadi Anda dapat membayangkan gangguan yang dapat ditimbulkan serangan pada Change Healthcare.

Pada Februari, ransomware menginfeksi sistem Change Healthcare, membuatnya tidak dapat diakses dan menimbulkan kekacauan pada sistem perawatan kesehatan AS. Baru beberapa bulan kemudian, pada November, perusahaan dapat melanjutkan operasi penuh.

Mengenai apa yang terjadi, CEO saat itu, Andrew Witty, memberi tahu Kongres bahwa serangan pertama kali dimulai pada 12 Feb. Penyerang menggunakan kredensial yang dikompromikan untuk mengakses portal Citrix Change Healthcare, yang digunakan untuk koneksi desktop jarak jauh dan tidak memiliki 2FA. Kesalahan kecil yang akan menelan miliaran bagi UNH.

Dari situ, penyerang mulai mengumpulkan data dan kemudian, beberapa hari kemudian, menyebarkan ransomware, memulai enkripsi sistem perusahaan. Sebagai respons, UnitedHealth memutuskan pusat data Change Healthcare dari jaringan untuk mencegah serangan ransomware menyebar ke sistem lain dan entitas eksternal.

Mengenai penyerang, geng kejahatan siber BlackCat/ALPHV mengambil tanggung jawab, mengklaim telah mengekstrak 6TB data rahasia. Data yang dicuri termasuk rekam medis, informasi pribadi, dan dokumen keuangan. UnitedHealth Group secara publik mengonfirmasi bahwa sekitar 190.000.000 individu terdampak oleh pelanggaran ini.

Pada Maret 2024, perusahaan membayar tebusan $22 juta, tetapi grup ransomware BlackCat dilaporkan tidak membayar afiliasi yang melakukan serangan, yang kemudian bekerja sama dengan grup ransomware lain, RansomHub, yang mencoba memeras lebih banyak uang dari UnitedHealth. Belum diketahui apakah UnitedHealth juga membayar untuk kali kedua.

Insiden tersebut, sebagaimana dilaporkan UnitedHealth Group pada Januari 2025, menghasilkan kerugian tahunan total sebesar $3,09 miliar.

Sementara perusahaan terus menangani dampak dari serangan siber terbesar dalam sejarah perawatan kesehatan, saham perusahaan tidak terlalu terasa dampaknya karena saham UNH mencapai rekor tertinggi $625 per saham pada November 2024 dan kapitalisasi pasar $575 miliar.

Namun kini, enam bulan kemudian, semuanya runtuh. Harga saham UnitedHealth, yang memiliki kapitalisasi pasar $292 miliar, telah turun 36,43% YTD. Saat ini diperdagangkan pada $321,58, penurunan 49% dari ATH-nya.

Selain dampak lebih besar dari yang diperkirakan akibat serangan siber, perusahaan juga menghadapi kehilangan kepemimpinan, dengan CEO UnitedHealthcare Brian Thompson terbunuh pada hari investor di New York City, perusahaan melewatkan laba, dan Departemen Kehakiman mengejar penyelidikan kriminal terhadap praktik Medicare Advantage UHG.

Untuk melihat profitabilitas dan efisiensi perusahaan, EPS (TTM) nya adalah 23,89, P/E (TTM) 13,46, dan ROE (TTM) 24,33%, sementara hasil dividen yang dibayarkan adalah 2,61%. Untuk Q1 2025, pendapatannya tumbuh menjadi $109,6 miliar, dan arus kas dari operasi sebesar $5,5 miliar.

5. AT&T

Penyedia layanan telekomunikasi dan teknologi global terkemuka mengalami dua pelanggaran data besar pada tahun 2024.

Yang pertama terjadi pada Maret, yang memengaruhi antara 50 hingga 70 juta pelanggan saat ini dan mantan pelanggan. Laporan tentang data perusahaan yang beredar di dark web pertama kali muncul pertengahan Maret dan kemudian AT&T (T ) memerlukan beberapa minggu untuk mengonfirmasi bahwa informasi tersebut memang milik pelanggannya.

Di antara informasi yang dikompromikan adalah nama lengkap pelanggan, tanggal lahir, email, nomor telepon, alamat surat-menyurat, nomor jaminan sosial, serta nomor akun dan kode sandi AT&T. Perusahaan menyampaikan hal berikut kepada individu yang terdampak:

“Sejauh pengetahuan kami, informasi keuangan pribadi dan riwayat panggilan tidak termasuk.” 

Data tersebut diyakini telah beredar secara online selama beberapa tahun, tetapi asalnya tidak diketahui, dan AT&T membantah bahwa data itu berasal dari sistem mereka sendiri.

Kemudian, pada April, mereka menjadi korban pelanggaran yang mengkompromikan hampir semua pelanggan jaringan telepon tetap, seluler, dan nirkabel mereka. Beberapa bulan kemudian, pada Juli, AT&T secara publik mengungkapkan pelanggaran tersebut.

Pelanggaran ini terkait dengan peretas Amerika, anggota grup ShinyHunters, yang menuntut tebusan $1 juta tetapi setuju dengan jumlah jauh lebih kecil. Perusahaan membayar tebusan $370.000 dalam Bitcoin pada bulan Mei untuk mencegah data bocor. Penyerang memberikan perusahaan video yang menunjukkan bukti penghapusan data.

Dalam serangan ini, catatan interaksi panggilan dan pesan teks pelanggan pada 2 Januari 2023, serta antara 1 Mei 2022 hingga 31 Oktober 2022, diekstrak. Kali ini, data berasal dari ‘workspace’ perusahaan pada platform cloud pihak ketiga.

Meskipun kontennya tidak terpengaruh, catatan yang dikompromikan dapat mengidentifikasi nomor telepon lain yang berinteraksi dengan pelanggan yang terdampak, jelas perusahaan. AT&T memberi tahu sekitar 110 juta pelanggan tentang insiden tersebut.

Pada saat penulisan ini, saham perusahaan dengan kapitalisasi pasar $200 miliar diperdagangkan pada $27,78, naik 22% YTD. EPS (TTM) nya adalah 1,63, P/E (TTM) 17,04, dan ROE (TTM) 11,28%. Hasil dividen yang ditawarkan menarik sebesar 4%.

Secara finansial, pendapatannya pada Q1 2025 adalah $30,6 miliar, laba bersih $4,7 miliar, dan arus kas bebas $3,1 miliar.

Jadi, seperti yang kita lihat, serangan ransomware menyerang perusahaan di berbagai sektor. Dan meskipun membayar tebusan dapat membantu melindungi perusahaan dan pelanggannya, itu tidak selalu terjadi. Hal itu sebenarnya berisiko memberi insentif pada perilaku kriminal. Belum lagi kerusakan yang ditimbulkan secara finansial dan reputasi bagi perusahaan.

Apa yang perlu dilakukan perusahaan adalah mengambil langkah keamanan proaktif untuk mencegah terjadinya pelanggaran sejak awal. Ini termasuk melakukan penilaian keamanan secara rutin, terus memantau potensi ancaman, memperbarui sistem, memiliki cadangan data dan melindungi file tersebut, menerapkan enkripsi data yang kuat, memberikan pelatihan yang tepat kepada karyawan, dan menjaga kesiapan respons insiden yang efektif.

Pada akhirnya, pertahanan sejati terhadap ransomware bukanlah negosiasi melainkan persiapan, jadi lebih baik berinvestasi dalam ketahanan keamanan siber hari ini!

Klik di sini untuk daftar saham keamanan siber teratas.