Ritel berisiko: Ancaman utama yang dihadapi pengecer pada musim liburan ini

Keamanan Bisnis

Meskipun mungkin sudah terlambat untuk melakukan perubahan besar-besaran pada kebijakan keamanan Anda, tidak ada salahnya untuk melihat kembali ancaman terbesar dan praktik terbaik mana yang dapat membantu menetralisirnya.

Phil Muncaster

28 November 2023  •  , 6 menit Baca

Musim belanja liburan telah dimulai dengan sungguh-sungguh. Sementara pengecer fokus pada perebutan perkiraan penjualan sebesar $1.5 triliun tahun ini (dan itu hanya terjadi di Amerika Serikat), kerja keras mereka mungkin akan sia-sia jika perhatian terhadap keamanan siber tidak cukup. 

Mengapa? Karena ini adalah saat terbaik dan saat terburuk bagi tim IT retail. Waktu tersibuk dalam setahun bagi pelanggan juga merupakan a magnet bagi penjahat dunia maya. Meskipun mungkin sudah terlambat pada tahap ini untuk melakukan perubahan besar-besaran pada kebijakan keamanan Anda, tidak ada salahnya untuk melihat kembali ancaman terbesar yang ada, dan praktik terbaik mana yang dapat membantu menetralisirnya.

Mengapa ritel, mengapa sekarang?

Pengecer telah lama menjadi sasaran perlakuan khusus oleh penjahat dunia maya. Dan periode belanja tersibuk tahun ini telah lama menjadi peluang emas untuk melakukan hal tersebut. Tapi kenapa?

• Pengecer menyimpan informasi pribadi dan keuangan pelanggan mereka yang dapat dimonetisasi. Pikirkan saja semua detail kartu itu. Tidak mengherankan jika semua (100%) pelanggaran data ritel dianalisis oleh Verizon selama setahun terakhir didorong oleh motif finansial.
• Musim belanja liburan adalah waktu paling penting dalam setahun bagi pengecer dari sudut pandang pendapatan. Namun hal ini berarti mereka lebih rentan terhadap ancaman siber seperti ransomware atau penolakan layanan terdistribusi (DDoS) yang dirancang untuk memeras uang dengan menolak layanan. Alternatifnya, pesaing mungkin meluncurkan serangan DDoS untuk menghalangi kustomisasi dan pendapatan penting pesaing mereka.
• Menjadi waktu tersibuk dalam setahun berarti para karyawan, terutama tim IT, lebih fokus untuk mendukung bisnis agar menghasilkan pendapatan sebanyak mungkin dibandingkan mewaspadai ancaman siber. Mereka bahkan mungkin mengubah filter penipuan internal untuk memungkinkan pembelian yang lebih besar disetujui tanpa pengawasan.
• Para peritel semakin mengandalkan sistem digital untuk membangun pengalaman perdagangan omni-channel, termasuk perangkat lunak bisnis berbasis cloud, perangkat IoT di dalam toko, dan aplikasi seluler yang berhubungan dengan pelanggan. Dengan melakukan hal ini, mereka (sering tanpa disadari) memperluas potensi serangan.

Jangan lupakan salah satunya pelanggaran data terbesar yang pernah tercatat di dunia berlangsung dan diumumkan selama musim liburan tahun 2013, ketika peretas mencuri 110 juta catatan pelanggan dari pengecer AS Target.

Apa saja ancaman siber terbesar terhadap pengecer di musim liburan ini?

Pengecer tidak hanya harus mempertahankan skala yang lebih besar permukaan serangan, mereka juga harus menghadapi semakin banyaknya variasi taktik, teknik, dan prosedur (TTP) yang dilakukan oleh sejumlah musuh. Tujuan para penyerang adalah untuk mencuri data pelanggan dan karyawan, memeras/mengganggu bisnis Anda melalui DDoS, melakukan penipuan, atau menggunakan bot untuk mendapatkan keunggulan kompetitif. Berikut adalah beberapa ancaman siber ritel utama:

• Pelanggaran data dapat berasal dari kredensial karyawan yang dicuri/diretas/phishing atau eksploitasi kerentanan, terutama dalam aplikasi web. Dampaknya adalah kerusakan finansial dan reputasi besar yang dapat menggagalkan rencana pertumbuhan dan pendapatan.
• Skimming digital (yaitu, serangan Magecart) terjadi ketika pelaku ancaman mengeksploitasi kerentanan untuk memasukkan kode skimming langsung pada halaman pembayaran Anda atau melalui pemasok/widget perangkat lunak pihak ketiga. Serangan semacam ini sering kali sulit dideteksi, sehingga dapat menyebabkan kerusakan reputasi yang tak terhitung jumlahnya. Hal ini menyumbang 18% dari pelanggaran data ritel tahun lalu, menurut Verizon.  
• ransomware adalah salah satu ancaman utama bagi pengecer, dan selama musim sibuk ini para pelaku ancaman mungkin akan meningkatkan serangan mereka dengan harapan lebih banyak bisnis bersedia membayar untuk mendapatkan kembali data mereka dan mendekripsinya. UKM khususnya berada di garis bidik, karena kontrol keamanan mereka mungkin kurang efektif.
• DDoS masih merupakan cara yang populer untuk memeras dan/atau mengganggu pengecer. Tahun lalu, sektor ini berada di pihak penerima dari hampir seperlima (17%) serangan ini – peningkatan sebesar 53% dari tahun ke tahun (YoY), dengan puncaknya terlihat pada Black Friday.
• Serangan rantai pasokan mungkin ditargetkan pada pemasok digital seperti perusahaan perangkat lunak atau bahkan repositori sumber terbuka. Atau mereka mungkin ditujukan untuk bisnis yang lebih tradisional di bidang profesional atau bahkan layanan kebersihan. Pelanggaran Target dimungkinkan ketika peretas mencuri kredensial jaringan dari pemasok HVAC.
• Pengambilalihan akun (ATO) biasanya diaktifkan oleh kredensial dicuri, di-phishing, atau diretas. Ini bisa menjadi awal dari upaya pembobolan data besar-besaran, atau bisa juga ditujukan kepada pelanggan, dalam penjejalan kredensial, atau kampanye kekerasan lainnya. Biasanya, bot jahat digunakan di sini.
• Serangan bot buruk lainnya termasuk scalping (di mana pesaing membeli barang sesuai permintaan untuk dijual kembali dengan harga lebih tinggi), penipuan pembayaran/kartu hadiah, dan price scraping (memungkinkan pesaing menurunkan harga Anda). Bot berbahaya terdiri dari sekitar 30% dari semua lalu lintas internet saat ini, dengan dua pertiga situs web di Inggris tidak dapat memblokir bahkan serangan sederhana. Di sana diperkirakan meningkat sebesar 50%. dalam lalu lintas bot yang buruk di musim liburan 2022.
• Lebah (Antarmuka Pemrograman Aplikasi) merupakan inti dari transformasi digital ritel, yang memungkinkan pengalaman pelanggan yang lebih terhubung dan lancar. Namun kerentanan dan kesalahan konfigurasi juga dapat memberikan dampak buruk rute mudah bagi peretas ke data pelanggan.

Bagaimana pengecer dapat mempertahankan diri terhadap risiko dunia maya

Sebagai tanggapannya, pengecer perlu menyeimbangkan keamanan dengan produktivitas karyawan dan pertumbuhan bisnis. Hal ini tidak selalu merupakan perhitungan yang mudah, terutama mengingat tingginya biaya hidup yang memberikan tekanan yang semakin besar pada pencarian keuntungan. Tapi itu bisa dilakukan. Berikut 10 praktik terbaik yang perlu dipertimbangkan:

• Pelatihan staf reguler: Ini tidak perlu dikatakan lagi. Pastikan Anda karyawan dapat mendeteksi serangan phishing yang canggih sekalipun dan Anda akan memiliki garis pertahanan terakhir yang berguna.
• Audit data: Pahami apa yang Anda miliki, di mana disimpan, di mana mengalir, dan bagaimana perlindungannya. Bagaimanapun, hal ini harus dilakukan sebagai bagian dari kepatuhan GDPR.
• Enkripsi data yang kuat: Setelah Anda menemukan dan mengklasifikasikan data Anda, terapkan enkripsi yang kuat pada informasi yang paling sensitif. Hal ini harus dilakukan secara terus menerus.
• Manajemen patch berbasis risiko: Pentingnya patching perangkat lunak tidak dapat disepelekan. Namun banyaknya kerentanan baru yang dipublikasikan setiap tahun bisa sangat banyak. Sistem berbasis risiko otomatis akan membantu menyederhanakan proses dan memprioritaskan sistem dan kerentanan yang paling penting.
• Keamanan pelindung berlapis: Pertimbangkan anti-malware dan kemampuan lainnya di server, titik akhir, jaringan email, dan lapisan cloud, sebagai penghalang pencegahan terhadap ancaman siber.
• XDR: Untuk ancaman yang berhasil menghindari pengendalian pencegahan, pastikan terdapat perluasan deteksi dan respons (XDR) yang kuat yang bekerja di berbagai lapisan, termasuk untuk mendukung perburuan ancaman dan respons insiden.
  
• Keamanan rantai pasokan: Audit semua pemasok, termasuk mitra digital dan vendor perangkat lunak, untuk memastikan postur keamanan mereka sejalan dengan selera risiko Anda.
• Kontrol akses yang kuat: Pengelola kata sandi untuk kata sandi yang kuat dan unik serta autentikasi multifaktor adalah suatu keharusan bagi semua akun sensitif. Bersamaan dengan XDR, enkripsi, segregasi jaringan, dan kontrol pencegahan, semuanya menjadi dasar a Pendekatan keamanan Zero Trust.
• Pemulihan bencana/perencanaan kesinambungan bisnis: Meninjau rencana akan membantu memastikan proses bisnis dan peralatan teknologi yang tepat telah diterapkan.
• Perencanaan respons insiden: Pastikan rencana Anda kedap air dan diuji secara berkala, sehingga setiap pemangku kepentingan mengetahui apa yang harus dilakukan dalam skenario terburuk dan tidak ada waktu yang terbuang dalam merespons dan mengatasi ancaman.

Bagi sebagian besar, atau bahkan semua pengecer, kepatuhan PCI DSS juga akan menjadi persyaratan penting bagi bisnis. Anggaplah ini sebagai peluang, bukan beban. Persyaratan terperincinya akan membantu Anda membangun postur keamanan yang lebih matang, dan meminimalkan paparan risiko. Teknologi seperti enkripsi yang kuat juga dapat membantu mengurangi biaya dan beban administratif kepatuhan. Selamat berlibur.