Pelanggaran data besar-besaran memengaruhi dana pensiun publik terbesar di Amerika Serikat

Informasi pribadi sekitar 769.000 pensiunan anggota CalPERS diungkapkan pelanggaran data pihak ketiga yang dilaporkan awal bulan ini. CalSTRS mengatakan 415.000 anggota dan penerima manfaat terkena dampak pelanggaran tersebut.

CalPERS, Sistem Pensiun Pegawai Publik California, adalah dana pensiun publik terbesar di negara ini. Ini melayani lebih dari 2 juta anggota dalam skema pensiunnya dan lebih dari 1,5 juta dalam program kesehatannya.

CalSTRS, Sistem Pensiun Guru Negara Bagian California, adalah dana pensiun publik terbesar kedua di Amerika Serikat dan sistem pensiun guru terbesar. Ini melayani lebih dari 947.000 anggota.

CalPERS pertama kali mengatakan dalam sebuah pernyataan Rabu bahwa vendor pihak ketiganya, PBI Research Services, memberi tahu agensi tersebut pada 6 Juni tentang kerentanan di aplikasi Transfer MOVEit yang telah diperbaiki.

CalPERS PBI membantu mengidentifikasi kematian anggota dan memastikan bahwa pembayaran yang benar diberikan kepada pensiunan dan penerima manfaat mereka.

CalPERS mengatakan kerentanan aplikasi memungkinkan data seperti nama depan dan belakang, tanggal lahir, dan nomor Jaminan Sosial diunduh oleh pihak ketiga yang tidak sah. Dimungkinkan juga untuk mengakses nama-nama anggota keluarga individu.

CalPERS mengatakan pelanggaran itu tidak memengaruhi sistem informasinya, myCalPERS, atau anggota aktifnya. Ini juga tidak mempengaruhi pembayaran bunga bulanan anggota.

Namun selain pensiunan anggota dan keluarga mereka, pelanggaran tersebut juga dapat memengaruhi anggota yang tidak aktif yang dengan cepat memenuhi syarat untuk mendapatkan tunjangan, kata Calpers.

PBI mengatakan dalam sebuah pernyataan bahwa mereka mengidentifikasi kerentanan “pada akhir Mei” dan “dieksploitasi secara aktif oleh penjahat dunia maya.”

“PBI segera menambal MOVEit miliknya, membentuk tim profesional keamanan siber dan privasi, memberi tahu penegak hukum federal dan menghubungi pelanggan yang berpotensi terkena dampaknya,” kata PBI. “Penjahat dunia maya tidak memiliki akses ke sistem PBI lain – hanya portal administratif MOVEit yang rentan yang diakses. PBI bekerja langsung dengan pelanggan yang terpengaruh untuk mengidentifikasi konsumen yang terpengaruh dan mengembangkan rencana pemberitahuan.”

Calpers mengatakan ribuan organisasi lain juga terkena dampak pelanggaran tersebut.

Menurut Associated Press, Departemen Energi AS dan lembaga federal lainnya berada dalam risiko, bersama dengan lebih dari 9 juta pengemudi di Oregon dan Louisiana, Universitas Johns Hopkins, firma akuntansi Ernst & Young, BBC dan British Airways.

CalPERS mengatakan pada hari Kamis akan mulai mengirim surat kepada anggota yang terkena dampak tentang pelanggaran tersebut dan akan menawarkan kepada mereka pemantauan kredit Experian gratis selama dua tahun.

Belum jelas apakah CalPERS telah menerima laporan penipuan sehubungan dengan pelanggaran tersebut. KCRA3 juga menanyakan mengapa agensi menunggu hingga minggu ini untuk mengumumkan pelanggaran tersebut.

Kami seharusnya tahu. Kami seharusnya bisa memeriksa rekening kami,” kata Randy Chick, direktur legislatif Asosiasi Pegawai Pensiunan Publik California. .

Associated Press melaporkan bahwa geng kriminal Cl0p, yang diyakini bertanggung jawab atas peretasan tersebut, memeras para korban.

Anggota CalPERS dapat mengirim email pertanyaan tentang pelanggaran tersebut ke [email protected] atau menelepon 833-919-4735 Senin sampai Jumat dari pukul 06.00 hingga 20.00 atau Sabtu dan Minggu dari pukul 08.00 hingga 17.00.

CalPERS mengatakan bahwa sebagai tanggapan atas pelanggaran tersebut, mereka membuat protokol baru untuk myCalPERS dan perlindungan bagi mereka yang menggunakan call center atau yang mengunjungi kantor regional.

“Pelanggaran informasi eksternal ini tidak dapat dimaafkan,” kata CEO CalPERS Marcy Frost dalam sebuah pernyataan. “Anggota kami pantas mendapatkan yang lebih baik. Segera setelah kami menyadari apa yang telah terjadi, kami mengambil tindakan cepat untuk melindungi kepentingan keuangan anggota kami, serta langkah-langkah untuk memastikan perlindungan jangka panjang.”

Pada hari Kamis, CalSTRS mengonfirmasi bahwa mereka juga terpengaruh ketika ditanya oleh KCRA 3. Sistem tersebut mengatakan telah diberitahu pada tanggal 4 Juni bahwa sistem PBI telah dieksploitasi. Pada 8 Juni, diberitahukan bahwa pembobolan itu berisi informasi pribadi beberapa anggotanya.

“Insiden ini tidak melibatkan akses tidak sah ke jaringan CalSTRS,” kata CalSTRS. “CalSTRS bekerja sama dengan PBI untuk mengidentifikasi anggota CalSTRS yang informasinya terlibat dalam insiden PBI. CalSTRS akan memberikan pemberitahuan kepada anggota dan penerima manfaat yang informasi pribadinya terlibat sesuai dengan hukum yang berlaku.”

CalSTRS, dalam email Jumat, mengatakan nama, nomor Jaminan Sosial, tanggal lahir dan kode pos dari 415.000 anggota dan penerima manfaat mereka telah dibebaskan karena pelanggaran tersebut. Sebuah surat telah dikirim kepada mereka yang terkena dampak yang menguraikan sumber daya yang tersedia untuk membantu melindungi informasi pribadi.

“CalSTRS sedang mengevaluasi hubungan dengan Layanan Riset PBI dan langkah-langkah keamanan yang diterapkan,” kata agensi tersebut. “PBI telah memberi tahu CalSTRS bahwa mereka telah menerapkan tambalan yang direkomendasikan ke sistem transfer filenya dan telah mengambil langkah-langkah mitigasi yang direkomendasikan. CalSTRS terus bekerja untuk memastikan bahwa semua penyedia layanan kami menerapkan langkah-langkah keamanan yang melindungi informasi anggota kami.”