Marquis menyalahkan pelanggaran ransomware pada peretasan cadangan cloud SonicWall

Marquis Software Solutions, penyedia layanan keuangan yang berbasis di Texas, menyalahkan serangan ransomware yang memengaruhi sistemnya dan memengaruhi lusinan bank dan serikat kredit AS pada Agustus 2025 akibat pelanggaran keamanan yang dilaporkan oleh SonicWall sebulan kemudian.

Perusahaan perangkat lunak ini menyediakan analisis data, pelaporan kepatuhan, alat CRM, dan layanan pemasaran digital ke lebih dari 700 bank, credit unions, dan pemberi pinjaman hipotek di seluruh Amerika Serikat.

Dalam pernyataan kepada pelanggan awal pekan ini yang dilihat oleh BleepingComputer, Marquis mengatakan operator ransomware tidak melanggar sistemnya dengan mengeksploitasi firewall SonicWall yang belum ditambal, seperti yang diyakini sebelumnya.

Sebaliknya, penyerang menggunakan informasi yang diperoleh dari file cadangan konfigurasi firewall yang dicuri setelah mendapatkan akses tidak sah ke portal pelanggan online MySonicWall SonicWall.

Berdasarkan penyelidikan pihak ketiga yang sedang berlangsung, kami telah menentukan bahwa pelaku ancaman yang menyerang Marquis mampu menghindari firewall kami dengan memanfaatkan data konfigurasi yang diambil dari pelanggaran cadangan cloud penyedia layanan, kata Marquis.

“Saat ini, Marquis sedang mengevaluasi pilihannya sehubungan dengan penyedia firewall, termasuk mencari kompensasi atas segala biaya yang dikeluarkan oleh Marquis dan pelanggannya dalam menanggapi insiden data.”

SonicWall mengungkapkan pelanggaran keamanan yang disebutkan oleh Marquis pada 17 September, ketika memperingatkan pelanggan untuk melakukannya mengatur ulang kredensial akun MySonicWall mereka dan mengatakan insiden tersebut hanya berdampak pada sekitar 5% pelanggan firewall yang menggunakan layanan cadangan cloud.

Perusahaan juga memperingatkan bahwa pelaku ancaman dapat mengekstrak kredensial dan token akses, sehingga “jauh lebih mudah” untuk menyusupi firewall pelanggan yang terkena dampak. Namun, sekitar tiga minggu kemudian, SonicWall mengeluarkan pembaruan yang mengonfirmasi hal tersebut semua pelanggan yang menggunakan layanan pencadangan cloud terpengaruh oleh pelanggaran bulan September.

Satu bulan kemudian, mereka menerbitkan pembaruan lain yang menyatakan bahwa penyelidikan Mandiant terhadap serangan bulan September menemukan bukti menghubungkan insiden tersebut dengan peretas yang disponsori negara.

SonicWall menambahkan bahwa pelanggaran MySonicWall tidak ada hubungannya dengan serangan oleh ransomware Akira geng yang menargetkan akun SonicWall VPN yang dilindungi MFA pada akhir September.

Perusahaan keamanan siber Huntress melaporkan pada tanggal 13 Oktober mereka telah mengamati pelaku ancaman yang menyusupi lebih dari 100 akun SSLVPN SonicWall dalam kampanye skala besar menggunakan kredensial curian dan valid. Namun, Huntress tidak menemukan bukti yang mengaitkan serangan ini dengan peretasan cadangan cloud SonicWall, dan SonicWall tidak menanggapi permintaan komentar dari BleepingComputer pada saat itu.

BleepingComputer menghubungi lagi awal pekan ini, tetapi juru bicara SonicWall belum membalas.