Kota Columbus, Ohio, telah mengajukan gugatan terhadap peneliti keamanan David Leroy Ross, alias Connor Goodwolf, menuduhnya mengunduh dan menyebarkan data secara ilegal yang dicuri dari jaringan TI Kota dan dibocorkan oleh geng ransomware Rhysida.
Columbus, ibu kota dan kota terpadat (2.140.000) di Ohio, mengalami serangan ransomware pada tanggal 18 Juli 2024, yang menyebabkan berbagai pemadaman layanan dan tidak tersedianya konektivitas email dan TI antara lembaga publik.
Pada akhir bulan Juli, Pemerintah Kota diumumkan bahwa tidak ada sistem yang dienkripsi, tetapi mereka menyelidiki kemungkinan bahwa data sensitif mungkin telah dicuri dalam serangan itu.
Pada hari yang sama, ransomware Rhysida mengaku bertanggung jawab atas serangan tersebut, dengan tuduhan mencuri 6,5 TB basis data, termasuk kredensial karyawan, data server, umpan kamera video kota, dan informasi sensitif lainnya.
Pada tanggal 8 Agustus, setelah gagal memeras Kota, para pelaku ancaman menerbitkan 45% data curian yang terdiri dari 260.000 file (3,1 TB), yang mengungkap sebagian besar data yang sebelumnya mereka klaim dimiliki.
Menurut pengaduan Pemerintah Kota, kumpulan data yang terekspos itu meliputi dua basis data cadangan yang memuat sejumlah besar data yang dikumpulkan oleh jaksa dan kepolisian setempat, yang berasal dari setidaknya tahun 2015, yang berisi, antara lain, informasi pribadi petugas yang menyamar.
Pada hari kebocoran data di portal pemerasan Rhysida di web gelap, Walikota Columbus Andrew Ginther menyatakan di media lokal bahwa informasi yang diungkapkan tidak berharga atau dapat digunakan dan bahwa serangan itu telah berhasil digagalkan.
Beberapa jam kemudian, Goodwolf membantah klaim Walikota bahwa tidak ada data sensitif atau berharga yang terungkap dengan membagikan informasi dengan media tentang apa saja yang termasuk dalam dataset yang bocor.
Menanggapi hal ini, pada tanggal 12 Agustus, Walikota Ginther mengklaim bahwa data yang terungkap adalah “dienkripsi atau rusak,” jadi kebocoran tersebut tidak dapat digunakan dan seharusnya tidak menjadi masalah bagi masyarakat.
Namun, Goodwolf membantah klaim ini dan membagikan contoh data kepada media untuk menunjukkan bahwa data tersebut berisi data pribadi yang tidak terenkripsi milik warga Columbus.
“Di antara rincian yang diungkap adalah nama-nama dari kasus kekerasan dalam rumah tangga, dan nomor Jaminan Sosial untuk petugas polisi dan korban kejahatan. Tempat pembuangan sampah tidak hanya berdampak pada pegawai kota, tetapi juga mengungkapkan informasi pribadi penduduk dan pengunjung selama bertahun-tahun,” dilaporkan NBC4.
Membungkam peneliti
Gugatan yang diajukan oleh Columbus menduga bahwa tindakan Goodwolf dalam menyebarkan data curian merupakan tindakan lalai dan ilegal, sehingga menimbulkan kekhawatiran besar di masyarakat.
Lebih jauh lagi, Pemerintah Kota menduga bahwa data yang bocor itu tidak dapat diakses oleh siapa pun, sebagaimana dinyatakan Goodwolf, karena data tersebut diterbitkan pada platform dengan akses terbatas, yang memerlukan pengetahuan untuk menemukannya.
“Tindakan terdakwa mengunduh dari web gelap dan menyebarkan informasi rahasia yang dicuri ini di tingkat lokal telah menimbulkan kekhawatiran yang meluas di seluruh wilayah Ohio Tengah,” membaca keluhan tersebut.
“Hanya individu yang bersedia menjelajahi dan berinteraksi dengan unsur kriminal di web gelap, yang juga memiliki keahlian komputer dan peralatan yang diperlukan untuk mengunduh data dari web gelap, yang akan mampu melakukannya.”
Pengaduan tersebut mencatat bahwa tindakan Goodwolf membagikan data penegakan hukum dan dugaan rencana untuk membuat situs web agar orang-orang dapat melihat apakah data mereka terekspos mengganggu penyelidikan polisi.
Pemerintah Kota meminta perintah penahanan sementara, putusan pendahuluan, dan putusan permanen terhadap Goodwolf untuk mencegah penyebaran lebih lanjut data yang dicuri. Selain itu, Pemerintah Kota meminta ganti rugi yang melebihi $25.000.
Dalam konferensi pers tentang gugatan tersebut, yang ditampilkan di bawah, Jaksa Kota Zach Klein mengatakan bahwa gugatan tersebut bukan tentang penekanan kebebasan berbicara, karena Goodwolf masih dapat berbicara tentang kebocoran tersebut, tetapi ditujukan untuk mencegahnya mengunduh dan menyebarluaskan informasi yang dicuri.
