Komisi Perdagangan Federal (FTC) mengusulkan denda sebesar $2,95 juta pada vendor kamera keamanan Verkada karena beberapa kegagalan keamanan yang memungkinkan peretas mengakses umpan video langsung dari 150.000 kamera yang terhubung internet.
Banyak kamera ditempatkan di lingkungan sensitif, seperti klinik kesehatan wanita, rumah sakit jiwa, penjara, dan sekolah.
FTC menuduh bahwa Verkada tidak hanya gagal menerapkan langkah-langkah keamanan dasar untuk melindungi kamera dari akses tidak sah tetapi juga salah menggambarkan keamanan produk kepada pelanggan dengan janji-janji dan ulasan tidak berdasar yang disampaikan oleh investor.
Selain itu, Verkada diketahui melanggar Undang-Undang CAN-SPAM dengan membombardir calon pelanggan dengan email promosi tanpa memberi mereka opsi berhenti berlangganan.
Kelalaian keamanan
Pada bulan Maret 2021, terungkap bahwa sekelompok peretas (APT-69420 Arson Cats) memanfaatkan kerentanan di server dukungan pelanggan Verkada, yang menyediakan akses tingkat admin.
Dengan menyalahgunakan hak istimewa yang tinggi ini, para peretas mengakses platform Command milik Verkada, yang membuka akses ke 150.000 umpan kamera langsung. Dari sana, para peretas mengekstrak beberapa gigabita rekaman video, tangkapan layar, dan detail pelanggan.
Setelah berjam-jam menjelajahi sistem internal Verkada tanpa ada yang mencoba memblokirnya, para peretas melaporkan sendiri pelanggaran tersebut ke mediadan merilis rekaman video sebagai bukti peretasan.
Sebelum insiden itu, pada bulan Desember 2020, seorang peretas mengeksploitasi kelemahan pada server pembuatan firmware lama dalam jaringan Verkada dan memasang Mirai di dalamnya untuk melancarkan serangan penolakan layanan (DoS).
Vendor kamera tidak menyadari adanya pelanggaran tersebut hingga dua minggu kemudian ketika Amazon Web Services (AWS) menandai aktivitas mencurigakan pada server yang diretas, keluhan catatan.
FTC mengatakan bahwa dengan mengklaim menggunakan “alat keamanan data terbaik dan praktik terbaik” untuk melindungi data pelanggan, Verkada menipu dan tidak mewakili kebenaran.
Secara khusus, Verkada tidak menerapkan langkah-langkah keamanan dasar pada produk-produknya, seperti menuntut penggunaan kata sandi yang rumit, mengenkripsi data pelanggan yang tidak aktif, dan menerapkan kontrol jaringan yang aman.
Selain itu, klaim Verkada tentang produknya yang mematuhi Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA) dan juga kerangka kerja Perisai Privasi UE-AS dan Swiss-AS adalah salah dan menyesatkan menurut FTC.
Sanksi dan ketentuan
Verkada diharuskan membayar denda perdata sebesar $2,95 juta yang dimaksudkan sebagai jaminan kepatuhan terhadap hukum di masa mendatang.
Selain itu, perusahaan harus mengembangkan dan menerapkan program keamanan komprehensif yang dengannya tim IT-nya sendiri dan juga pihak ketiga independen akan melakukan penilaian keamanan berkala, menerapkan dan menguji perlindungan, dan menyelenggarakan pelatihan karyawan tentang keamanan data.
Verkada dilarang salah mengartikan privasi, praktik keamanan, atau kepatuhannya terhadap standar seperti HIPAA dan Privacy Shield di masa mendatang.
Selama 20 tahun ke depan, Verkada harus melaporkan setiap insiden keamanan siber kepada FTC dalam waktu 10 hari setelah memberi tahu entitas pemerintah AS lainnya, dengan menyertakan rincian lengkap insiden tersebut.
Terakhir, email komersial Verkada kini harus menyertakan opsi berhenti berlangganan sehingga pengguna dapat dengan mudah berhenti berlangganan jika mereka menginginkannya.
Perintah lengkap dan tuntutan FTC dapat ditemukan di perintah yang disepakati dokumen.
Dalam sebuah pernyataan pada hari Jumat, kata Verkada bahwa meskipun tidak setuju dengan tuduhan FTC, mereka menerima persyaratan penyelesaian.
