Para hacker diduga membobol infrastruktur cloud IBM berskala besar yang banyak digunakan oleh berbagai bagian pemerintah AS, termasuk militer. AT&T mengoperasikan “Core Network” ini atas nama IBM, dan sistem perusahaan telekomunikasi yang berbasis di Dallas tersebut merupakan bagian darinya, menurut pengaduan tersebut.
Pengaduan tersebut menuduh bahwa hacker asing dan tak dikenal berulang kali menyusup ke jaringan, dan bahwa perusahaan-perusahaan tersebut terkadang tidak dapat menentukan siapa yang masuk atau apa yang dicuri.
Pengaduan itu juga menyebutkan bahwa IBM meremehkan atau menyembunyikan insiden-insiden tersebut sebelum menandatangani perjanjian dengan pemerintah yang mewajibkannya untuk menyatakan bahwa tidak ada masalah keamanan siber yang signifikan yang belum terselesaikan.
“Pengaduan ini diajukan enam tahun lalu, dan Departemen Kehakiman AS menolak untuk campur tangan,” kata juru bicara IBM, Adam Pratt. “IBM yakin bahwa tindakan kami telah mengikuti ketentuan hukum.”
Perwakilan AT&T tidak menanggapi permintaan komentar.
Barlow bekerja di IBM dalam dua periode mulai tahun 2002, termasuk menjabat sebagai VP ancaman dari tahun 2017 hingga mundur tahun 2019, menurut gugatan tersebut.
Dia dikutip dalam laporan New York Times tahun 2018 mengenai IBM yang menawarkan pelatihan siber di pusat komando mobile yang dibangun di dalam truk semi-trailer yang dimodifikasi. Sejak meninggalkan perusahaan yang berbasis di Armonk, New York, Barlow tetap aktif di industri keamanan, menghadiri konferensi, dan memberikan ceramah.
Jason T. Brown, pengacara Barlow, menolak membahas latar belakang pengunduran diri kliennya atau mengatakan apakah Departemen Kehakiman telah menyelidiki tuduhan dalam gugatan berdasarkan False Claims Act suit.
Keputusan pemerintah untuk ikut campur dalam kasus-kasus semacam ini seringkali memakan waktu bertahun-tahun, dan keputusan pejabat federal untuk tidak terlibat tidak menunjukkan kebenaran dari sebuah pengaduan, kata Brown. Ia menambahkan bahwa tuduhan tersebut melibatkan bisnis federal senilai miliaran dolar dengan AT&T dan IBM.
“Kami menantikan untuk secara agresif menangani perkara ini,” kata Brown, dari firma Brown, LLC. “Anda tidak bisa menjual keamanan siber kepada pemerintah federal sementara diduga memiliki masalah keamanan di dalam perusahaan Anda sendiri.”
Dalam gugatannya, Barlow mengklaim bahwa ia secara pribadi menyaksikan banyak pelanggaran pada jaringan inti IBM dan ditekan oleh para eksekutif untuk melunakkan laporan internal dan menghilangkan detail-detail tertentu. Barlow menuding bahwa ia mengetahui kasus-kasus spesifik di mana manajemen senior IBM “secara aktif mengambil langkah-langkah untuk menutupi dan menyembunyikan” peretasan dari regulator AS dan klien pemerintah.
“Pelanggaran data begitu besar dan jaringan inti dirancang begitu buruk sehingga baik IBM maupun AT&T tidak tahu persis data apa yang diretas, siapa yang meretas data tersebut, di mana data tersebut diretas, atau apakah ada data yang dieksfiltrasi, diubah, dan/atau dimodifikasi dalam hal apa pun,” demikian tuduhan dalam gugatan tersebut.
Hacker yang didukung pemerintah China diduga terlibat dalam beberapa pelanggaran yang disebutkan dalam gugatan tersebut.
Pada tahun 2018, DoJ AS mendakwa dua orang yang diduga sebagai anggota kelompok peretas asal Tiongkok yang, menurut mereka, telah melancarkan kampanye selama satu dekade untuk mencuri data 100.000 personel Angkatan Laut AS. Dalam gugatannya, Barlow menyatakan bahwa kelompok yang dikenal sebagai APT 10 tersebut telah melakukan pencurian tersebut dengan menyusup ke jaringan IBM.
Lembaga intelijen memberitahu IBM bahwa alamat internet yang terkait dengan jaringannya terhubung ke infrastruktur yang digunakan oleh APT 10, menurut gugatan tersebut.
Penyelidikan internal perusahaan menemukan lebih dari 50.000 “potensi serangan APT 10” antara tahun 2013 dan 2016, demikian tuduhan dalam gugatan tersebut. Tahun berikutnya, penyelidikan internal lain diduga menemukan bahwa penyerang telah mengakses hampir 400 akun yang diretas dan hampir 200 sistem dan server di 18 negara, di seluruh unit bisnis, seperti yang disebutkan dalam gugatan.
Namun, karena perusahaan tidak menyimpan catatan akses, tidak ada yang dapat dilakukan lebih lanjut untuk menyelidiki hal tersebut, menurut gugatan tersebut.
Kedutaan Besar China di Washington tidak menanggapi permintaan komentar.
Pejabat Badan Keamanan Nasional (National Security Agency/NSA) menanyakan Barlow mengenai dugaan serangan siber dari China, tetapi ia diperintahkan untuk “menghindarinya”, menurut gugatan tersebut. Gugatan itu tidak menyebut siapa yang diduga memberikan instruksi tersebut kepada Barlow.
Barlow mengajukan gugatan pada tahun 2020 dan tetap dirahasiakan hingga dibuka pada hari Rabu.
False Claims Act melarang pengajuan klaim palsu untuk pembayaran kepada pemerintah AS. Regulasi ini memungkinkan pelapor swasta untuk mengajukan gugatan atas dugaan penipuan terhadap pemerintah. Otoritas federal dapat turun tangan dan secara efektif mengambil alih kasus-kasus semacam itu. Pemerintah dapat memperoleh ganti rugi hingga tiga kali lipat dari kerugian yang diderita, dan pelapor dapat diberikan sebagian dari ganti rugi tersebut.
Seorang hakim federal di New York memerintahkan agar gugatan tersebut dibuka untuk umum pada musim semi ini setelah pemerintah AS menolak untuk campur tangan. Catatan pengadilan tidak menjelaskan alasan keputusan pemerintah tersebut, dan Brown, pengacara Barlow, mengatakan bahwa ia tidak mengetahui apa yang mendasari keputusan tersebut.
Departemen Pertahanan dan Departemen Kehakiman tidak menanggapi pertanyaan yang dikirimkan melalui email.
(bbn)
