Klaim Peretas Bug SQL di Situs Symantec

Seorang hacker Rumania yang telah menghabiskan beberapa minggu terakhir mengekspos kesalahan pemrograman Web yang umum, tetapi berbahaya pada vendor keamanan situs Web mengatakan dia menemukan cacat SQL injection di situs Web Symantec. Tapi Symantec mengatakan itu bukan masalah keamanan.

Namun, Symantec dipaksa untuk menurunkan bagian dari situs Web perusahaan pada hari Kamis setelah seorang hacker Rumania, pergi dengan nama Unu, mengklaim bahwa ia telah menemukan bug di Dokumen Symantec Pusat Unduhan, bagian situs web yang dilindungi kata sandi di mana mitra saluran dapat mengunduh materi penjualan untuk produk perusahaan.

Situs ini menjadi tempat materi pemasaran dan Symantec mengatakan bahwa tidak ada informasi perusahaan atau pelanggan yang terekspos.

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

"Symantec segera menurunkan situs, melakukan pengujian komprehensif dan menetapkan bahwa masalah tersebut bukan kerentanan keamanan," perusahaan mengatakan dalam sebuah pernyataan Kamis. "Tampaknya orang yang melaporkannya berdasarkan laporan pada pesan kesalahan."

Perwakilan Symantec tidak dapat berkomentar secara mendetail tentang masalah ini, tetapi yang terburuk, masalahnya adalah memalukan bagi Symantec, perusahaan yang paling terkenal di dunia vendor keamanan komputer. "Ironisnya situasinya adalah bahwa hal itu dilakukan pada … halaman yang mempromosikan produk keamanan seperti Norton AntiVirus 2009 dan Norton Internet SECURITY," tulis Unu dalam catatannya yang menjelaskan masalahnya. "Apa yang bisa saya katakan: iklan yang bagus."

Dalam serangan injeksi SQL, peretas memanfaatkan bug dalam program Web yang meminta database SQL. Intinya adalah untuk menemukan cara menjalankan perintah dalam database dan mengakses informasi yang biasanya akan dilindungi.

Kekurangan ini telah digunakan dalam serangan Web luas, yang telah memungkinkan penjahat untuk menempatkan kode berbahaya di ribuan situs Web selama tahun lalu.

Berdasarkan uraian Unu tentang masalah ini, tidak jelas apakah ia menemukan cacat injeksi SQL yang sah, kata Robert Hansen, CEO SecTheory, konsultan keamanan Web. "Dia bisa benar-benar tepat. Ini bisa jadi injeksi SQL, tapi jadi apa," katanya. "Mungkin [materi penjualan] sangat berharga bagi penyerang, tapi saya meragukannya."

Lebih dari seminggu yang lalu, Unu menemukan masalah yang sama di situs Kaspersky Lab, serta di situs mitra untuk vendor keamanan BitDefender, dan di situs Web F-Secure.

Serangan-serangan telah mengungkap data yang ingin dilindungi oleh vendor seperti alamat e-mail pelanggan, kode aktivasi produk, dan data penelitian, tetapi bukan informasi keuangan.

"Sementara Serangan adalah sesuatu yang harus kita pelajari dari dan menunjukkan hal-hal yang perlu kita tingkatkan, bukan akhir dari dunia, "tulis F-Secure dalam posting blog, mengomentari masalah ini. Dalam serangan F-Secure, peretas bisa mendapatkan akses ke statistik yang disimpan perusahaan pada perangkat lunak berbahaya.