IRS yang disalahkan dalam pelanggaran data South Carolina besar

Gubernur Carolina Selatan menyalahkan standar Layanan Pendapatan Internal yang usang sebagai faktor yang berkontribusi terhadap pelanggaran data besar-besaran yang mengekspos nomor Jaminan Sosial 3,8 juta pembayar pajak ditambah kartu kredit dan

Gov. Pernyataan Nikki Haley pada hari Selasa muncul setelah laporan tentang pelanggaran mengungkapkan bahwa 74,7 GB dicuri dari komputer milik Departemen Pendapatan Carolina Selatan (DOR) setelah seorang karyawan menjadi korban email phishing.

Orang yang mengajukan pengembalian pajak secara elektronik dari Pada 1998 terpengaruh, meskipun sebagian besar data tampaknya setelah 2002, Haley mengatakan selama konferensi pers.

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

South Carolina mematuhi aturan IRS, tetapi IRS tidak mengharuskan SSN dienkripsi, katanya. Negara sekarang akan mengenkripsi SSN dan sedang dalam proses pembenahan sistem pajaknya dengan kontrol keamanan yang lebih kuat. Dia mengatakan bahwa dia telah mengirim surat kepada IRS untuk mendorong agensi untuk memperbarui standarnya untuk mewajibkan enkripsi SSN.

Kurangnya enkripsi dan kontrol akses pengguna yang kuat ditambah peralatan era 1970an membuat sistem DOR matang untuk serangan, dia kata.

"Ini adalah era baru di mana Anda tidak bisa bekerja dengan peralatan tahun 1970," kata Haley. "Anda tidak bisa mengikuti standar kepatuhan pemerintah federal."

Laporan, yang ditulis oleh perusahaan keamanan Mandiant, menemukan bahwa komputer karyawan terinfeksi oleh malware setelah pengguna membuka email phishing. Peretas menangkap nama pengguna dan kata sandi seseorang, yang memungkinkan akses ke layanan akses jarak jauh Citrix agensi.

Dari sana, peretas memasang berbagai alat yang menangkap kata sandi akun pengguna di enam server. Peretas akhirnya memperoleh akses ke tiga lusin sistem lain. Mandiant menulis bahwa peretas menggunakan setidaknya 33 utilitas dan malware unik, termasuk alat penarik kata sandi, utilitas administratif, skrip batch, dan utilitas perintah database umum.

Peretas menggunakan utilitas yang disebut 7-Zip untuk memampatkan informasi, membuat 15 terenkripsi diarsipkan file yang, jika tidak dikompres, mengandung data 74,7 GB. Data dipindahkan ke server lain dalam DOR sebelum akhirnya dipindahkan ke sistem lain di Internet, kata laporan itu.

23 file database yang dicuri berisi campuran data terenkripsi dan tidak terenkripsi, kata laporan itu. Peretas tampaknya hanya memperoleh kunci terenkripsi untuk data yang dienkripsi, yang tidak dapat diakses. Tapi ada banyak data plain-text lainnya.

Data termasuk SSN untuk 3,8 juta pelapor pajak dan informasi tentang 1,9 juta tanggungan, kata Haley. Informasi milik 699.900 bisnis dikompromikan, bersama dengan 3,3 juta rekening bank dan 5.000 nomor kartu kredit, katanya.

Carolina Selatan telah mengidentifikasi semua korban, yang akan diberitahu melalui surat. Negara juga bekerja dengan Experian, yang memantau informasi kredit untuk korban.

Sebagai akibat dari pelanggaran, Direktur DOR Jim Etter akan mengundurkan diri efektif 31 Desember. Dia akan digantikan oleh Bill Blume, yang saat ini direktur eksekutif Otoritas Manfaat Karyawan Publik Carolina Selatan, kata Haley.