Sistem gaji masjid, madrasah digodam, butiran kakitangan mungkin dicerobohi

Sistem yang menyimpan butiran gaji dan kakitangan masjid dan madrasah yang dipantau Majlis Ugama Islam Singapura (MUIS) telah digodam dan disekat fungsinya dengan tuntutan tebusan.

Sistem penggajian atau ‘payroll’ tenaga manusia (HR) SmartHRMS itu disediakan oleh vendor sofwe Avelogic yang berpangkalan di sini.

Makluman mengenai insiden keselamatan siber terkini yang tertera di laman web Avelogic dikemas kini pada 14 September dan menyatakan kegiatan pengancam kali pertama dikesan pada 30 dan 31 Ogos. Namun syarikat itu tidak menamakan pelanggan yang terjejas.

Menjawab pertanyaan Berita Harian (BH), jurucakap MUIS mengesahkan insiden yang melibatkan sistem pengurusan HR yang dikendalikan Avelogic.

Namun MUIS enggan mendedahkan bilangan masjid dan madrasah yang terjejas, serta jenis maklumat sensitif – termasuk aset yang diuruskan dan butiran kakitangan – yang telah terdedah.

Ia juga enggan mendedahkan sama ada wang tebusan telah dibayar atau sama ada data telah berjaya dipulihkan, dengan berkata siasatan masih sedang dijalankan.

“Kami sedang bekerjasama rapat dengan organisasi yang terjejas, Avelogic dan pihak berkuasa berkaitan mengenai tindakan susulan yang perlu diambil,” kata jurucakap MUIS pada 15 September.

“Insiden ini tidak menjejaskan penyampaian perkhidmatan awam atau perkhidmatan pemerintah. Langkah-langkah kesinambungan perniagaan telah dilaksanakan bagi menyokong fungsi penting sumber manusia dan penggajian, manakala kakitangan yang terjejas diberikan panduan serta sokongan yang sewajarnya,” menurut kenyataan itu.

Difahami, sistem HR itu mengandungi maklumat sensitif kakitangan di berpuluh-puluh masjid dan madrasah, termasuk nama, butiran hubungan, gaji serta nombor akaun bank mereka.

Sistem HRMS dibekalkan kepada masjid dan madrasah oleh Mosque-Madrasah-Wakaf Shared Services, iaitu sebuah jawatankuasa di bawah naungan MUIS. Terdapat 72 buah masjid di Singapura.

Jawatankuasa itu mengendalikan 69 masjid dan tiga madrasah, termasuk menyediakan sistem penggajian untuk menjana dokumen gaji atau payslip, menurut maklumat di laman webnya.

Serangan ransomware ialah sejenis serangan menggunakan sofwe yang mengunci fail atau sistem yang digunakan mangsa dengan tunjuan menuntut bayaran supaya akses dipulihkan.

Makluman di laman web Avelogic mengenai insiden tersebut bertarikh 7 September menyatakan penggodam telah menyulitkan pangkalan datanya - termasuk salinan tambahan atau ‘backup’ - dan tidak meninggalkan sebarang keupayaan untuk data dipulih kembali. Maklumat tersebut juga menyatakan ia tidak dapat menafikan sebarang data tidak dicuri, kerana ada tanda peralihan keluar data yang tidak boleh diperjelaskan telah berlaku.

Makluman susulan Avelogic pada 14 September pula menyatakan siasatannya menunjukkan tiada data dicuri secara pukal. Menambah, ia berkata ia telah berjaya memulih kembali data terkini yang dikemas kini. Ia telah menetapkan tarikh 18 September untuk memastikan sistemnya kembali beroperasi.

Avelogic telah membuat laporan polis dan memberitahu Suruhanjaya Perlindungan Data Peribadi (PDPC) dan mendapatkan khidmat firma keselamatan siber untuk melaksanakan siasatan forensik bebas.

Polis mengesahkan ia menerima laporan mengenai insiden itu dan siasatan sedang berlangsung. PDPC juga berkata ia maklum mengenai insiden itu dan sedang menyiasat insiden pencerobohan data yang dilaporkan oleh Avelogic.