Bagaimana Serangan Siber Benar-Benar Terjadi: Metode di Balik Pelanggaran Seperti H&M

Pada 12 Oktober 2026, H&M Group mengatakan bahwa mereka menyelidiki klaim online tentang insiden keamanan siber yang melibatkan "cakupan terbatas data H&M Group," menurut pernyataan perusahaan yang dilaporkan oleh Retail Gazette. Pengecer mengatakan bahwa mereka tidak menemukan indikasi bahwa lingkungan data mereka telah dikompromikan dan tidak telah memberi tahu UK Information Commissioner's Office, menurut Beinsure.

Klaim-klaim ini muncul beberapa hari setelah pengecer fashion ASOS mengonfirmasi pelanggaran pada 6 Oktober, di mana penyerang memperoleh kredensial login karyawan dengan menyamar sebagai kontak terpercaya, kemudian menggunakan kredensial tersebut untuk mencapai nama pelanggan dan detail kontak yang disimpan di platform pihak ketiga, menurut pelaporan Beinsure. Retail Gazette mencatat bahwa laporan telah menghubungkan dugaan H&M dengan kelompok cybercriminal yang sama, ShinyHunters, meskipun tidak ada konfirmasi independen yang menghubungkan dua insiden bersama.

Siapa ShinyHunters?

ShinyHunters adalah kelompok hacking yang termotivasi secara finansial yang telah aktif sejak 2020 dan terkait dengan pelanggaran di lebih dari 400 organisasi, menurut vendor keamanan siber DoControl. Kelompok ini mengikuti model pemerasan "bayar atau bocor": mereka menuntut tebusan dan mengancam akan mempublikasikan data yang dicuri di forum dark web jika target tidak membayar, DoControl melaporkan. Target masa lalu yang dinamai oleh DoControl termasuk Salesforce, Google, Workday, Adidas, Coinbase, Qantas Airways, dan Jaguar Land Rover.

Metode di balik sebagian besar pelanggaran

Analisis DoControl menjelaskan lima teknik yang telah digunakan kelompok: menyalahgunakan token OAuth yang dicuri untuk menyamar sebagai pengguna dan melewati autentikasi multi-faktor; mengeksploitasi pengaturan yang salah konfigurasi di platform cloud seperti Salesforce Experience Cloud atau Google Workspace; mengkompromi vendor perangkat lunak terpercaya untuk menjangkau pelanggan hilir mereka sekaligus; merekrut karyawan di saluran Telegram sebagai imbalan pembayaran untuk akses ke sistem internal; dan menggunakan panggilan suara yang dihasilkan AI yang menyamar sebagai staf IT untuk menipu staf agar menyetujui aplikasi yang dikendalikan penyerang.

Teknik-teknik ini mencerminkan data industri yang lebih luas. Laporan Investigasi Pelanggaran Data Verizon 2026, dikutip oleh Help Net Security, menemukan bahwa eksploitasi kerentanan perangkat lunak melampaui kredensial yang dicuri sebagai cara paling umum penyerang pertama kali masuk ke jaringan - pertama kalinya ini terjadi dalam sejarah 19 tahun laporan ini. Laporan yang sama menemukan bahwa hanya 26% kerentanan pada daftar "dikenal dieksploitasi" Agensi Keamanan Siber dan Infrastruktur AS yang telah sepenuhnya diperbaiki oleh organisasi yang disurvei, turun dari 38% setahun yang lalu, dan waktu median untuk menambal kerentanan meningkat menjadi 43 hari.

Di mana faktor manusia cocok

Tidak setiap pelanggaran mengandalkan kerentanan perangkat lunak. Ringkasan Help Net Security dari laporan Verizon menemukan bahwa pelanggaran yang melibatkan elemen manusia - seperti ditipu oleh pesan phishing atau panggilan telepon - tetap umum. Laporan juga menemukan bahwa phisher umumnya memiliki kesuksesan lebih besar menjangkau korban melalui panggilan suara dan pesan teks daripada melalui email, tanpa memberikan angka perbandingan yang tepat, dan mencatat bahwa "vishing" berbasis telepon semakin banyak digunakan dalam skema ransomware dan eksorsi.

Keterlibatan pihak ketiga dan rantai pasokan dalam pelanggaran meningkat 60% tahun-ke-tahun, menurut laporan yang sama, sekarang hadir dalam hampir setengah dari semua insiden - pola yang sesuai dengan cara penyerang ASOS mencapai data pelanggan melalui platform pihak ketiga daripada sistem inti ASOS sendiri, menurut akun Beinsure tentang insiden tersebut.

Apa yang tetap tidak dikonfirmasi dalam kasus H&M

Menurut pernyataan H&M yang dilaporkan oleh Retail Gazette, perusahaan belum mengkonfirmasi bahwa sistem apa pun telah dilanggar, dan belum menghubungkan klaim secara definitif dengan ShinyHunters atau dengan insiden ASOS. H&M mengatakan penyelidikannya sedang berlangsung dan bahwa mereka tidak dapat berbagi detail lebih lanjut pada tahap itu, menurut pelaporan pernyataan perusahaan oleh Beinsure.