SFC Menjatuhkan Denda Sebesar HK$2,1 Juta kepada Luk Fook Securities atas Kegagalan Keamanan Siber

Komisi Sekuritas dan Berjangka Hong Kong (SFC) telah menegur dan mendenda Luk Fook Securities (HK) Limited (LFSHK) sebesar HK$2,1 juta karena gagal menerapkan kontrol keamanan siber yang memadai, menyusul serangan ransomware yang mengganggu operasional dan layanan kliennya.

Serangan siber yang terjadi pada September 2022 tersebut membahayakan infrastruktur TI penting perusahaan, termasuk server file, sistem email, aplikasi perdagangan, dan server akuntansi. Selama periode pemulihan, klien tidak dapat mengakses platform perdagangan seluler atau daring dan hanya dapat melakukan pemesanan melalui eksekutif akun. Perusahaan sepenuhnya memulihkan sistemnya sekitar tiga minggu setelah kejadian tersebut.

Investigasi SFC menemukan bahwa serangan tersebut mengeksploitasi kelemahan dalam sistem akses jarak jauh perusahaan dan mengidentifikasi beberapa kekurangan dalam kerangka kerja keamanan siber. Ini termasuk perlindungan firewall dan pemantauan jaringan yang tidak memadai, sistem operasi dan perangkat lunak antivirus yang sudah usang, kontrol akses pengguna yang lemah, manajemen kata sandi yang buruk, kontrol yang tidak memadai atas akses jarak jauh dan perangkat eksternal, pelatihan keamanan siber staf yang terbatas, serta pengaturan pencadangan data dan kelangsungan bisnis yang tidak memadai.

Regulator menyimpulkan bahwa kekurangan-kekurangan ini secara signifikan meningkatkan kerentanan perusahaan terhadap serangan siber, berkontribusi pada tingkat keparahan insiden tersebut, dan gagal memenuhi standar keamanan siber yang dipersyaratkan untuk kegiatan yang diatur.

Dalam menentukan tindakan disipliner, SFC mempertimbangkan bahwa LFSHK telah menugaskan peninjauan independen, memperkuat kontrol keamanan siber, bekerja sama sepenuhnya dengan investigasi, dan tidak memiliki catatan disipliner sebelumnya. Regulator juga mencatat bahwa tidak ada bukti kerugian finansial klien yang diakibatkan oleh insiden tersebut.