Insiden Home Depot: Amaran Serius Untuk Bank & Fintech

Insiden Home Depot: Isyarat Bahaya Untuk Keselamatan Sistem Kewangan

Pada tahun kebelakangan ini, beberapa kajian menunjukkan lebih 60% kebocoran data bermula daripada salah konfigurasi sistem dalaman dan bukannya serangan ‘hacker’ yang canggih. Kes Home Depot yang terbaru — di mana akses ke repositori GitHub dalaman dan sistem awan didakwa terdedah selama hampir setahun — tepat berada dalam kategori ini.

Untuk syarikat runcit, ini sudah cukup memalukan. Untuk bank, syarikat insurans dan fintech yang menguruskan data kewangan rakyat Malaysia, senarionya jauh lebih kritikal.

Artikel ini gunakan insiden Home Depot sebagai kisah amaran: apa yang boleh salah bila kawalan akses dan pemantauan longgar, dan bagaimana AI dalam perkhidmatan kewangan boleh membantu mengurangkan risiko daripada punca seperti salah konfigurasi, kelalaian manusia dan respon insiden yang lembap.

---

Apa Sebenarnya Yang Berlaku Dalam Insiden Home Depot?

Ringkasnya: seorang penyelidik keselamatan menemui akses terbuka kepada sistem dalaman Home Depot – termasuk repositori GitHub dan sistem awan – cuba memberi amaran, tetapi diabaikan. Pendedahan itu dikatakan berlarutan hampir setahun.

Walaupun butiran teknikal penuh tidak diterbitkan secara umum, daripada ringkasan yang ada, beberapa perkara boleh dijangka berlaku:

• Kredensial (token, key, kata laluan) mungkin disimpan dalam kod atau konfigurasi yang boleh diakses
• Repositori GitHub dalaman tidak dikunci dengan betul kepada rangkaian atau akaun tertentu
• Kawalan identiti dan akses (IAM) pada infrastruktur awan longgar atau salah dikonfigurasi
• Saluran pelaporan kelemahan (vulnerability disclosure) tidak responsif atau tidak jelas

Untuk sektor runcit, risiko utama ialah kod proprietari, konfigurasi sistem POS, dan mungkin sebahagian data operasi. Untuk sektor kewangan, jika senario yang sama berlaku, skala mudarat meningkat berkali ganda:

Dalam bank dan fintech, akses ke repositori kod dalaman selalunya bermakna akses tidak langsung ke algoritma pemarkahan kredit, model pengesanan penipuan, ‘API’ dalaman, dan kadangkala kunci ke pangkalan data pelanggan.

Ini sebab insiden Home Depot patut dibaca sebagai cermin: “Kalau ini berlaku pada kita, sejauh mana kita bersedia?”

---

Kenapa Bank & Fintech Patut Lebih Risau Daripada Home Depot

Risiko pendedahan kod dan sistem dalaman jauh lebih serius dalam perkhidmatan kewangan berbanding industri lain kerana tiga faktor: nilai data, tekanan kawal selia, dan kepercayaan pelanggan.

1. Nilai data dan model AI kewangan sangat tinggi

Dalam ekosistem AI kewangan Malaysia, bank dan fintech menggunakan model AI untuk:

• Pengesanan penipuan transaksi kad dan e-wallet secara masa nyata
• Skor kredit automatik untuk pinjaman peribadi, SME dan BNPL
• Pemantauan AML (anti–penggubahan wang haram) dan transaksi mencurigakan
• ‘Pricing’ insurans berdasarkan profil risiko

Jika kod dan konfigurasi sistem ini bocor:

• Penyerang boleh ‘reverse-engineer’ logik AI dan cari titik buta (contoh: had nilai transaksi atau corak yang tidak ditanda sebagai mencurigakan)
• Penipu boleh susun corak transaksi untuk “lulus” sistem pengesanan penipuan
• Pihak tertentu boleh eksploitasi kelemahan proses pemarkahan kredit untuk diluluskan walaupun berisiko tinggi

Ini bukan lagi isu reputasi semata-mata. Ini menyentuh stabiliti risiko bank dan fintech.

2. Tekanan kawal selia (BNM, garis panduan digital & risiko operasi)

Bank Negara Malaysia telah lama menekankan:

• Tadbir urus risiko teknologi
• Keselamatan siber dalam pelaksanaan perbankan digital
• Perlindungan data pelanggan

Insiden seperti Home Depot, kalau berlaku di institusi kewangan tempatan, boleh membawa kepada:

• Siasatan kawal selia dan potensi tindakan penguatkuasaan
• Kewajipan pemakluman insiden kepada pihak berkuasa dan pelanggan
• Peningkatan kos pematuhan dan audit pasca-insiden

3. Kepercayaan pelanggan sukar dibina semula

Orang Malaysia semakin biasa dengan perbankan mudah alih, e-wallet, dan insurans digital. Tapi kepercayaan mereka rapuh. Satu insiden bocor data besar boleh memadam bertahun-tahun pelaburan dalam jenama dan pengalaman pengguna.

Home Depot mungkin masih boleh tarik pelanggan dengan promosi dan diskaun. Bank dan fintech tak ada kemewahan itu bila berdepan isu keselamatan.

---

Di Mana Kebanyakan Organisasi Silap: Tumpu Perimeter, Abaikan Dalaman

Kebanyakan organisasi, termasuk dalam sektor kewangan, terlalu fokus pada ‘firewall’ dan sistem sempadan, tetapi kurang memberi perhatian kepada keselamatan dalaman – kod, konfigurasi awan, dan repositori Git.

Daripada corak kes kebocoran global beberapa tahun kebelakangan ini, ada beberapa punca yang berulang:

a) Repositori kod tidak diaudit secara berkala

• ‘Developer’ simpan kata laluan atau token dalam kod kerana nak cepat
• Cabang (branch) lama yang mengandungi rahsia tidak dipadam
• Repositori lama tidak lagi digunakan tetapi masih aktif dan boleh diakses

Tanpa imbasan automatik berasaskan AI terhadap repositori Git (GitHub, GitLab, Bitbucket), rahsia sebegini mudah terlepas pandang.

b) Salah konfigurasi awan (cloud misconfiguration)

• ‘Storage bucket’ tidak diset sebagai private
• Peranan IAM terlalu longgar (contoh: *:* permissions)
• Kunci akses tidak ditukar berkala

Dalam banyak kes, penceroboh tak perlu pun eksploit 0-day. Mereka hanya cari ‘door left open’.

c) Saluran pelaporan kelemahan tidak matang

Dalam kes Home Depot, penyelidik keselamatan cuba melapor tetapi diabaikan.

Dalam konteks bank dan fintech:

• Tiada polisi responsible disclosure yang jelas
• Tiada alamat emel atau portal khusus untuk laporan kelemahan
• Tiada SLA dalaman untuk respon kepada laporan pihak ketiga

Bila pihak yang cuba membantu diabaikan, mereka mungkin berhenti cuba. Itu lebih bahaya.

---

Di Sini AI Bantu: Dari Pengesanan Penipuan Ke Pemantauan Kod & Awan

AI dalam perkhidmatan kewangan tak sepatutnya berhenti pada pengesanan penipuan kad kredit dan skor kredit. AI patut digunakan untuk jantung keselamatan sistem: kod, infrastruktur dan tingkah laku pengguna dalaman.

1. AI untuk pemantauan repositori Git & rahsia

Model AI dan enjin analitik hari ini boleh:

• Mengimbas commit baharu dalam Git secara masa nyata untuk:
  • Kata laluan dalam ‘string’ teks
  • API keys, token OAuth, kunci AWS/Azure/GCP
  • Konfigurasi yang mengandungi endpoint dalaman sensitif
• Memberi skor risiko setiap commit dan blok ‘merge’ jika terlalu berisiko
• Mengesan corak pelik, contohnya:
  • Akaun luar biasa yang tiba-tiba ‘clone’ banyak repo sensitif
  • Akses pada waktu ganjil dari lokasi geografi luar kebiasaan

Dalam bank dan fintech yang sudah biasa dengan model AI, menambah “AI code security layer” bukan lagi isu teknologi; ia isu keutamaan.

2. AI untuk pengesanan anomali dalam infrastruktur awan

Untuk organisasi berskala besar, hampir mustahil manusia sahaja pantau:

• Log akses berbilion baris
• Konfigurasi ratusan akaun awan
• Ribuan mesin maya, kontena, fungsi serverless

Di sinilah AI-driven threat detection relevan:

• Model pembelajaran mesin belajar apa itu corak biasa dalam rangkaian dan awan
• Sistem menandakan anomali, contohnya:
  • Perubahan konfigurasi bucket daripada private ke public
  • Peranan IAM baru yang terlalu luas dicipta oleh akaun bukan admin
  • “Lateral movement” pengguna yang cuba akses sistem yang tak pernah mereka guna
• Amaran boleh diutamakan (prioritised) berdasarkan impak ke sistem kewangan dan data pelanggan

3. AI dalam automasi respons insiden

Masa ialah faktor penentu dalam insiden keselamatan. Dalam banyak kes, penceroboh tinggal dalam sistem selama berminggu-minggu sebelum dikesan.

AI boleh membantu:

• Mencadangkan tindakan segera (contoh: nyah-aktif akaun, tukar kunci, ‘rollback’ konfigurasi)
• Menjalankan ‘playbook’ respons automatik untuk insiden berprofil rendah-sederhana
• Mengumpul bukti forensik secara teratur untuk audit dan laporan kawal selia

Bagi institusi kewangan Malaysia yang sudah ada pusat operasi keselamatan (SOC), menambah lapisan AI bermakna penganalisis manusia boleh fokus pada kes-kes paling kritikal.

---

Rangka Kerja Praktikal Untuk Bank, Insurans & Fintech Di Malaysia

Bagus cakap pasal AI dan keselamatan, tapi apa langkah praktikal yang patut organisasi ambil 3–6 bulan akan datang?

Berikut satu rangka kerja bertahap yang saya lihat berkesan:

Tahap 1: Asas tadbir urus & polisi

1. Tentukan pemilikan jelas untuk keselamatan kod dan awan (CISO, CTO, ketua pembangunan?)
2. Wujudkan atau kemas kini:
   • Polisi penyimpanan rahsia (guna ‘secrets manager’, bukan dalam kod)
   • Polisi ‘branch protection’ dan kawalan ‘merge’
   • Polisi respons insiden dan responsible disclosure
3. Wajibkan latihan asas keselamatan untuk semua pembangun dan pasukan DevOps.

Tahap 2: Automasi minimum tanpa AI

Sebelum masuk ke AI canggih, pastikan automasi asas ada:

• Integrasi imbasan keselamatan statik (SAST) dalam CI/CD
• ‘Secret scanner’ asas untuk repositori kod
• Pengurusan identiti berpusat, MFA wajib, prinsip least privilege

Langkah ini sahaja sudah boleh elak banyak kes sekelas Home Depot.

Tahap 3: Integrasi AI dalam pemantauan kod & awan

1. AI untuk kod & Git

   • Guna model AI yang boleh membaca diff dan menandakan risiko keselamatan
   • Wujudkan skor risiko commit dan syarat ‘manual review’ untuk skor tinggi

2. AI untuk log & rangkaian

   • Himpunkan log transaksi, sistem teras, rangkaian dan awan dalam satu platform analitik
   • Latih model anomali khusus untuk corak operasi organisasi anda

3. Kaitkan dengan pematuhan

   • Selaraskan laporan AI dengan keperluan audit (BNM, dalaman, syariah jika berkaitan)
   • Simpan rekod justifikasi setiap keputusan automasi kritikal

Tahap 4: Simulasi insiden gaya Home Depot

Akhir sekali, jalankan ‘fire drill’ keselamatan:

• Simulasi 1: Kunci awam bocor dalam repositori Git dalaman
• Simulasi 2: Bucket awan sensitif tiba-tiba ditetapkan kepada umum
• Simulasi 3: Akaun pembangun dikompromi dan muat turun semua repo AI kewangan

Pantau:

• Berapa cepat AI mengesan?
• Apa tindakan automatik yang diambil?
• Berapa lama untuk pasukan keselamatan sahkan dan tutup insiden?

Di sini baru nampak sama ada pelaburan AI keselamatan benar-benar berbaloi.

---

Dari Home Depot Ke Kuala Lumpur: Jangan Tunggu Insiden Pertama

Kes Home Depot ialah peringatan: akses dalaman yang terdedah boleh berlarutan berbulan-bulan bila organisasi bergantung pada andaian “semua OK selagi tak ada tanda serangan jelas”.

Dalam perkhidmatan kewangan, sikap begitu mahal.

Malaysia sedang rancak memacu AI dalam sektor kewangan — daripada pengesanan penipuan, pemarkahan kredit, analitik kekayaan hinggalah pematuhan kawal selia. Kalau lapisan AI ini sendiri dibina di atas kod dan infrastruktur yang longgar, keseluruhan strategi digital jadi rapuh.

Ada dua pilihan sekarang:

1. Tunggu insiden pertama, baiki selepas krisis, atau
2. Gunakan kes seperti Home Depot sebagai panduan, dan kukuhkan pemantauan dalaman menggunakan AI sebelum sesuatu berlaku.

Kalau anda berada dalam bank, syarikat insurans atau fintech Malaysia, soalan praktikalnya mudah:

Jika kod AI utama dan konfigurasi awan anda secara tidak sengaja boleh diakses hari ini, sejauh mana cepat sistem dan pasukan anda akan menyedarinya?

Jika jawapannya “saya tak pasti”, ini masa yang tepat — sebelum 2026 bermula — untuk jadikan AI keselamatan sebagai projek strategik seterusnya.