Serangan SmartHRMS Avelogic: Apa yang terjejas dan apa yang masih belum diketahui

Bagi kakitangan yang bergantung pada sistem gaji SmartHRMS, persoalan segera ialah sama ada gaji mereka akan dibayar. Majlis Ugama Islam Singapura (MUIS) berkata aturan penggajian alternatif telah dilaksanakan supaya kakitangan masjid dan madrasah yang terjejas menerima gaji tepat pada masanya. Serangan itu menjejaskan sistem sumber manusia dan penggajian yang dibekalkan Avelogic, bukan penyampaian khidmat keagamaan atau perkhidmatan kepada orang ramai.316

Siapa yang terjejas?

Menurut MUIS, pengguna yang terjejas dalam sektor masyarakat merangkumi 48 masjid, empat madrasah, Hab Pembelajaran Islam dan Pejabat Pengurusan (ILHAM), serta Perkhidmatan Bersama Masjid-Madrasah-Wakaf (MMWSS). Sistem Avelogic turut digunakan pelanggan dalam sektor lain.3

Adakah maklumat kakitangan dicuri?

Belum dapat dipastikan. Nama, butiran hubungan, gaji dan nombor akaun bank kakitangan dikenal pasti dalam laporan sebagai maklumat yang mungkin terdedah, bukan maklumat yang disahkan dicuri. Jumlah individu yang terjejas serta jenis maklumat yang mungkin terjejas juga belum dinyatakan dengan tepat.617

Avelogic berkata siasatan forensik bebas tidak menemui bukti data diambil secara besar-besaran berdasarkan rekod rangkaian Amazon Web Services yang tersedia bagi kegiatan penyerang yang disahkan pada 30 hingga 31 Ogos 2026. Menurut syarikat itu, medan data sensitif utama dalam SmartHRMS turut dilindungi melalui penyulitan pada peringkat aplikasi. Namun, dapatan berdasarkan rekod yang diperiksa itu bukan bukti bahawa tiada sebarang maklumat diakses atau diambil.7

Data sudah dipulihkan—adakah sistem sudah beroperasi semula?

Notis insiden Avelogic menyatakan perisian tebusan telah menyulitkan pangkalan data dan salinan sandaran yang disambungkan, sekali gus mengganggu akses kepada sistem. Penyulitan oleh penyerang ini berbeza daripada penyulitan pada peringkat aplikasi yang bertujuan melindungi medan data sensitif. MUIS kemudian berkata Avelogic telah memulihkan data yang terjejas; itu tidak semestinya bermakna pelanggan sudah mendapat semula akses kepada SmartHRMS yang beroperasi sepenuhnya.2073

Laporan terdahulu menyebut 18 September sebagai sasaran pemulihan perkhidmatan, tetapi maklumat yang tersedia tidak mengesahkan bahawa sistem beroperasi semula pada tarikh itu. MUIS berkata siasatan dan pemeriksaan keselamatan masih dijalankan.1016

Bagaimana dengan siasatan pihak berkuasa?

MUIS berkata laporan polis telah dibuat, tiada wang tebusan dibayar, dan Avelogic masih menyiasat insiden serta kesannya yang lebih luas. Notis Avelogic juga menyenaraikan pemakluman kepada Suruhanjaya Perlindungan Data Peribadi Singapura (PDPC). Maklumat yang tersedia belum menjelaskan hasil siasatan polis atau status dan dapatan sebarang siasatan berasingan oleh PDPC.320