Biro Investigasi Federal Amerika Serikat (Federal Bureau of Investigation atau FBI) secara resmi menyatakan bahwa kelompok pelaku ancaman siber yang terafiliasi dengan Republik Demokratik Rakyat Korea (DPRK atau Korea Utara) telah merampas aset mata uang kripto senilai lebih dari 400 juta dolar AS selama kurun waktu 18 bulan terakhir. Operasi penjarahan dana digital skala masif ini dijalankan melalui skema rekayasa sosial mutakhir yang diberi sandi rahasia FaceStealer.
Sebagai wujud dari serangkaian tindakan penegakan hukum berskala internasional yang dikoordinasikan secara terpadu oleh otoritas pemerintah Amerika Serikat, seluruh infrastruktur digital berbasis komputasi awan (cloud) yang sengaja dibangun dan dimanfaatkan para pelaku kriminal untuk menyokong kampanye gelap yang memiliki sifat amat sulit dilacak tersebut kini telah berhasil disita sepenuhnya.
Bersamaan dengan pengumuman penting tersebut, Departemen Kehakiman Amerika Serikat (Department of Justice atau DoJ) mengonfirmasi perolehan izin sita resmi dari pengadilan serta pemblokiran paksa terhadap simpanan aset mata uang digital bernilai fantastis melampaui 1,2 miliar dolar AS. Aset kripto bernilai luar biasa besar ini baru saja digasak oleh gerombolan peretas TraderTraitor yang memiliki rekam jejak hubungan erat dengan rezim Pyongyang menyusul penerobosan pertahanan siber pada bursa pertukaran kripto terkemuka Binance. Pihak DoJ menegaskan bahwa timbunan kekayaan finansial digital yang dijarah secara ilegal itu dipersiapkan guna mendanai pengadaan dan riset program persenjataan terlarang Pyongyang.
"Rezim penguasa Korea Utara sangat bertumpu pada aliran dana hasil perampokan mata uang digital skala raksasa untuk membiayai kelangsungan program persenjataan terlarang mereka, dengan total rampasan menembus miliaran dolar AS dalam beberapa kurun waktu terakhir," papar Direktur Operasi Divisi Siber FBI, Brett Leatherman, dalam keterangan pers resminya.
"Para operator peretas siber Korea Utara memanfaatkan secara licik skema FaceStealer guna membidik target individu di sektor industri mata uang digital serta ekosistem Web3 melalui serangkaian rekayasa sosial manipulatif yang sangat agresif, yang berujung pada kerugian lenyapnya aset melebihi 400 juta dolar AS hanya dalam rentang waktu 18 bulan," lanjutnya menjelaskan bahaya kejahatan tersebut.
Berdasarkan berkas investigasi Departemen Kehakiman, strategi utama FaceStealer bertumpu penuh pada penyalahgunaan rekaman materi video pribadi yang digondol tanpa izin serta manipulasi video sintetis kecerdasan buatan berbasis deepfake untuk melancarkan eksekusi pencurian saldo mata uang kripto. Sejumlah pola manuver dan metodologi serangan ini teridentifikasi memiliki kemiripan identik dengan sebuah kampanye spionase siber yang pernah dipublikasikan oleh firma keamanan Kaspersky pada Oktober 2025 dengan julukan GhostCall.
Serangan siber berkelanjutan ini diidentifikasi berkaitan langsung dengan klaster ancaman peretas berorientasi motif ekonomi kuat milik Korea Utara yang secara luas diawasi para pakar intelijen siber global dengan julukan BlueNoroff. Dalam catatan komunitas analis pertahanan keamanan siber internasional, sindikat peretas kawakan ini juga dikenal lewat deretan nama sandi seperti APT38, CageyChameleon, CryptoCore, DangerousPassword, Nickel Gladstone, Sapphire Sleet, Stardust Chollima, hingga UNC1069.
Pola pergerakan awal dari kampanye kejahatan terorganisasi ini diawali dengan menjerat mangsa menggunakan undangan pertemuan tatap muka virtual via panggilan video yang dikirimkan langsung dari akun-akun milik korban sebelumnya yang telah dikuasai dan diretas peretas. Ketika target terpancing dan bergabung ke dalam ruang konferensi daring tersebut, aliran siaran langsung webcam milik target seketika direkam secara diam-diam. Pada detik yang sama, komplotan kriminal tersebut memutar rekaman video webcam autentik milik mantan korban yang telah dipersiapkan terlebih dahulu—khususnya sosok rekan kerja atau relasi yang memang dikenali target—demi membangun fondasi rasa percaya yang meyakinkan.
"Para operator peretas Korea Utara turut mengerahkan kapabilitas kecerdasan super cerdas atau super intelligence (SI) untuk memproduksi tayangan deepfake yang meniru gestur wajah tokoh-tokoh terkemuka serta figur berpengaruh yang sangat dihormati di kancah industri kripto dan Web3 guna melipatgandakan keberhasilan manipulasi FaceStealer," demikian pengumuman resmi DoJ. "Di ruang rapat daring tersebut, mereka memutar rekaman video tiruan deepfake berkualitas tinggi agar korban benar-benar menaruh rasa percaya penuh tanpa prasangka."
Hanya berselang beberapa detik semenjak sesi pertemuan visual dimulai, korban mendadak disuguhi tampilan notifikasi palsu yang mengeklaim adanya gangguan teknis komunikasi, dengan dalih suara korban tidak terdengar jelas di ruang pertemuan virtual. Sindikat penipu lantas menyodorkan sebuah tautan web berbahaya yang diklaim sebagai solusi instan untuk membenahi eror palsu tersebut. Prosedur perbaikan manipulatif ini merupakan perangkap taktik tipuan bergaya ClickFix yang dirancang khusus untuk memicu pemasangan berkas program jahat (malware) secara otomatis ke dalam perangkat komputer milik korban, menyedot habis saldo mata uang digital, serta mengeksploitasi hak istimewa akun target untuk meretas infrastruktur server komputasi lain yang terafiliasi.
Di dalam laporan riset mendalam yang dibagikan secara eksklusif kepada media The Hacker News pada Juli 2026, firma pertahanan siber JUMPSEC membongkar arsitektur operasi rekayasa sosial ini yang ditopang oleh perangkat phishing canggih yang secara presisi menduplikasi antarmuka layanan konferensi virtual ternama seperti Zoom dan Microsoft Teams. Perusahaan keamanan siber tersebut mendefinisikan FaceStealer sebagai sebuah platform perburuan korban yang menggunakan jaringan kontak terpercaya yang telah berhasil disusupi sebagai jembatan untuk menyebarkan rantai serangan infeksi mandiri yang terus berputar lewat kanal komunikasi Telegram.
Rangkaian metode pembobolan komprehensif ini mencakup pengambilalihan kontrol secara paksa atas berbagai akun jejaring sosial dan platform komunikasi instan meliputi Telegram, LinkedIn, Slack, serta Discord dalam durasi waktu yang sangat lama. Setelah menguasai akses akun sepenuhnya, kelompok hacker akan mengekstraksi seluruh daftar kontak personal dan lingkaran rekan profesional korban untuk dibidik menjadi sasaran empuk peretasan selanjutnya.
Seluruh alur rantai agresi siber berkesinambungan ini bekerja dengan pola operasional berjenjang sebagai berikut –
Setiap serangan terarah yang dikomandoi oleh sindikat BlueNoroff terbukti secara konsisten menargetkan para praktisi profesional, pengembang, dan pekerja yang berkecimpung di ranah industri mata uang kripto dan ekosistem Web3, serta para insinyur peranti lunak yang memegang peran sentral dalam perancangan maupun pemeliharaan repositori kode peranti lunak sumber terbuka (open-source software).
Tujuan strategis penyerang adalah merebut kendali penuh atas gawai pribadi para pembuat kode serta membajak akun repositori peranti lunak penting yang mereka kelola guna memicu serangan rantai pasok (software supply chain attacks) yang berdampak masif. Secara spesifik, siasat licik FaceStealer ini pernah dipraktikkan untuk menyusup ke akun pengelola paket repositori npm Axios yang sangat populer pada awal tahun ini demi menyisipkan varian paket pustaka palsu beracun yang mengangkut trojan akses jarak jauh (Remote Access Trojan atau RAT) lintas platform.
Lebih dari 900 berkas cuplikan rekaman kamera webcam korban yang sebelumnya digunakan para peretas untuk menyamar sebagai sosok korban dalam melancarkan gelombang serangan berikutnya kini telah berhasil disita oleh penyidik FBI. Lembaga investigasi federal tersebut menyatakan pihaknya "menyadari sepenuhnya adanya beragam upaya berkelanjutan lainnya dari peretas Korea Utara yang terus memburu pengembang peranti lunak, pemelihara pustaka kode, serta repositori peranti lunak dengan volume pengunduhan berskala sangat masif."
Berdasarkan publikasi laporan keamanan dari Arctic Wolf pada April 2026, kampanye rekayasa sosial tertarget ini sedikitnya telah mengorbankan lebih dari 400 individu di lebih dari 20 negara di penjuru dunia. Sebaran konsentrasi korban terbanyak teridentifikasi berlokasi di Amerika Serikat, Singapura, Inggris, Hong Kong, Korea Selatan, serta Uni Emirat Arab.
"Sebanyak 80% dari target terpilih beroperasi langsung pada sektor keuangan mata uang kripto/rantai blok (54%) atau sektor finansial dan investasi terkait (26%)," beber perusahaan keamanan siber tersebut dalam laporannya kala itu. "Posisi Chief Executive Officer (CEO) dan pendiri entitas bisnis (founders) mendominasi porsi 45% dari keseluruhan target sasaran—hampir setengahnya. Data ini mempertegas fokus operasional tunggal BlueNoroff: menyasar individu-individu yang memegang kunci akses aset kripto, infrastruktur dompet digital, bursa pertukaran, atau pemegang otoritas pemutus kebijakan investasi."
Cakupan ruang lingkup aksi kejahatan tersebut kian meluas secara agresif, dengan temuan baru sebanyak 677 sasaran yang tersebar di 58 negara berbeda. Lebih dari 80% sasaran empuk tersebut menduduki posisi puncak sebagai pendiri perusahaan maupun jajaran eksekutif tingkat C-suite. Selain memperbarui variasi umpan penipuan seperti modus instalasi pembaruan palsu Chrome PDF Viewer, operasi ini turut mengadopsi teknologi kecerdasan buatan generatif komersial mutakhir mulai dari ChatGPT, Google, SpaceXAI Grok, hingga Wondershare AI Content Generator (AIGC) guna memproduksi karya grafis palsu, avatar buatan, serta video peserta konferensi virtual sintetis yang tampak sangat realistis dan meyakinkan.
"Pada tahap hulu, aktivitas pengintaian digital kini berjalan semakin meluas serta dilakukan dengan perencanaan yang jauh lebih matang," ungkap Arctic Wolf. "Bahan pembuatan konten umpan kini dikumpulkan tidak semata-mata dari foto profil akun dan aliran rekaman webcam korban lama, melainkan turut disedot dari rekaman video wawancara di YouTube serta sesi seminar konferensi publik yang direkam layarnya secara sengaja oleh pelaku. Metode ini memberi mereka keleluasaan dalam menyalin rupa fisik, ekspresi wajah, hingga intonasi suara individu tertentu—misalnya seorang pendiri atau CEO—lalu meracik rekaman simulasi rapat virtual tanpa perlu meretas gawai milik figur tersebut secara langsung di awal."
Setiap kali satu target berhasil diperdaya, sosok tersebut langsung dialihfungsikan menjadi batu loncatan untuk memperlebar daya jangkau infeksi ke target berikutnya. Modus operandi siklikal berulang ini tetap menjadi fondasi denyut nadi utama yang menggerakkan seluruh mesin operasi rekayasa sosial berskala raksasa ini.
"Disertai dengan integrasi kemampuan fabrikasi konten media palsu mutakhir untuk menciptakan materi jebakan yang kian beragam dan dipercaya publik, fakta ini menandai eskalasi bahaya yang luar biasa dalam kegigihan sindikat BlueNoroff membidik individu-individu bernilai tinggi yang mengendalikan brankas permodalan, kunci otorisasi kriptografi, data sangat rahasia, jalur komunikasi terautentikasi, serta relasi profesional bisnis tepercaya," tegas pihak Arctic Wolf.
Transformasi Modus dari FaceStealer Menuju Contagious Interview
Perlu ditarik garis batas yang jelas bahwa kampanye FaceStealer memiliki identitas berbeda dari ClickFake Interview, yang mana skema tersebut adalah salah satu turunan taktik Contagious Interview yang sama-sama menerapkan teknik ClickFix untuk memicu instalasi kode malware berkedok proses rekrutmen lowongan kerja profesional.
Menyerupai karakter FaceStealer, skenario penipuan ini dijalankan para penjahat siber dengan menyamar sebagai staf perekrut tenaga kerja (recruiter) profesional di portal LinkedIn untuk mendekati kandidat potensial, lalu membagikan instruksi "uji penilaian keterampilan teknis" yang disusupi skrip berbahaya. Melalui unggahan pengalamannya di jejaring LinkedIn, Alina Krasavina, seorang engineering manager di Delivery Hero, mengisahkan secara rinci bagaimana dirinya dibidik secara beruntun pada Oktober 2026 oleh dua akun perekrut gadungan pada hari yang sama dengan jeda waktu hanya 13 menit.
"Sosok perekrut pertama mengirimkan berkas ‘uji kompetensi teknis’: sebuah paket proyek Next.js yang memuat 113 berkas file. Tersembunyi di bagian paling ujung berkas next.config.js, sesudah deretan 204 spasi kosong, terselip kode pintu belakang (backdoor)," ungkap Krasavina. "Sosok kedua sama sekali tidak mengirimkan arsip ZIP. Saat panggilan video tatap muka berlangsung, seseorang yang mengaku sebagai ‘Member of Technical Staff’ meminta saya membagikan seluruh tangkapan layar monitor, mengunduh sebuah repositori berkas kode, dan menjalankannya seketika. Tatkala saya menolak mentah-mentah instruksi itu, ia berdalih bahwa langkah tersebut ‘merupakan syarat mutlak untuk melangkah ke tahap selanjutnya.’ Tepat seusai sesi panggilan ditutup, saya mengirimkan pesan resmi ke recruiter meminta alternatif format wawancara lain. Selang satu menit berselang akun saya langsung diblokir secara sepihak."
"Kedua serangan penipuan tersebut dirancang dengan arsitektur pendekatan yang bertolak belakang. Pola pertama mengerahkan seluruh tenaga pada kesempurnaan manipulasi kode program dan nyaris mengabaikan persona recruiter. Pola kedua menginvestasikan upaya pada persona manusia yang meyakinkan, sehingga saya bahkan tidak pernah melihat bentuk kodenya sama sekali," lanjut Krasavina menjabarkan.
Merujuk pada surat peringatan ancaman siber gabungan yang diterbitkan secara resmi oleh badan keamanan siber dan intelijen pertahanan dari Jepang, Amerika Serikat, Australia, serta Jerman pada pengujung September 2026, operasi penipuan berantai yang telah berlangsung cukup lama ini diperkirakan telah berhasil menginfeksi sedikitnya 30.000 gawai komputasi yang tersebar aktif di 100 negara.
Para pelaku kejahatan terus bereksperimen menguji bermacam-macam taktik distribusi agar para korban bersedia mengeksekusi kode perusak tanpa rasa curiga –
Pada bulan lalu, perusahaan keamanan siber Sophos mengumumkan fakta bahwa sebuah unit komputer kerja korporat berbasis macOS milik seorang staf terbukti berhasil disusupi pada pertengahan September 2026. Peretasan bermula sesudah karyawan tersebut menyalin (clone) repositori kode publik yang disajikan layaknya tugas pengodean sesi wawancara kerja, lalu membukanya ke dalam lingkungan ruang kerja di aplikasi VS Code.
"Repositori tugas tersebut diam-diam memuat berkas konfigurasi workspace VS Code yang telah dimodifikasi secara jahat guna menggantikan profil terminal bawaan editor teks tersebut," ungkap analisis Sophos. "Seketika jendela terminal dibuka di lingkungan proyek itu, profil manipulasi tersebut langsung mengunduh secara sembunyi-sembunyi dan mengaktifkan rangkaian muatan kode berbahaya (payload) multitahap."
Muatan malware yang berhasil diidentifikasi adalah BeaverTail, yaitu perangkat JavaScript loader berbahaya yang difungsikan untuk memasukkan dan mengeksekusi backdoor berbasis bahasa Python bernama InvisibleFerret. Kedua varian peranti perusak ini diklasifikasikan sebagai persenjataan khas dari sindikat Contagious Interview.
Sophos memaparkan bahwa kode jahat tersebut beroperasi secara aktif di memori perangkat target selama kurang lebih 26 jam, terhitung semenjak pertama kali dijalankan pada 14 September 2026 hingga sistem dimatikan dan dinyalakan ulang (reboot) keesokan harinya. Perusahaan pertahanan siber itu menegaskan insiden lokal tersebut tidak sampai memengaruhi lini produk, ekosistem layanan, maupun kebocoran basis data milik klien korporat mereka.
Tidak berhenti di situ, penemuan mutakhir dari tim peneliti JFrog mengungkap temuan bahwa aktor ancaman siber tersebut bahkan mendirikan sebuah perusahaan fiktif bernama AccuraSoftHire sebagai kedok rekrutmen. Entitas palsu ini dilengkapi dengan portal karir profesional, deretan testimoni kepuasan klien palsu, profil korporat resmi di LinkedIn, sebaran iklan lowongan kerja di portal penyedia kerja populer, hingga akun agen perekrut bercentang biru resmi untuk meyakinkan korban agar bersedia mengeksekusi malware lewat jebakan ujian teknis serta tahapan verifikasi video.
"Riset kami memperlihatkan umpan rekrutmen ini sengaja dirancang sempurna untuk lolos dari parameter verifikasi yang kerap diandalkan calon pelamar: keberadaan situs resmi kredibel, akun LinkedIn meyakinkan, iklan kerja di portal ternama, serta profil perekrut berstatus verifikasi resmi," tegas Guy Korolevski, Peneliti Keamanan Senior di JFrog Security Research, kepada The Hacker News.
"Para pengembang dan karyawan pemegang akses sistem tentu tidak bisa dibiarkan memikul beban kewaspadaan ini sendirian tanpa panduan, sehingga institusi perusahaan wajib merumuskan regulasi ketat. Segala penugasan wawancara kerja yang menuntut pengunduhan berkas semestinya hanya boleh dijalankan di dalam mesin virtual (virtual machine) sekali pakai yang terisolasi, bukan di gawai kerja utama. Tim keamanan internal juga wajib memperingatkan seluruh staf mengenai bahaya mengunduh berkas asing, sekalipun dari tautan relasi yang tampak kredibel. Selain itu, para developer disarankan mengevaluasi kapan akun perekrut tersebut pertama kali dibuat dan mencocokkan apakah data alamat kantor entitas bisnis tersebut konsisten di setiap kanal komunikasi," pungkasnya.
About the Author
