Biro Investigasi Federal Amerika Serikat (FBI) secara resmi telah memastikan bahwa kelompok peretas yang terafiliasi dengan Republik Demokratik Rakyat Korea (DPRK atau Korea Utara) berhasil merampas aset mata uang kripto bernilai lebih dari 400 juta dolar AS. Kerugian fantastis ini merupakan akumulasi aksi penipuan rekayasa sosial bersandi FaceStealer yang dilancarkan secara masif sepanjang kurun waktu 18 bulan terakhir.
Sebagai bagian dari langkah penindakan terkoordinasi berskala internasional yang baru-baru ini diumumkan oleh otoritas pemerintah Amerika Serikat, seluruh infrastruktur digital berbasis komputasi awan yang dimanfaatkan oleh para pelaku untuk mengeksekusi operasi siber yang tergolong amat sulit terdeteksi ini telah berhasil diamankan serta disita oleh aparat.
Pada saat yang hampir bersamaan, Departemen Kehakiman Amerika Serikat (DoJ) mengumumkan tindakan hukum berizin pengadilan guna membekukan dan menyita aset kripto senilai lebih dari 1,2 miliar dolar AS yang belum lama ini digasak oleh peretas TraderTraitor dari bursa Binance. Dana hasil jarahan digital tersebut dialirkan untuk membiayai program senjata terlarang Pyongyang, tegas DoJ.
"Rezim Korea Utara sangat bertumpu pada dana hasil pencurian aset kripto berskala raksasa demi mendanai pengembangan senjata terlarang mereka, dengan total jarahan bernilai miliaran dolar dalam beberapa tahun terakhir," demikian pernyataan resmi yang ditegaskan oleh Direktur Operasi Cabang Siber FBI, Brett Leatherman.
"Aktor siber Korea Utara telah memanfaatkan skema FaceStealer untuk menyerang individu di industri kripto dan Web3 secara agresif melalui rekayasa sosial manipulatif, merugikan korban lebih dari 400 juta dolar AS selama 1,5 tahun belakangan," imbuh Brett Leatherman.
Berdasarkan pemaparan rinci dari Departemen Kehakiman AS, sindikat FaceStealer beroperasi menggunakan rekaman video curian tanpa izin serta teknologi manipulasi video canggih (deepfake) demi memuluskan aksi pencurian kripto. Karakteristik operasi kriminal ini beririsan langsung dengan temuan kampanye siber yang pernah dipublikasikan oleh Kaspersky pada Oktober 2025 dengan julukan GhostCall.
Rangkaian aktivitas jahat terorganisasi ini terafiliasi kuat dengan sindikat peretas bermotif finansial kenamaan asal Korea Utara yang dinamai BlueNoroff. Kelompok kriminal siber tingkat tinggi ini juga tercatat dalam komunitas intelijen ancaman dengan sederet nama samaran lain, seperti APT38, CageyChameleon, CryptoCore, DangerousPassword, Nickel Gladstone, Sapphire Sleet, Stardust Chollima, hingga UNC1069.
Pola penyerangan ini diawali dengan menjerat target potensial memakai undangan pertemuan daring palsu yang dikirimkan melalui akun-akun sah milik korban terdahulu yang telah dibajak. Sasaran yang menyetujui dan bergabung ke ruang panggilan video akan disadap alur kameranya, sembari disuguhi tayangan webcam pra-rekaman otentik milik kenalan korban demi membangun keyakinan.
"Para peretas Korea Utara ini turut memanfaatkan kecerdasan super (super intelligence/SI) untuk merancang video rekayasa mendalam dari figur-figur berpengaruh di industri mata uang kripto dan ekosistem Web3 guna melipatgandakan efektivitas skema kejahatan FaceStealer," papar DoJ. "Di sini, rekaman palsu itu diputar dalam pertemuan virtual agar korban sepenuhnya percaya."
Berselang hitungan detik setelah sesi tatap muka virtual berjalan, peretas memunculkan pesan gangguan audio pura-pura, mengklaim bahwa suara korban tidak terdengar, lalu menyodorkan tautan untuk menuntaskan problem teknis fiktif tersebut. Tautan berkedok perbaikan ala ClickFix ini dirancang guna memasang malware pencuri kripto sekaligus menyalahgunakan wewenang akses korban pada infrastruktur komputer lainnya.
Melalui laporan komprehensif yang dirilis kepada The Hacker News pada Juli 2026, firma keamanan siber JUMPSEC membongkar bahwa taktik rekayasa sosial ini dibangun di atas perangkat phishing khusus yang meniru platform konferensi video populer semacam Zoom serta Microsoft Teams. JUMPSEC mengkategorikan FaceStealer sebagai sarana akuisisi korban yang memanfaatkan kontak terpercaya guna memicu serangan berantai otomatis lewat Telegram.
Strategi ofensif ini mencakup pembajakan akun media sosial dan platform perpesanan krusial seperti Telegram, LinkedIn, Slack, serta Discord dalam jangka waktu panjang. Tujuannya adalah menyusup ke daftar kontak untuk melancarkan serangan lanjutan terhadap jejaring pertemanan pribadi maupun kolega profesional korban.
Seluruh alur serangan rekayasa sosial canggih ini beroperasi secara terstruktur dan terpadu melalui tahapan-tahapan yang sangat terencana –
Target utama yang dibidik secara konsisten oleh sindikat BlueNoroff adalah kalangan profesional di ranah aset kripto dan teknologi Web3, disertai para pengembang yang memelihara proyek perangkat lunak sumber terbuka (open-source software).
Objektif utamanya ialah menguasai perangkat komputer para pembuat program serta mengambil alih repositori kode yang mereka kelola demi melancarkan serangan rantai pasok perangkat lunak (software supply chain attack). Bukti nyatanya, skema FaceStealer dimanfaatkan untuk memperdaya pengelola pustaka npm populer Axios awal tahun ini, demi menyisipkan versi berbahaya yang memuat Remote Access Trojan (RAT) lintas platform.
Lebih dari 900 file video rekaman webcam korban yang sebelumnya ditimbun peretas untuk melancarkan impersonasi pada serangan-serangan berikutnya kini telah berhasil disita oleh pihak FBI. Biro tersebut menyatakan "menyadari adanya serangkaian percobaan lain oleh peretas Korea Utara dalam menyasar developer, pengelola pustaka kode, dan repositori software berunduhan masif."
Laporan investigasi Arctic Wolf pada April 2026 mengungkap bahwa kampanye penipuan terarah ini telah menimpa lebih dari 400 korban di 20 negara lebih, dengan konsentrasi korban terbesar terdeteksi di Amerika Serikat, Singapura, Inggris, Hong Kong, Korea Selatan, serta Uni Emirat Arab.
"Sebanyak 80 persen target teridentifikasi bekerja langsung di sektor finansial berbasis kripto dan blockchain (54%) atau bidang investasi finansial terkait (26%)," beber perusahaan keamanan siber tersebut kala itu. "CEO dan pendiri perusahaan mencakup 45% dari keseluruhan target. Fakta ini menegaskan fokus operasional BlueNoroff: individu pemilik wewenang atas aset kripto, dompet digital, bursa, atau pengambil keputusan investasi."
Cakupan operasi siber ini kemudian melonjak tajam hingga mencapai 677 target di 58 negara berbeda. Lebih dari 80 persen dari total entitas yang diincar memegang jabatan eksekutif tingkat tinggi (C-suite) dan founder. Selain memunculkan narasi tipuan baru semacam pembaruan palsu Chrome PDF Viewer, sindikat ini mengadopsi kecerdasan buatan generatif dari ChatGPT, Google, SpaceXAI Grok, hingga Wondershare AI Content Generator (AIGC) untuk memproduksi materi visual, avatar, serta video peserta sintetis yang meyakinkan.
"Pada tahap hulu, aktivitas pengintaian kian meluas dan dirancang lebih matang," tambah Arctic Wolf. "Materi pancingan tidak hanya diraup dari foto profil dan rekaman kamera korban terdahulu, melainkan disedot langsung dari rekaman wawancara YouTube dan seminar konferensi. Cara ini memungkinkan peretas menangkap rupa visual dan karakter vokal target—seperti pendiri atau CEO—lalu membuat video pertemuan fiktif tanpa harus meretas korban secara langsung terlebih dahulu."
Setiap entitas baru yang berhasil diperdaya langsung dialihfungsikan sebagai batu loncatan demi memperluas jangkauan kejahatan. Paradigma sirkular inilah yang menjadi tumpuan utama roda operasional rekayasa sosial mereka.
"Kombinasi kemampuan pembuatan media sintetis baru yang menghasilkan materi umpan variatif dan kredibel mencerminkan eskalasi masif upaya BlueNoroff dalam membobol tokoh penting pemegang dana, kunci digital, data privat, saluran komunikasi terotentikasi, serta relasi profesional terpercaya," tegas pihak Arctic Wolf.
Dari FaceStealer Menuju Ancaman Contagious Interview
Perlu digarisbawahi bahwa operasi FaceStealer memiliki perbedaan mendasar dengan fenomena ClickFake Interview, yakni salah satu varian dari skema Contagious Interview yang sama-sama mengandalkan teknik ClickFix guna mengeksekusi kode perusak bermodus lowongan kerja.
Serupa dengan FaceStealer, pelaku penipuan ini mendekati korban potensial dengan menyamar sebagai perekrut tenaga kerja di LinkedIn, lalu menyodorkan berkas "uji kompetensi teknis" yang disusupi malware. Melalui unggahan pengalamannya di LinkedIn, Alina Krasavina, manajer teknik di Delivery Hero, membeberkan kisah saat dirinya dihubungi oleh dua perekrut gadungan pada hari yang sama pada Oktober 2026, berselang hanya 13 menit.
"Perekrut pertama mengirimkan tugas evaluasi teknis berupa proyek Next.js yang memuat 113 file. Tepat pada baris paling akhir file next.config.js, sesudah 204 spasi kosong, tersembunyi sebuah pintu belakang (backdoor)," ungkap Krasavina. "Perekrut kedua sama sekali tidak membagikan arsip ZIP. Saat panggilan video berlangsung, seseorang yang mengaku 'Member of Technical Staff' meminta saya membagikan seluruh layar, mengunduh repositori, lalu menjalankannya. Sewaktu saya menolak, ia berdalih bahwa langkah tersebut 'syarat mutlak untuk melanjutkan proses.' Usai wawancara usai, saya mengabari pihak perekrut untuk meminta format seleksi alternatif. Berselang satu menit, profil saya langsung diblokir."
"Kedua bentuk serangan tersebut dibangun dengan filosofi bertolak belakang. Pola pertama mengerahkan tenaga penuh pada aspek kode dan hampir tidak mempedulikan sosok perekrutnya. Sebaliknya, pola kedua bertumpu total pada manipulasi persona manusia, sampai-sampai saya tidak pernah melihat kodenya secara langsung."
Berdasarkan peringatan keamanan bersama yang diterbitkan lembaga intelijen dan keamanan siber Jepang, Amerika Serikat, Australia, serta Jerman pada pengujung September 2026, operasi penipuan jangka panjang ini diperhitungkan telah menjangkiti setidaknya 30.000 perangkat di 100 negara.
Serangan ini terus mengeksplorasi bermacam-macam teknik penyebaran demi memperdaya target agar bersedia mengeksekusi skrip berbahaya –
Bulan lalu, firma keamanan Sophos mengonfirmasi bahwa komputer jinjing macOS korporat milik salah seorang staf berhasil disusupi pada pertengahan September 2026 sesudah pegawai itu mengkloning repositori kode publik yang disajikan sebagai tes pemrograman wawancara kerja, lalu membukanya di aplikasi VS Code.
"Repositori itu telah ditanami modifikasi file setelan workspace VS Code yang menggantikan konfigurasi profil terminal bawaan editor," ungkap Sophos. "Begitu jendela terminal diaktifkan di dalam workspace, profil yang telah dirusak secara otomatis mengunduh serta mengeksekusi muatan berbahaya multi-tahap di latar belakang."
Komponen perusak yang dimaksud ialah BeaverTail, skrip loader JavaScript yang bertugas mengunduh backdoor Python berlabel InvisibleFerret. Dua keluarga malware ini telah lama dikaitkan dengan sindikat Contagious Interview.
Pihak Sophos menerangkan bahwa muatan jahat tersebut beroperasi secara aktif di dalam memori perangkat selama 26 jam, terhitung sejak dieksekusi pada 14 September 2026 hingga sistem dimuat ulang keesokan harinya. Pihak vendor memastikan insiden ini sama sekali tidak mengorbankan integritas produk, fasilitas layanan, maupun privasi data konsumen mereka.
Selain itu, temuan investigasi terkini dari JFrog membuktikan bahwa aktor kejahatan yang terhubung dengan kampanye ini bahkan mendirikan perusahaan kedok fiktif bernama AccuraSoftHire. Perusahaan cangkang ini dilengkapi situs web karier resmi, testimoni klien, halaman profil LinkedIn resmi, pengumuman lowongan kerja di portal karir ternama, serta profil perekrut bercentang verifikasi biru demi membangun citra terpercaya sebelum akhirnya menjebak pelamar menjalankan malware lewat tes tugas rumah dan verifikasi video.
"Analisis kami menunjukkan umpan-umpan ini sengaja dibangun guna lolos dari indikator verifikasi yang biasa diandalkan publik: laman web profesional, entitas bisnis LinkedIn, iklan lowongan di bursa kerja terpercaya, dan akun rekruter berstatus lencana verifikasi LinkedIn," ucap Guy Korolevski, Peneliti Keamanan Senior di JFrog Security Research, dalam keterangannya kepada The Hacker News.
"Para pengembang dan karyawan lain yang memiliki hak akses sistem tidak bisa dibebani tanggung jawab mendeteksi jebakan semacam itu sendirian, sehingga pihak manajemen perusahaan wajib menetapkan regulasi keamanan ketat. Berkas penugasan wawancara kerja yang mewajibkan pengunduhan data mutlak hanya boleh dijalankan di dalam mesin virtual (VM) sekali pakai, pantang dibuka pada laptop kerja utama. Tim keamanan siber internal juga harus gencar memperingatkan staf mengenai risiko mengunduh file asing, sekalipun bersumber dari pihak yang tampak tepercaya. Programmer juga disarankan teliti memeriksa tanggal pembuatan profil rekruter serta mengecek sinkronisasi lokasi kantor perusahaan di setiap halaman profil publik."
