Biro Investigasi Federal Amerika Serikat (FBI) telah mengonfirmasi bahwa sekelompok pelaku ancaman siber yang terafiliasi dengan Republik Demokratik Rakyat Korea (DPRK atau Korea Utara) berhasil merampas aset mata uang kripto senilai lebih dari $400 juta dalam kurun waktu 18 bulan terakhir melalui sebuah skema rekayasa sosial bersandi FaceStealer.
Sebagai bagian dari rangkaian tindakan terpadu yang diumumkan oleh otoritas pemerintah Amerika Serikat, seluruh infrastruktur berbasis komputasi awan yang dimanfaatkan oleh kelompok tersebut untuk menjalankan kampanye yang sangat sulit dilacak ini telah disita secara resmi.
Pada saat yang bersamaan, Departemen Kehakiman Amerika Serikat (DoJ) juga telah mengumumkan penyitaan serta pembekuan yang disahkan oleh pengadilan terhadap mata uang kripto dengan nilai melebihi $1,2 miliar yang belum lama ini dicuri oleh aktor peretas TraderTraitor yang memiliki kaitan dengan Korea Utara menyusul peristiwa pembobolan terhadap bursa pertukaran kripto ternama, Binance. Seluruh aset digital yang dirampok tersebut digunakan untuk mendanai program pengembangan senjata ilegal milik rezim Pyongyang, tegas pihak DoJ.
"Rezim penguasa Korea Utara sangat bergantung pada hasil kejahatan pencurian mata uang kripto berskala raksasa demi membiayai program senjata terlarang mereka, dengan nominal pencurian mencapai miliaran dolar selama beberapa tahun belakangan ini," ungkap Direktur Operasi Cabang Siber FBI, Brett Leatherman, dalam sebuah pernyataan resminya.
"Para pelaku siber Korea Utara tersebut memanfaatkan operasi FaceStealer guna membidik target individu secara agresif di sektor industri mata uang kripto serta ekosistem Web3 memakai siasat rekayasa sosial yang penuh tipu daya, yang pada akhirnya memicu kerugian berupa hilangnya dana lebih dari $400 juta cuma dalam kurun 18 bulan terakhir."
Berdasarkan keterangan Departemen Kehakiman, operasi FaceStealer bertumpu penuh pada pemanfaatan rekaman video curian serta teknologi deepfake untuk memuluskan tindak pencurian aset kripto targetnya. Sejumlah karakteristik dari aktivitas peretasan ini sangat sejalan dengan temuan kampanye serangan yang pernah dibongkar oleh perusahaan keamanan siber Kaspersky di bawah sebutan GhostCall pada bulan Oktober 2025.
Aksi kejahatan siber tersebut dihubungkan langsung dengan kluster peretas bermotif ekonomi asal Korea Utara yang sangat produktif bernama BlueNoroff, entitas yang juga dikenal secara luas di dunia intelijen ancaman siber lewat nama sandi APT38, CageyChameleon, CryptoCore, DangerousPassword, Nickel Gladstone, Sapphire Sleet, Stardust Chollima, hingga UNC1069.
Pola serangan kampanye ini diawali dengan memancing calon korban potensial melalui undangan pertemuan virtual berbasis video yang dikirimkan langsung dari akun-akun komunikasi curian milik para korban sebelumnya. Target sasaran yang bersedia bergabung dalam konferensi virtual tersebut secara sembunyi-sembunyi akan direkam aliran videonya, sembari secara serentak peretas memutar rekaman video kamera web autentik dari korban terdahulu yang memang dikenal akrab oleh sasaran demi membangun rasa percaya.
"Kelompok peretas Korea Utara ini pun memanfaatkan super intelligence (SI) guna memproduksi video deepfake dari sejumlah tokoh terkemuka dan figur berpengaruh yang kerap berkecimpung di industri kripto serta web3 guna membuat efektivitas skema FaceStealer semakin dahsyat," papar perwakilan DoJ. "Dalam tahapan ini, mereka kembali menayangkan video deepfake tersebut saat pertemuan online berlangsung dengan target demi meraup kepercayaan korban sepenuhnya."
Hanya berselang beberapa detik sesudah sesi tatap muka virtual berjalan, sebuah gangguan kendala teknis rekayasa ditampilkan kepada korban dengan dalih bahwa suara mereka tidak terdengar sama sekali, lalu korban disodori sebuah tautan perbaikan untuk menyelesaikan persoalan palsu itu. Prosedur perbaikan yang disodorkan tersebut sebenarnya merupakan jebakan ClickFix yang dirancang khusus untuk menyusupkan malware ke stasiun kerja korban, merampok isi dompet kripto, sekaligus mengeksploitasi hak istimewa korban untuk menerobos infrastruktur komputer lainnya.
Melalui laporan komprehensif yang dibagikan kepada The Hacker News pada Juli 2026, firma riset keamanan siber JUMPSEC membongkar bagaimana operasi manipulasi psikologis ini dibangun di atas perangkat phishing khusus yang meniru platform pertemuan video ternama seperti Zoom dan Microsoft Teams. Perusahaan siber tersebut melabeli FaceStealer sebagai sebuah platform akuisisi korban yang memanfaatkan kontak terpercaya yang telah disusupi sebagai jembatan pembuka rantai serangan otomatis berantai lewat Telegram.
Metode ini mencakup pembajakan akun-akun media sosial serta aplikasi percakapan digital seperti Telegram, LinkedIn, Slack, serta Discord dalam rentang waktu yang lama, yang kemudian dilanjutkan dengan penyusupan ke buku kontak target guna membidik lingkaran pertemanan pribadi maupun relasi profesional korban.
Seluruh proses serangan tersebut beroperasi dengan pola sistematis sebagai berikut –
Operasi penyerangan yang dilancarkan oleh sindikat BlueNoroff ini diketahui secara spesifik mengincar para pekerja profesional di ranah mata uang kripto dan ekosistem Web3, di samping juga menyasar para pengembang perangkat lunak serta kontributor utama yang aktif memelihara proyek perangkat lunak sumber terbuka (open-source).
Tujuan utama dari penetrasi ini adalah merengkuh kendali fisik atas komputer para pengembang sekaligus menyusupi akun repositori perangkat lunak yang mereka kelola untuk melancarkan serangan rantai pasok perangkat lunak berskala besar. Salah satu kasus nyata, metode manipulasi FaceStealer sempat dilancarkan terhadap pengelola paket npm populer Axios pada awal tahun ini demi mendistribusikan berkas versi berbahaya yang memuat remote access trojan (RAT) lintas platform.
Sebanyak lebih dari 900 materi rekaman kamera web milik korban yang dipakai oleh kawanan peretas untuk menyamar sebagai korban pada serangan berikutnya kini telah berhasil diamankan oleh FBI. Lembaga penegak hukum tersebut menyatakan pihaknya "sangat menyadari adanya berbagai upaya lanjutan lain dari peretas Korea Utara untuk mengincar para developer, pengelola sistem, serta pustaka kode program dengan jumlah unduhan tinggi."
Dalam laporan riset yang dipublikasikan pada April 2026, firma keamanan siber Arctic Wolf menguraikan bahwa kampanye rekayasa sosial tertarget ini sudah menjerat lebih dari 400 korban yang tersebar di lebih dari 20 negara, dengan titik persebaran terbesar berada di Amerika Serikat, Singapura, Inggris Raya, Hong Kong, Korea Selatan, dan Uni Emirat Arab.
"Sebanyak 80% dari target yang berhasil diidentifikasi beroperasi secara langsung di bidang keuangan berbasis kripto/blockchain (54%) atau sektor finansial serta permodalan terkait (26%)," jelas perusahaan siber tersebut kala itu. "Posisi CEO dan pendiri perusahaan saja mencakup 45% dari keseluruhan target sasaran – nyaris setengahnya. Ini mempertegas fokus operasional tunggal BlueNoroff: individu dengan akses langsung ke kepemilikan aset kripto, infrastruktur dompet digital, platform bursa pertukaran, atau pemegang otoritas pembuat keputusan investasi."
Aktivitas kejahatan tersebut belakangan kian meluas jangkauannya, di mana kini ditemukan 677 target di 58 negara berbeda. Lebih dari 80% kalangan yang disasar merupakan para pendiri dan jajaran eksekutif tingkat C-suite. Selain memperkenalkan tema tipuan baru seperti pembaruan palsu Chrome PDF Viewer, kampanye ini memadukan kemajuan teknologi kecerdasan buatan generatif dari ChatGPT, Google, SpaceXAI Grok, hingga Wondershare AI Content Generator (AIGC) untuk memasok para peretas dengan materi visual, avatar sintetis, serta video peserta rapat tiruan yang sangat meyakinkan.
"Pada tahap hulu, aktivitas pengintaian menjadi semakin meluas dan kian diperhitungkan secara cermat," imbuh pihak Arctic Wolf. "Bahan jebakan tidak hanya dikumpulkan dari foto profil dan tangkapan kamera web korban sebelumnya, tetapi turut diambil dari sesi wawancara YouTube dan rekaman seminar konferensi yang direkam layar oleh pelaku. Langkah ini memberi mereka ruang untuk menangkap kemiripan wajah dan karakter suara sosok tertentu – seperti pendiri atau CEO – lalu merekayasa video rapat palsu tanpa harus meretas korban tersebut secara langsung terlebih dahulu."
Setiap entitas korban baru pada hakikatnya membuka koridor segar guna memperluas penetrasi serangan berikutnya. Siklus operasional yang berulang secara berkesinambungan ini tetap menjadi motor penggerak utama di balik masifnya efektivitas operasi rekayasa sosial tersebut.
"Disandingkan dengan kapabilitas mutakhir mereka dalam menciptakan media sintetis palsu demi menghasilkan materi umpan yang bervariasi dan meyakinkan, fenomena ini mencerminkan eskalasi ancaman serius dari upaya BlueNoroff meretas figur bernilai tinggi yang menguasai perputaran dana finansial, kunci penandatanganan rahasia, informasi sensitif, kanal komunikasi terautentikasi, serta jaringan relasi profesional yang saling percaya," terang Arctic Wolf.
Dari FaceStealer Menuju Contagious Interview
Penting untuk digarisbawahi bahwa operasi FaceStealer memiliki perbedaan mendasar dengan taktik ClickFake Interview, sebuah varian dari kampanye Contagious Interview yang juga memanfaatkan metode rekayasa ClickFix untuk mengeksekusi malware berkedok skema rekrutmen tenaga kerja.
Menyerupai pola FaceStealer, skenario ini melibatkan manuver penyerang yang mendekati target dengan berpura-pura menjadi perekrut di kanal media profesional seperti LinkedIn sembari membagikan berkas "uji teknis" yang telah disusupi kode berbahaya. Dalam unggahan di akun LinkedIn pribadinya, Alina Krasavina, seorang manajer teknik di Delivery Hero, membeberkan pengalaman saat dirinya dibidik pada Oktober 2026 oleh dua perekrut gadungan pada hari yang sama dengan jeda waktu hanya 13 menit.
"Perekrut pertama mengirimkan sebuah 'uji kemampuan teknis': sebuah proyek Next.js yang memuat 113 berkas. Tepat di bagian akhir file next.config.js, sesudah spasi kosong sebanyak 204 karakter, terdapat pintu belakang (backdoor) berbahaya," tutur Krasavina. "Perekrut kedua sama sekali tidak mengirimkan berkas arsip ZIP. Dalam sesi panggilan video, seseorang yang mengaku sebagai 'Staf Teknis' mendesak saya membagikan seluruh tampilan layar, mengunduh repositori tertentu, lalu mengeksekusinya. Saat saya menolak, dia berdalih bahwa langkah itu 'menjadi syarat mutlak untuk melangkah ke tahap berikutnya.' Seusai panggilan berakhir, saya menghubungi perekrut itu untuk meminta opsi format wawancara lain. Selang sekitar satu menit kemudian, akun saya langsung diblokir olehnya."
"Dua skema serangan tersebut dibangun dengan filosofi yang saling bertolak belakang. Pola pertama memusatkan seluruh upaya pada kecanggihan kode program dan mengabaikan interaksi perekrut. Sebaliknya, metode kedua bertumpu penuh pada pendekatan personal manusia, di mana saya bahkan tidak pernah melihat kode programnya secara langsung."
Merujuk pada peringatan keamanan siber bersama yang diterbitkan oleh badan intelijen dan siber dari Jepang, Amerika Serikat, Australia, serta Jerman pada akhir September 2026, rangkaian serangan berantai yang berjalan dalam waktu panjang ini diperkirakan telah berhasil menginfeksi setidaknya 30.000 perangkat yang tersebar di 100 negara.
Rangkaian serangan tersebut terus mengeksplorasi beraneka metode penyusupan guna memperdaya korban agar bersedia mengeksekusi kode program perusak –
Bulan lalu, perusahaan keamanan siber Sophos mengungkapkan bahwa sebuah perangkat kerja macOS milik karyawan korporat sempat terinfeksi pada pertengahan September 2026 sesudah pegawai bersangkutan mengkloning repositori kode publik yang disajikan sebagai tugas wawancara kerja lalu membukanya sebagai lembar kerja di editor VS Code.
"Repositori yang diunduh tersebut menyimpan file pengaturan workspace VS Code yang telah dimodifikasi secara jahat untuk menggantikan profil terminal bawaan editor," papar pihak Sophos. "Begitu terminal dibuka di dalam workspace tersebut, konfigurasi yang diubah itu seketika mengunduh secara diam-diam dan menjalankan rangkaian muatan berbahaya secara bertahap."
Muatan berbahaya yang dimaksud merupakan BeaverTail, sebuah JavaScript loader yang bertugas mengantarkan backdoor berbasis bahasa Python bernama InvisibleFerret. Kedua varian perangkat perusak tersebut terafiliasi erat dengan operasi kampanye Contagious Interview.
Sophos merinci bahwa malware tersebut sempat aktif berjalan di memori perangkat target selama sekitar 26 jam, terhitung sejak mulai dieksekusi pada 14 September 2026 hingga sistem dinyalakan ulang keesokan harinya. Pihak perusahaan memastikan insiden tersebut sama sekali tidak berdampak pada produk, layanan, data nasabah, maupun integritas sistem komputasi mereka.
Lebih jauh lagi, laporan investigasi terbaru yang dirilis oleh JFrog menyingkap fakta bahwa kelompok penjahat siber di balik kampanye ini bahkan mendirikan perusahaan kedok bernama AccuraSoftHire, lengkap dengan situs web rekrutmen khusus, ulasan testimoni klien fiktif, laman organisasi di LinkedIn, sebaran iklan lowongan kerja di portal karir ternama, hingga akun perekrut berstatus terverifikasi demi meyakinkan para pelamar sebelum akhirnya menjebak mereka mengeksekusi malware lewat tes pemrograman rumah dan tahapan verifikasi video palsu.
"Hasil pengamatan kami mengonfirmasi bahwa jebakan semacam ini dirancang khusus agar lolos dari verifikasi standar yang biasa dipercayai para profesional: website berpenampilan meyakinkan, profil LinkedIn mapan, pengumuman lowongan di bursa kerja terkemuka, serta agen perekrut dengan centang verifikasi resmi LinkedIn," kata Guy Korolevski, peneliti keamanan senior di JFrog Security Research, dalam pernyataannya kepada The Hacker News.
"Para pengembang aplikasi serta karyawan korporat dengan hak akses sistem tidak bisa dituntut untuk mengantisipasi muslihat canggih ini sendirian tanpa panduan, sehingga pihak manajemen perusahaan wajib menetapkan protokol tegas. Pengerjaan materi tes rekrutmen yang mengharuskan proses unduhan berkas wajib dijalankan semata-mata di dalam lingkungan mesin virtual sekali pakai (disposable virtual machine), tidak boleh pada laptop operasional kerja. Tim divisi keamanan juga mesti mewanti-wanti staf agar berhati-hati mengunduh berkas asing, kendati berasal dari pihak yang tampak tepercaya. Selain itu, developer dapat memvalidasi tanggal pembuatan akun perekrut serta memastikan konsistensi lokasi kantor perusahaan di setiap portal daring yang ada."
