Biro Investigasi Federal Amerika Serikat atau Federal Bureau of Investigation (FBI) sudah memastikan secara resmi bahwasanya kelompok peretas berbahaya yang mempunyai hubungan langsung dengan Republik Demokratik Rakyat Korea (DPRK atau yang lazim dikenal sebagai Korea Utara) berhasil merampas aset mata uang kripto dengan total nilai melampaui angka fantastis yaitu 400 juta dolar Amerika Serikat. Tindakan kriminal siber berskala global ini dilancarkan secara terencana melalui sebuah skema rekayasa sosial manipulatif yang diberi nama sandi FaceStealer selama kurun waktu delapan belas bulan paling akhir.
Sebagai wujud konkret dari serangkaian langkah koordinasi terpadu yang dipublikasikan secara terbuka oleh jajaran pemerintah federal Amerika Serikat, seluruh fondasi infrastruktur digital berbasis komputasi awan yang dimanfaatkan oleh komplotan bersangkutan demi mengeksekusi operasi penipuan siber yang dinilai amat sangat sukar terendus tersebut pada saat ini telah secara tuntas disita dan diambil alih oleh aparat penegak hukum.
Bersamaan dengan pengumuman tersebut, Departemen Kehakiman Amerika Serikat atau U.S. Department of Justice (DoJ) mengumumkan pula tindakan penyitaan formal serta pembekuan aset mata uang kripto senilai lebih dari 1,2 miliar dolar Amerika Serikat berdasarkan izin otorisasi legal pengadilan federal. Dana kripto dalam nominal masif ini diketahui baru saja dirampok oleh sel peretas TraderTraitor yang berafiliasi kuat dengan Korea Utara menyusul terjadinya peretasan besar-besaran terhadap platform pertukaran aset mata uang kripto global Binance. DoJ menyatakan secara tegas bahwa tumpukan aset kekayaan digital hasil jarahan peretasan tersebut sengaja difungsikan oleh rezim Pyongyang sebagai sumber pembiayaan utama bagi kelangsungan program senjata gelap terlarang mereka.
"Rezim penguasa Korea Utara sangat bertumpu pada dana hasil kejahatan pencurian aset mata uang kripto berskala raksasa guna membiayai kelanjutan proyek persenjataan ilegal mereka, di mana mereka terbukti berhasil merampas miliaran dolar uang tunai digital dalam kurun waktu beberapa tahun belakangan ini," kata Direktur Operasi Cabang Siber FBI Brett Leatherman dalam keterangan tertulisnya.
"Aparat peretas siber Korea Utara memanfaatkan skema FaceStealer ini untuk secara terstruktur dan teramat agresif memburu individu-individu profesional yang berkecimpung di dalam ekosistem industri mata uang kripto dan sektor Web3 lewat penerapan taktik manipulasi rekayasa sosial yang luar biasa licik, yang pada akhirnya membuahkan hasil berupa raibnya dana digital melebihi nominal 400 juta dolar Amerika Serikat dalam rentang waktu delapan belas bulan belakangan," lanjut Leatherman.
Berdasarkan paparan mendalam dari Departemen Kehakiman AS, aksi FaceStealer bekerja dengan memanfaatkan rekaman video webcam yang diambil secara diam-diam tanpa izin serta video rekayasa artificial intelligence atau deepfake demi memuluskan pencurian uang kripto. Berbagai pola taktik di dalam aktivitas siber ini mempunyai kemiripan struktural yang sangat erat dengan kampanye penyerangan digital yang sebelumnya telah didokumentasikan secara rinci oleh perusahaan riset Kaspersky lewat label sandi GhostCall pada bulan Oktober 2025.
Seluruh rentetan aktivitas kriminal canggih ini berakar pada pergerakan kelompok ancaman peretas bermotif finansial kelas kakap asal Korea Utara yang diawasi di bawah sandi BlueNoroff. Kelompok kriminal yang sangat aktif dan produktif ini juga dikenal luas dalam komunitas intelijen ancaman siber dengan berbagai sebutan alternatif, seperti APT38, CageyChameleon, CryptoCore, DangerousPassword, Nickel Gladstone, Sapphire Sleet, Stardust Chollima, dan UNC1069.
Siasat kampanye penipuan ini diawali dengan memikat calon mangsa memakai undangan pertemuan rapat video daring resmi yang dikirimkan menggunakan akun-akun milik korban peretasan terdahulu yang telah dikuasai pelaku. Begitu individu sasaran terbujuk masuk ke dalam ruang panggilan konferensi tersebut, siaran langsung webcam sang sasaran segera direkam secara sembunyi-sembunyi, seraya para peretas menayangkan rekaman video webcam autentik milik kolega yang pernah mereka bobol sebelumnya guna menumbuhkan rasa percaya korban secara instan.
"Kelompok peretas Korea Utara ini juga menerapkan super intelligence (SI) untuk memproduksi tayangan video deepfake dari tokoh-tokoh terkemuka serta figur paling berpengaruh di jagat industri kripto maupun sektor web3, yang menjadikan operasi FaceStealer ini berjalan jauh lebih mematikan," ungkap perwakilan DoJ. "Dalam konteks ini, mereka kembali menyisipkan rekaman video deepfake tiruan tersebut ke dalam sesi pertemuan rapat bersama target sasaran untuk merebut rasa percaya korban sepenuhnya."
Hanya berselang beberapa detik sesudah ruang panggilan konferensi video berjalan, pelaku memunculkan notifikasi kendala teknis palsu di hadapan korban, yang menyatakan bahwa suara mikrofon sang korban tidak terdengar oleh peserta lain, lalu korban disodori sebuah tautan perbaikan untuk menyelesaikan gangguan fiktif tersebut. Tautan perbaikan itu sesungguhnya adalah jebakan manipulasi berformat ClickFix yang secara sistematis diprogram guna menyusupkan piranti lunak berbahaya (malware) ke komputer milik korban, menyedot simpanan kripto, sekaligus mengeksploitasi hak akses akun sang korban menuju infrastruktur komputer lainnya.
Lewat sebuah laporan investigasi komprehensif yang dibagikan kepada portal media The Hacker News pada bulan Juli 2026, lembaga keamanan JUMPSEC membongkar bagaimana keseluruhan kerangka operasi rekayasa sosial ini dibangun di atas fondasi kit phishing yang dirancang khusus untuk memalsukan tampilan antarmuka platform video konferensi ternama seperti Zoom serta Microsoft Teams. Entitas keamanan siber tersebut menjuluki FaceStealer sebagai sebuah platform akuisisi korban yang memanfaatkan kontak tepercaya yang telah terkompromi sebagai jembatan perantara guna mengobarkan rantai serangan siber yang mampu mereplikasi dan menyebarkan dirinya sendiri secara liar melalui aplikasi perpesanan Telegram.
Praktik peretasan ini mencakup tindakan pembajakan akun-akun media sosial serta kanal komunikasi profesional penting seperti Telegram, LinkedIn, Slack, hingga Discord selama kurun waktu yang cukup panjang, yang kemudian disusul dengan pembobolan seluruh daftar kontak pribadi milik korban demi membidik lingkaran relasi personal serta jejaring profesional mereka.
Keseluruhan jalannya skema serangan penipuan siber yang sangat terorganisir ini beroperasi melalui urutan sebagai berikut –
Operasi penyerangan siber terorganisasi yang dilancarkan oleh BlueNoroff dikenal selalu membidik secara spesifik individu-individu yang berkarier di industri mata uang kripto serta ekosistem Web3, di samping juga menyasar para praktisi teknologi yang terlibat langsung dalam proses pengembangan serta pemeliharaan kode program perangkat lunak sumber terbuka (open-source software).
Misi pokok dari aksi penyusupan ini adalah merengkuh kendali penuh atas gawai komputer milik pengembang serta akun repositori penyimpanan kode yang mereka kelola untuk melancarkan sabotase rantai pasok perangkat lunak berskala besar. Salah satu bukti nyatanya, skema FaceStealer ini terbukti sempat dikerahkan untuk memperdaya pengelola sah dari paket pustaka Axios npm yang sangat populer pada awal tahun ini demi mengedarkan versi kode yang telah disusupi backdoor yang mengantarkan varian remote access trojan (RAT) lintas platform.
Aparat FBI kini telah mengamankan lebih dari 900 berkas rekaman video webcam milik para korban yang sebelumnya dieksploitasi oleh para peretas untuk menyamar sebagai sosok korban dalam babak serangan penipuan berikutnya. Pihak biro federal menyatakan bahwa pihaknya "menyadari sepenuhnya adanya sejumlah manuver lanjutan yang diupayakan oleh para peretas Korea Utara dalam membidik kalangan pengembang piranti lunak, penanggung jawab repositori, serta pustaka kode digital dengan volume unduhan tinggi."
Di dalam laporan riset yang diterbitkan pada bulan April 2026, firma keamanan siber Arctic Wolf menguraikan bahwa kampanye rekayasa sosial terarah ini sudah berhasil menjerat lebih dari 400 korban di lebih dari 20 yurisdiksi negara, dengan konsentrasi korban terbanyak berpusat di kawasan Amerika Serikat, Singapura, Inggris, Hong Kong, Korea Selatan, dan Uni Emirat Arab.
"Sebanyak 80% dari target sasaran yang teridentifikasi beroperasi secara langsung pada bidang keuangan mata uang kripto/rantai blok (54%) atau sektor finansial dan investasi terkait (26%)," jelas perusahaan keamanan siber tersebut kala itu. "Posisi Chief Executive Officer (CEO) dan pendiri entitas bisnis saja menyumbang 45% dari keseluruhan target yang diincar – hampir separuh total keseluruhan. Realitas ini menegaskan fokus sasaran operasional tunggal BlueNoroff: para individu yang memegang kuasa akses atas aset mata uang kripto, infrastruktur dompet digital, platform bursa pertukaran, atau mereka yang memiliki otoritas penentu kebijakan investasi."
Jangkauan operasi peretasan tersebut sejak saat itu terus mengalami lonjakan drastis, di mana setidaknya ada 677 target potensial yang telah teridentifikasi dan tersebar di 58 negara berdaulat. Lebih dari 80% dari total sasaran yang dibidik merupakan kalangan pendiri bisnis serta eksekutif level C-suite. Di samping menciptakan tema-tema umpan tipuan baru semisal notifikasi pembaruan palsu Chrome PDF Viewer, kampanye siber ini turut mengintegrasikan teknologi generative AI terkini dari ChatGPT, Google, SpaceXAI Grok, dan Wondershare AI Content Generator (AIGC) guna memasok kelompok penyerang dengan aset visual, karakter avatar buatan, serta video tiruan peserta rapat yang tampak meyakinkan.
"Pada level pemantauan hulu, aktivitas pengintaian target kini berkembang jauh lebih lebar sekaligus dilakukan secara lebih terencana," tambah pihak perusahaan keamanan tersebut. "Materi umpan rekayasa tidak sekadar dikumpulkan dari foto profil akun dan rekaman webcam korban terdahulu saja, melainkan dipanen dari cuplikan rekaman wawancara YouTube dan sesi seminar konferensi publik yang direkam layarnya secara sengaja oleh pelaku. Prosedur ini memungkinkan mereka menduplikasi postur fisik, mimik rupa, dan intonasi suara individu tertentu – semisal sosok pendiri perusahaan, atau seorang CEO – lalu meracik rekaman pertemuan rapat palsu tanpa perlu meretas sang figur secara langsung terlebih dahulu."
Tiap-tiap individu yang terjerat menjadi korban baru secara otomatis membuka pintu masuk bagi peretas untuk memperluas jangkauan kejahatan mereka. Perputaran siklus modus operandi berulang inilah yang senantiasa menjadi mesin penggerak utama di balik keberhasilan operasi rekayasa sosial manipulatif tersebut.
"Disandingkan dengan kapabilitas baru mereka dalam meracik konten media palsu untuk menyuguhkan konten umpan yang bervariasi sekaligus sangat kredibel, situasi ini menjadi eskalasi ancaman serius dari ikhtiar BlueNoroff guna meretas para tokoh bernilai tinggi yang memegang kendali atas dana perusahaan, kunci tanda tangan digital, rahasia korporasi, sarana komunikasi terotentikasi, serta jaringan relasi kerja yang saling memercayai," beber Arctic Wolf.
Dari Skema FaceStealer Menuju Ancaman Contagious Interview
Perlu digarisbawahi secara tegas di sini bahwa kampanye FaceStealer ini mempunyai perbedaan mendasar bila disandingkan dengan ClickFake Interview, sebuah variasi turunan dari skema Contagious Interview yang sama-sama menerapkan trik ClickFix guna memicu pengeksekusian kode berbahaya malware sebagai bagian dari rentetan modus bertema lamaran rekrutmen tenaga kerja.
Mirip dengan FaceStealer, taktik ini melibatkan pendekatan para pelaku penyerang terhadap calon korban dengan berpura-pura menjadi agen perekrut kerja di media profesional semisal LinkedIn sembari menyodorkan berkas berkode "uji kompetensi teknis" yang telah dipasangi muatan malware. Dalam sebuah tulisan pengalaman yang diunggah di platform LinkedIn, Alina Krasavina, seorang engineering manager di perusahaan global Delivery Hero, menceritakan secara detail pengalaman dirinya saat dihubungi oleh dua orang agen perekrut palsu pada hari yang sama di bulan Oktober 2026, yang hanya berjarak 13 menit saja.
"Perekrut yang pertama mengirimkan sebuah dokumen 'asesmen teknis': berupa proyek Next.js yang memuat 113 berkas file. Pada bagian baris akhir dari berkas next.config.js, sesudah jeda spasi sebanyak 204 ketukan, tersembunyi sebuah pintu belakang atau backdoor," tutur Krasavina. "Perekrut yang kedua sama sekali tidak menyodorkan berkas zip apa pun. Di dalam panggilan konferensi video, seorang yang mengaku sebagai 'Member of Technical Staff' menuntut saya untuk membagikan seluruh tangkapan layar monitor, mengunduh sebuah repositori sistem, lalu menjalankannya langsung di laptop. Tatkala saya menolak mentah-mentah, dia berdalih bahwa langkah itu adalah 'prasyarat mutlak demi melanjutkan proses seleksi.' Seusai panggilan berakhir, saya langsung menghubungi sang perekrut guna meminta format tes wawancara yang lain. Sekitar satu menit kemudian, akun saya langsung diblokir total olehnya."
"Kedua serangan siber ini dibangun dengan dua pendekatan yang saling bertolak belakang. Pihak yang pertama mengerahkan seluruh tenaga pada kualitas susunan kode dan nyaris mengabaikan peran kepribadian sang perekrut. Sedangkan pihak yang kedua mencurahkan seluruh konsentrasi pada performa interaksi manusia, dan saya bahkan tak sempat melihat sebaris kode pun darinya."
Menilik dokumen peringatan keamanan siber bersama yang dirilis oleh jajaran lembaga intelijen dan keamanan siber gabungan asal Jepang, Amerika Serikat, Australia, serta Jerman pada akhir September 2026, rentetan kampanye spionase siber yang sudah berlangsung cukup lama ini diperkirakan sudah menginfeksi setidaknya 30.000 unit perangkat komputer yang tersebar di 100 negara di berbagai belahan dunia.
Rentetan serangan manipulatif ini terus bereksperimen menguji rupa-rupa metode penyusupan demi memperdaya para korbannya agar bersedia mengaktifkan baris kode berbahaya –
Pada bulan lalu, perusahaan keamanan siber Sophos membeberkan bahwa sebuah perangkat komputer kerja macOS milik seorang pegawai korporat berhasil disusupi peretas pada pertengahan September 2026 setelah pegawai tersebut menduplikasi repositori kode publik yang disodorkan sebagai tugas pengkodean seleksi kerja, lalu membukanya sebagai lembar kerja di aplikasi VS Code.
"Repositori digital tersebut menyembunyikan berkas setelan ruang kerja VS Code yang telah dimodifikasi menjadi senjata siber, yang secara otomatis menggantikan profil terminal bawaan di dalam aplikasi editor," jelas analis perusahaan keamanan siber tersebut. "Tatkala jendela terminal diaktifkan di dalam ruang kerja tersebut, pengaturan profil yang telah direkayasa itu secara diam-diam mengunduh serta mengeksekusi muatan payload multi-tahap berbahaya."
Muatan berbahaya yang dimaksud dalam insiden ini tidak lain adalah BeaverTail, sebuah piranti pemuat berbasis JavaScript yang difungsikan untuk memasukkan muatan pintu belakang Python bernama InvisibleFerret. Dua famili perangkat lunak perusak tersebut secara konsisten selalu dikaitkan erat dengan operasi Contagious Interview.
Sophos menyatakan bahwa perangkat lunak jahat tersebut beroperasi di dalam memori perangkat selama sekitar 26 jam penuh, terhitung semenjak mula-mula dijalankan pada tanggal 14 September 2026 sampai gawai tersebut dimatikan dan dinyalakan ulang keesokan harinya. Insiden siber ini ditegaskan tidak menimbulkan dampak gangguan apa pun terhadap produk atau layanan perusahaan, serta tidak menyentuh integritas data pelanggan maupun sistem mereka, imbuh Sophos.
Bukan hanya itu saja, hasil investigasi terbaru yang dirilis oleh JFrog menyingkap fakta bahwa kelompok pelaku kejahatan siber yang terhubung dengan kampanye peretasan ini bahkan mendirikan sebuah perusahaan fiktif bernama AccuraSoftHire, yang diperlengkapi secara utuh dengan situs portal karier resmi, testimoni ulasan klien, laman korporat LinkedIn, iklan lowongan kerja di portal pencari kerja ternama, hingga akun agen perekrut yang mengantongi lencana verifikasi demi membangun kesan kredibel sebelum akhirnya menjerat para pelamar kerja agar mengeksekusi malware lewat instruksi tugas seleksi beracun serta tahapan verifikasi video.
"Hasil telaah riset kami membuktikan bahwa jebakan-jebakan ini memang dipersiapkan secara presisi untuk menembus parameter validasi yang lazimnya dipercayai masyarakat: website perusahaan yang tampak profesional, laman resmi di LinkedIn, publikasi lowongan di bursa kerja ternama, serta figur perekrut bercentang biru verifikasi LinkedIn," papar Guy Korolevski, selaku peneliti keamanan senior di divisi JFrog Security Research, dalam pernyataan resmi yang disampaikan kepada The Hacker News.
"Kita tentu tidak bisa membebankan tanggung jawab kepada para pengembang sistem atau staf kantor yang memiliki hak akses sistem penting untuk mendeteksi ancaman manipulatif secanggih itu sendirian, sehingga pihak manajemen perusahaan wajib menetapkan protokol pencegahan yang ketat. Berkas tugas seleksi kerja yang menuntut proses pengunduhan hanya boleh dieksekusi di dalam mesin virtual sekali pakai (disposable virtual machine), dan dilarang keras dibuka di laptop operasional kantor. Tim divisi keamanan siber juga wajib memberi peringatan berkala kepada seluruh staf agar tidak sembarangan mengunduh berkas asing, kendati berkas tersebut datang dari pihak yang sepintas tampak meyakinkan. Para pengembang pun disarankan meneliti tanggal pembuatan profil sang perekrut serta mencocokkan konsistensi alamat kantor di tiap laman situs."
