Biro Investigasi Federal Amerika Serikat (FBI) secara resmi memastikan bahwa sekelompok aktor ancaman siber yang terafiliasi dengan Republik Demokratik Rakyat Korea (DPRK atau Korea Utara) telah melancarkan pencurian aset mata uang kripto dengan total nilai menembus lebih dari $400 juta dalam kurun waktu satu setengah tahun terakhir, memanfaatkan taktik rekayasa sosial manipulatif bersandi FaceStealer.
Melalui serangkaian langkah koordinasi terpadu yang dipublikasikan oleh otoritas pemerintah Amerika Serikat, seluruh infrastruktur berbasis komputasi awan yang difungsikan untuk mengoperasikan serangan canggih berstatus sangat sukar diidentifikasi ini telah berhasil diamankan dan disita secara tuntas.
Pada saat yang hampir bersamaan, Departemen Kehakiman AS (DoJ) mengumumkan pembekuan serta penyitaan berbasis izin resmi pengadilan terhadap aset digital kripto bernilai lebih dari $1,2 miliar, yang baru-baru ini dibobol oleh kelompok siber terafiliasi Korea Utara berlabel TraderTraitor pascainsiden peretasan bursa perdagangan kripto terkemuka Binance. Pihak DoJ menambahkan keterangan tegas bahwa kumpulan modal digital curian tersebut sengaja dialirkan untuk membiayai dan menyokong aktivitas program persenjataan terlarang rezim Pyongyang.
"Pemerintahan Korea Utara sangat bergantung pada perolehan dari pencurian mata uang kripto dalam skala masif guna menyokong pendanaan program persenjataan terlarangnya, setelah menggasak pundi-pundi miliaran dolar dalam periode beberapa tahun belakangan ini," ungkap Direktur Operasi Cabang Siber FBI Brett Leatherman dalam pernyataan resminya.
"Kelompok peretas Pyongyang ini telah menerapkan skema FaceStealer secara agresif dan terarah kepada orang-orang yang beraktivitas di ranah industri mata uang kripto serta ekosistem Web3 memakai siasat rekayasa sosial manipulatif, yang berujung pada terjadinya pengurasan aset hingga melebihi $400 juta dalam kurun waktu 18 bulan terakhir."
Sesuai pemaparan materi dari Departemen Kehakiman, metode operasi FaceStealer bersandar pada penggunaan rekaman video rahasia serta rekayasa visual deepfake guna memperlancar pencurian koin kripto. Sejumlah karakteristik operasional dari ancaman siber ini menunjukkan kesamaan teknis yang identik dengan aktivitas kejahatan digital terstruktur yang sebelumnya pernah didokumentasikan Kaspersky dengan label GhostCall pada Oktober 2025.
Aktivitas kejahatan siber berorientasi profit moneter ini berkaitan langsung dengan sindikat peretas kawakan asal Korea Utara yang dipantau dengan nama BlueNoroff, entitas yang juga memiliki rekam jejak luas lewat sederet identitas samaran lain seperti APT38, CageyChameleon, CryptoCore, DangerousPassword, Nickel Gladstone, Sapphire Sleet, Stardust Chollima, maupun kode pelacakan UNC1069.
Rentetan kampanye penipuan ini dijalankan dengan memancing para target potensial lewat undangan pertemuan video online yang disebarkan langsung memakai akun hasil curian milik para korban terdahulu. Target yang berhasil terbujuk masuk ke ruang tatap muka virtual tersebut akan langsung disadap dan direkam aliran videonya secara diam-diam, sembari pelaku menampilkan rekaman webcam orisinal korban terdahulu yang memang dikenal oleh target guna membangun rasa percaya secara instan.
"Para peretas Korea Utara ini juga turut memanfaatkan kecerdasan super (SI) dalam memproduksi rekaman video deepfake dari profil tokoh-tokoh terkemuka dan berpengaruh di lingkungan kripto maupun Web3, sehingga skema FaceStealer bekerja jauh lebih meyakinkan dan ampuh," urai DoJ secara terperinci. "Di ruang percakapan tersebut, mereka memutar rekaman manipulasi deepfake kepada sasaran demi meraup kepercayaan korban sepenuhnya."
Hanya berselang beberapa detik semenjak sesi panggilan dimulai, sebuah peringatan kendala teknis palsu disodorkan kepada korban dengan klaim manipulatif bahwa suara mereka tidak dapat terdengar di ruangan rapat, disertai tautan khusus untuk menyelesaikan problem fiktif tersebut. Trik perbaikan instan tersebut merupakan jebakan bergaya ClickFix yang diprogram khusus untuk memasang program jahat atau malware ke dalam perangkat kerja korban, menguras koin kripto, sekaligus mengeksploitasi hak istimewa korban guna menyusup ke infrastruktur komputer lainnya.
Berdasarkan kajian mendalam dan komprehensif yang dibagikan kepada The Hacker News pada Juli 2026, firma keamanan siber JUMPSEC membongkar bagaimana instrumen rekayasa sosial ini dibangun di atas perangkat phishing yang secara spesifik meniru tampilan antarmuka aplikasi konferensi video ternama seperti Zoom dan Microsoft Teams. Lembaga keamanan siber ini melabeli FaceStealer sebagai sebuah platform akuisisi korban yang memanfaatkan kontak terpercaya yang telah diretas sebagai jembatan untuk memicu rantai serangan mandiri yang menyebar luas via aplikasi Telegram.
Skenario penyusupan sistematis ini meliputi tindakan pembajakan platform percakapan daring dan media sosial seperti Telegram, LinkedIn, Slack, serta Discord dalam jangka waktu lama, yang kemudian dilanjutkan dengan penyusupan ke daftar kontak korban guna membidik relasi personal hingga lingkungan kerja profesional mereka secara bertahap.
Rangkaian skema serangan siber ini beroperasi dengan runtutan sistematis dari tahap awal hingga eksekusi akhir secara menyeluruh melalui tahapan terencana.
Rentetan serangan yang dilancarkan BlueNoroff terbukti secara konsisten mengarahkan bidikan secara khusus kepada individu-individu yang berkarir di sektor industri mata uang kripto dan ranah Web3, di samping membidik praktisi yang terlibat langsung dalam proses pembuatan maupun pengelolaan proyek perangkat lunak sumber terbuka (open-source).
Tujuan utama para peretas adalah mendapatkan kendali akses terhadap perangkat milik para pengembang serta menguasai akun repositori perangkat lunak yang mereka kelola demi memuluskan jalannya sabotase rantai pasok perangkat lunak berskala besar. Salah satu kasus penting terjadi ketika skema FaceStealer dipakai untuk menyasar sang pengelola dari paket npm populer bernama Axios di awal tahun ini, guna menyisipkan versi berisi trojan yang menyebarkan trojan akses jarak jauh (RAT) lintas platform.
Hingga kini, lebih dari 900 materi rekaman kamera web milik korban yang sebelumnya dieksploitasi oleh kelompok penyerang untuk menyamar sebagai profil rekanan pada gelombang serangan lanjutan telah berhasil diamankan oleh FBI. Lembaga investigasi federal tersebut mengungkapkan bahwa pihaknya "menyadari adanya sejumlah upaya lain yang digencarkan oleh peretas Korea Utara dalam menyasar para pembuat kode, pengelola repositori, dan pustaka perangkat lunak dengan volume unduhan tinggi."
Dalam laporan penelitian independen yang dirilis secara resmi pada April 2026, firma riset Arctic Wolf mengonfirmasi bahwa operasi rekayasa sosial tertarget ini telah menjerat lebih dari 400 korban di lebih dari 20 negara, dengan titik persebaran dominan terkonsentrasi di wilayah Amerika Serikat, Singapura, Inggris, Hong Kong, Korea Selatan, dan Uni Emirat Arab.
"Sebanyak 80% dari target teridentifikasi beroperasi langsung di sektor keuangan kripto/blockchain (54%) atau sektor keuangan dan investasi yang berkaitan erat (26%)," catat firma keamanan siber tersebut pada saat itu. "CEO dan pendiri perusahaan saja mencakup 45% dari keseluruhan target sasaran – mendekati separuhnya. Fakta ini menegaskan fokus operasional tunggal BlueNoroff: individu yang memegang akses langsung ke aset kripto, infrastruktur dompet digital, platform bursa pertukaran, atau pihak dengan wewenang pengambil keputusan investasi."
Aktivitas kejahatan siber ini kemudian berkembang kian masif, dengan ditemukannya 677 target potensial yang terpetakan secara rinci di 58 negara berdaulat. Lebih dari 80% dari sasaran terpilih tersebut menduduki posisi sebagai pendiri usaha serta jajaran direksi tingkat atas (C-suite). Selain menyisipkan tema umpan baru seperti paket pembaruan palsu untuk Chrome PDF Viewer, operasi ini turut mengadopsi teknologi kecerdasan buatan generatif dari ChatGPT, Google, SpaceXAI Grok, hingga Wondershare AI Content Generator (AIGC) guna memasok bahan visual artistik, avatar buatan, serta video peserta sintetis yang tampak sangat realistis.
"Pada tahap hulu pengintaian awal, aktivitas intelijen peretas kini telah meluas dan bertransformasi menjadi jauh lebih terencana," tambah pihak firma keamanan tersebut. "Materi pancingan tidak cuma disedot dari foto profil maupun rekaman webcam korban sebelumnya, melainkan dicuri langsung dari video wawancara di YouTube serta rekaman seminar konferensi yang direkam layarnya oleh pelaku. Prosedur ini memudahkan mereka menduplikasi rupa dan karakteristik vokal sosok tertentu – misalnya pendiri atau CEO – lalu menciptakan video pertemuan fiktif tanpa harus meretas korban bersangkutan terlebih dahulu."
Setiap profil korban baru yang terjerat akan langsung dialihfungsikan sebagai pintu masuk strategis untuk mengekspansi serangan ke lingkaran jejaring berikutnya. Cara kerja sirkular yang bergulir tiada henti ini tetap menjadi motor penggerak utama dari keseluruhan arsitektur rekayasa sosial manipulatif tersebut.
"Dikombinasikan dengan kapabilitas pembuatan media palsu mutakhir untuk meracik materi umpan yang bervariasi dan meyakinkan, fenomena ini memperlihatkan eskalasi ancaman signifikan dari manuver BlueNoroff dalam membobol tokoh berprofil tinggi yang memegang kendali dana, kunci penandatanganan kriptografis, informasi rahasia, jalur komunikasi terotentikasi, serta jaringan relasi kerja terpercaya," jelas Arctic Wolf.
Dari Modus FaceStealer Menuju Ancaman Contagious Interview
Penting untuk digarisbawahi bahwa kampanye FaceStealer memiliki perbedaan mendasar dengan operasi ClickFake Interview, sebuah turunan varian dari kampanye Contagious Interview yang sama-sama mempraktikkan metode jebakan ClickFix untuk memicu instalasi kode berbahaya lewat skenario rekrutmen tenaga kerja fiktif.
Serupa dengan karakteristik FaceStealer, skema ini dijalankan dengan cara mendekati para kandidat potensial di mana pelaku menyamar sebagai agen perekrut di portal profesional semacam LinkedIn sembari melampirkan sebuah "uji penilaian teknis" yang telah disusupi skrip malware. Dalam sebuah tulisan yang diunggah ke LinkedIn, Alina Krasavina, seorang manajer divisi rekayasa perangkat lunak di Delivery Hero, membagikan pengalamannya saat dihubungi oleh dua orang perekrut gadungan pada hari yang sama hanya dengan jeda waktu 13 menit pada Oktober 2026.
"Perekrut pertama mengirimkan berkas 'asesmen teknis' berupa proyek Next.js yang memuat 113 file. Tepat di baris akhir dokumen next.config.js, sesudah spasi kosong sebanyak 204 karakter, tersimpan pintu belakang (backdoor)," beber Krasavina. "Perekrut kedua tidak memberikan kiriman file kompresi ZIP sama sekali. Di dalam sesi panggilan video, seseorang yang mengaku sebagai 'Anggota Staf Teknis' menyuruh saya untuk membagikan seluruh tampilan layar komputer saya, mengunduh repositori tertentu, lalu mengeksekusinya. Saat instruksi itu saya tolak mentah-mentah, ia beralasan hal itu merupakan 'syarat wajib agar proses seleksi berlanjut.' Begitu sesi panggilan berakhir, saya langsung menyurati si perekrut dan meminta opsi model wawancara alternatif. Berselang sekitar satu menit kemudian, akun saya langsung diblokir."
"Kedua serangan tersebut dirancang dengan pendekatan konsep yang bertolak belakang. Pihak pertama mencurahkan konsentrasi penuh pada kesempurnaan kode manipulasi dan mengabaikan kredibilitas profil perekrutnya. Sebaliknya, kubu kedua memusatkan energi pada interaksi persona manusia, hingga saya sendiri tak pernah melihat wujud kodenya secara langsung."
Berdasarkan nota peringatan keamanan siber bersama yang diterbitkan secara serentak oleh otoritas intelijen dan pertahanan siber dari Jepang, Amerika Serikat, Australia, serta Jerman menjelang akhir September 2026, operasi penipuan berkepanjangan ini ditaksir telah berhasil menginfeksi setidaknya 30.000 unit perangkat komputer yang tersebar luas di 100 negara.
Serangan ini secara terus-menerus menguji coba beraneka ragam metode pengiriman berkas demi meyakinkan para target agar bersedia mengaktifkan baris kode berbahaya di komputer mereka.
Pada bulan lalu, Sophos mengungkap temuan insiden di mana satu unit perangkat kerja korporat berbasis macOS milik seorang karyawan berhasil disusupi pada pertengahan September 2026 pascaproses kloning repositori kode publik yang disamarkan sebagai tugas tes coding wawancara kerja, yang selanjutnya dibuka langsung sebagai ruang kerja aktif pada aplikasi teks editor VS Code.
"Repositori tersebut telah dipasangi file konfigurasi ruang kerja VS Code yang telah dimodifikasi secara jahat untuk menggantikan profil terminal bawaan editor," papar perusahaan keamanan siber tersebut. "Tatkala jendela terminal diaktifkan di dalam workspace, profil yang telah dimodifikasi tersebut secara senyap mengunduh sekaligus mengeksekusi muatan berbahaya (payload) bertahap."
Muatan berbahaya yang dimaksud dalam investigasi tersebut adalah BeaverTail, sebuah program pemuat JavaScript yang difungsikan untuk memasukkan pintu belakang berbasis Python berjuluk InvisibleFerret. Kedua varian perangkat perusak tersebut telah dikonfirmasi sebagai instrumen khas yang selalu menyertai kampanye kejahatan Contagious Interview.
Pihak Sophos membeberkan bahwa muatan malware tersebut aktif bekerja di dalam memori internal komputer selama kurun waktu kurang lebih 26 jam, terhitung semenjak pertama kali diaktifkan pada tanggal 14 September 2026 sampai perangkat tersebut akhirnya dimatikan ulang keesokan harinya. Pihak vendor memastikan bahwa peristiwa tersebut sama sekali tidak mengganggu integritas produk, jaringan layanan komersial, maupun sistem basis data kepemilikan konsumen mereka.
Tidak berhenti di situ, riset mutakhir dari platform JFrog membuktikan bahwa sindikat peretas yang bertalian dengan operasi kejahatan ini bahkan mendirikan perusahaan kedok rekaan beridentitas AccuraSoftHire, yang dilengkapi portal karir independen, ulasan testimoni klien, halaman korporat LinkedIn, iklan lowongan di portal pencari kerja ternama, hingga staf perekrut bercentang verifikasi demi memoles citra tepercaya dan memperdaya pelamar kerja untuk menjalankan program jahat melalui dalih tes mandiri dan proses verifikasi panggilan video.
"Analisis kami membuktikan seluruh materi pancingan ini dirancang khusus guna lolos dari serangkaian filter pemeriksaan yang lazim dipercayai orang: ketersediaan situs resmi yang rapi, laman LinkedIn aktif, iklan karir di papan lowongan utama, hingga staf HRD berlabel lencana terverifikasi di LinkedIn," papar Guy Korolevski, periset keamanan senior pada divisi Riset Keamanan JFrog, dalam pernyataan resminya yang diteruskan kepada The Hacker News.
"Para tenaga pengembang maupun staf perusahaan yang memegang kredensial akses infrastruktur internal tidak bisa dibiarkan memikul tanggung jawab mendeteksi tipu daya ini sendirian, sehingga manajemen perusahaan wajib merumuskan regulasi ketat. Berkas tugas wawancara kerja yang mewajibkan pengunduhan file harus dipastikan hanya berjalan di lingkungan mesin virtual sekali pakai (disposable VM), dan dilarang keras dibuka di laptop operasional kantor. Tim pertahanan siber juga harus aktif mengingatkan karyawan terhadap bahaya membuka berkas antah berantah, sekalipun datang dari kontak yang tampak dapat dipercaya. Pengembang juga diimbau memeriksa tanggal pembuatan profil perekrut serta memverifikasi kecocokan lokasi basis operasional perusahaan di seluruh laman informasinya."
