FBI Ungkap FaceStealer: Peretas Korea Utara Curi Rp6,2 Triliun via Deepfake

FBI menetapkan peretas yang terkait Korea Utara mencuri lebih dari USD400 juta kripto lewat skema rekayasa sosial FaceStealer dalam 18 bulan terakhir. Pemerintah AS menyita infrastruktur cloud yang dipakai dan membekukan lebih dari USD1,2 miliar aset digital hasil retas Binance.

Kronologi FaceStealer: Dari Panggilan Video Palsu ke Pencurian Kripto

Skema ini terungkap lewat pengumuman bersama pemerintah AS pada November 2026. FBI menyebut aktor ancaman yang terkait Republik Rakyat Demokratik Korea (DPRK) menjalankan kampanye bernama FaceStealer untuk menargetkan individu di sektor kripto dan Web3.

Menurut Departemen Kehakiman (DoJ), FaceStealer memakai video yang direkam diam-diam dan deepfake untuk memuluskan pencurian kripto. Sebagian aktivitasnya bersinggungan dengan kampanye yang didokumentasikan Kaspersky dengan nama GhostCall pada Oktober 2025.

Modusnya berlapis. Korban diundang ke pertemuan video lewat akun curian milik korban sebelumnya. Begitu target bergabung, stream video mereka direkam. Di saat yang sama, penyerang memutar rekaman webcam asli korban lama atau orang yang dikenal target untuk membangun kepercayaan.

Beberapa detik setelah panggilan dimulai, muncul pesan kesalahan teknis palsu. Target diberi tautan untuk memperbaiki masalah yang sebenarnya tidak ada. Tautan itu adalah jebakan bergaya ClickFix yang dirancang menanam malware di workstation korban dan mencuri kripto, sekaligus menyalahgunakan hak akses target ke infrastruktur komputer lain.

DoJ menyebut para peretas juga memakai kecerdasan super (SI) untuk membuat video deepfake tokoh terkenal dan berpengaruh di industri kripto dan web3. "Di sini lagi, mereka memakai video deepfake dalam pertemuan dengan target untuk mendapatkan kepercayaan target," kata DoJ.

Pihak yang Terlibat dan Pernyataan Resmi

FBI Cyber Branch Operations Director Brett Leatherman menyatakan rezim Korea Utara bergantung pada hasil pencurian kripto skala besar untuk membiayai program senjata ilegalnya. "Aktor siber Korea Utara telah memakai skema FaceStealer untuk menargetkan individu di sektor kripto dan Web3 secara agresif melalui taktik rekayasa sosial yang menipu, sehingga mencuri lebih dari USD400 juta dalam 18 bulan terakhir," ujarnya dalam pernyataan.

Selain FBI dan DoJ, aktivitas ini dikaitkan dengan klaster ancaman bermotif finansial yang produktif, BlueNoroff. Klaster ini juga dikenal dengan kriptonim APT38, CageyChameleon, CryptoCore, DangerousPassword, Nickel Gladstone, Sapphire Sleet, Stardust Chollima, dan UNC1069.

Dalam laporan yang dibagikan ke The Hacker News pada Juli 2026, JUMPSEC mengungkap operasi rekayasa sosial ini dibangun di atas kit phishing yang meniru platform konferensi video seperti Zoom dan Microsoft Teams. Perusahaan keamanan siber itu menyebut FaceStealer sebagai platform akuisisi korban yang memakai kontak tepercaya yang sudah dibajak sebagai jalur penyebaran serangan lewat Telegram.

Arctic Wolf, dalam laporan April 2026, menyatakan kampanye rekayasa sosial bertarget ini telah menyasar lebih dari 400 korban di lebih dari 20 negara. Sebagian besar terkonsentrasi di AS, Singapura, Inggris, Hong Kong, Korea Selatan, dan UEA.

"Sebanyak 80% target yang teridentifikasi beroperasi langsung di keuangan kripto/blockchain (54%) atau sektor keuangan dan investasi yang berdekatan (26%)," catat Arctic Wolf. "CEO dan founder saja menyumbang 45% dari kumpulan target—hampir setengah. Ini menegaskan fokus operasional tunggal BlueNoroff: individu dengan akses ke aset kripto, infrastruktur dompet, platform pertukaran, atau otoritas pengambilan keputusan investasi."

Latar Belakang: BlueNoroff dan Ekosistem Penipuan Kripto

BlueNoroff dikenal secara khusus mengincar individu yang bekerja di industri kripto dan Web3, serta orang-orang yang terlibat dalam pengembangan dan pemeliharaan perangkat lunak sumber terbuka. Tujuannya mendapatkan akses ke perangkat pengembang dan akun repositori perangkat lunak yang mereka kendalikan untuk memfasilitasi serangan rantai pasok perangkat lunak.

Skema FaceStealer sempat dipakai untuk menargetkan pemelihara paket npm Axios populer awal tahun ini. Serangan itu mendorong versi trojan yang mengirimkan remote access trojan (RAT) lintas platform.

FBI menyita lebih dari 900 rekaman video webcam korban yang dipakai aktor ancaman untuk menyamar sebagai korban dalam serangan lanjutan. Agensi itu menyatakan "mengetahui beberapa upaya lain oleh peretas Korea Utara untuk menargetkan pengembang perangkat lunak, pemelihara, dan pustaka perangkat lunak dengan volume unduhan signifikan."

Serangan ini bermula dari satu korban yang dikompromikan. Penyerang memanen dompet kripto, frasa seed, dan akses berharga lain; membajak akun Telegram atau aplikasi komunikasi korban dan mengunci mereka; mengakses kontak dan riwayat obrolan; serta merekam korban secara diam-diam selama panggilan video.

Akun Telegram korban lalu dipakai untuk menyamar dan mengirim pesan bertarget ke kontak lain. Pesan itu menawarkan pertemuan Zoom atau Teams dengan dalih membahas peluang investasi. Jika target tertarik, penyerang mengirim undangan Calendly lewat Telegram. Sesaat sebelum jadwal, akun Telegram korban dipakai mengirim tautan typosquatted yang menyamar sebagai URL rapat Zoom ("uu01webzoom[.]us") atau Teams ("teams.livemeet[.]us").

Saat target bergabung ke rapat Zoom palsu, penyerang memutar video webcam kontak tepercaya yang sudah direkam. Video lain, baik rekaman maupun deepfake, diputar untuk memberi kesan ada banyak peserta. Gambar headshot yang dihasilkan OpenAI ChatGPT dipakai sebagai avatar statis di panggilan palsu itu.

Dampak dan Korban di Berbagai Negara

Lingkup aktivitas ini sejak itu meluas. Arctic Wolf mencatat 677 target teridentifikasi di 58 negara. Lebih dari 80% target adalah founder dan eksekutif C-suite. Kampanye ini juga memperkenalkan tema umpan baru seperti pembaruan palsu Chrome PDF Viewer.

Selain itu, kampanye memakai teknologi AI generatif dari ChatGPT, Google, SpaceXAI Grok, dan Wondershare AI Content Generator (AIGC) untuk memasok seni, avatar, dan video peserta sintetis yang meyakinkan. "Di hulu, pengintaian telah melebar dan menjadi lebih terencana," tambah Arctic Wolf. "Materi umpan tidak hanya diambil dari foto profil dan stream webcam korban sebelumnya, tetapi juga dari wawancara YouTube dan pembicaraan konferensi, yang direkam layar oleh aktor. Ini memungkinkan mereka menangkap rupa dan suara spesifik seseorang—seorang founder, mungkin, atau CEO—lalu membuat rekaman rapat palsu tanpa harus mengompromikan target secara langsung."

Dari FaceStealer, perhatian juga tertuju pada ClickFake Interview, iterasi dari Contagious Interview yang memakai taktik bergaya ClickFix untuk memicu eksekusi malware dalam kampanye bertema rekrutmen. Penyerang mendekati target dengan menyamar sebagai perekrut di platform seperti LinkedIn dan membagikan "tes teknis" yang dirancang menjalankan malware.

Alina Krasavina, engineering manager di Delivery Hero, menceritakan pengalamannya di LinkedIn. Pada Oktober 2026, ia ditargetkan dua perekrut palsu di hari yang sama, berjarak 13 menit. "Yang pertama mengirim 'tes teknis': proyek Next.js berisi 113 file. Di akhir next.config.js, setelah 204 spasi, ada backdoor," katanya. "Yang kedua tidak mengirim ZIP. Dalam panggilan video, seorang 'Member of Technical Staff' meminta saya membagikan seluruh layar, mengunduh repo, dan menjalankannya. Ketika saya menolak, ia bilang itu 'persyaratan untuk melanjutkan.' Setelah panggilan, saya menulis ke perekrut dan meminta format wawancara lain. Sekitar satu menit kemudian ia memblokir saya."

Menurut advisory keamanan siber bersama yang diterbitkan agensi keamanan dan intelijen Jepang, AS, Australia, dan Jerman pada akhir September 2026, kampanye jangka panjang ini diperkirakan telah mengompromikan setidaknya 30.000 perangkat di 100 negara.

Langkah Selanjutnya dan Respons Industri

Penyitaan infrastruktur cloud dan pembekuan aset senilai USD1,2 miliar menandai respons konkret pemerintah AS. Namun FBI mengisyaratkan upaya lain masih berlangsung. "FBI mengetahui beberapa upaya lain oleh peretas Korea Utara untuk menargetkan pengembang perangkat lunak, pemelihara, dan pustaka perangkat lunak dengan volume unduhan signifikan," demikian pernyataan agensi.

Serangan ini bereksperimen dengan berbagai metode pengiriman untuk meyakinkan korban menjalankan kode berbahaya. Beberapa di antaranya:

• Menanam malware dalam tes coding, repositori, atau paket yang diminta dijalankan korban sebagai bagian dari proses asesmen.
• Memakai file konfigurasi tasks.json Microsoft Visual Studio Code (VS Code) untuk memicu eksekusi kode berbahaya otomatis saat proyek dibuka di VS Code.
• Memakai skrip .githooks/pre-commit dan post-checkout untuk memicu kode berbahaya pada commit pertama atau pergantian branch.
• Memakai installer trojan untuk aplikasi utilitas macOS guna mengirim OtterCookie lewat pengunduh skrip shell.

Pada Oktober 2026, Sophos mengungkap perangkat macOS korporat seorang karyawan telah dikompromikan pada pertengahan September 2026. Karyawan itu mengkloning repositori kode publik yang disajikan sebagai tugas coding wawancara kerja dan membukanya sebagai workspace di VS Code.

"Repositori itu berisi file pengaturan workspace VS Code yang dipersenjatai dan menggantikan profil terminal terintegrasi editor," kata Sophos. "Saat terminal dibuka di workspace, profil yang dimodifikasi diam-diam mengunduh dan menjalankan payload multi-tahap." Payload itu adalah BeaverTail, loader JavaScript yang dipakai mengirim backdoor Python bernama InvisibleFerret. Keduanya diatribusikan ke Contagious Interview.

Sophos menyebut malware berjalan di memori perangkat selama sekitar 26 jam, sejak eksekusi pada 14 September 2026 hingga perangkat di-reboot sehari kemudian. Insiden itu tidak memengaruhi produk atau layanan, data pelanggan, atau sistem mereka.

Riset terbaru JFrog menemukan aktor ancaman terkait kampanye ini bahkan mendirikan perusahaan umpan bernama AccuraSoftHire. Perusahaan itu lengkap dengan situs karier, testimoni klien, halaman LinkedIn, iklan lowongan di papan kerja arus utama, dan perekrut terverifikasi untuk memberi kredibilitas dan menipu kandidat agar menjalankan malware lewat tes take-home yang dimanipulasi dan langkah verifikasi video.

"Riset kami menunjukkan umpan ini dibangun untuk lolos dari pemeriksaan yang biasa diandalkan orang: situs web profesional, halaman LinkedIn, iklan lowongan di papan arus utama, dan perekrut dengan lencana terverifikasi LinkedIn," kata Guy Korolevski, peneliti keamanan senior di JFrog Security Research, dalam pernyataan kepada The Hacker News. "Pengembang dan karyawan lain dengan akses sistem tidak bisa diharapkan menangkap itu sendiri, jadi pemberi kerja perlu menetapkan aturan. Tugas wawancara dengan unduhan seharusnya hanya dijalankan di mesin virtual sekali pakai, jangan pernah di laptop kerja. Tim keamanan juga harus memperingatkan karyawan tentang mengunduh file tak dikenal, bahkan dari sumber yang mereka anggap tepercaya. Pengembang juga bisa memeriksa kapan profil perekrut dibuat dan apakah lokasi perusahaan sama di setiap halaman."

Analisis Redaksi

Kasus FaceStealer memperlihatkan pergeseran yang sudah lama diprediksi: rekayasa sosial tidak lagi mengandalkan email phishing kaku, tetapi panggilan video yang terasa personal. Penyerang tidak perlu membobol sistem target lebih dulu. Mereka cukup membajak akun milik orang yang dipercaya target, lalu memakai wajah dan suara orang itu untuk membangun kepercayaan. Dalam hitungan detik, target dihadapkan pada masalah teknis palsu dan tautan perbaikan yang justru menjadi pintu masuk malware.

Yang membuat skema ini efektif adalah sifatnya yang berlipat. Setiap korban baru menjadi infrastruktur untuk menyerang kontaknya. FBI menyita lebih dari 900 rekaman webcam korban, angka yang menunjukkan betapa masifnya bahan mentah untuk serangan lanjutan. Deepfake bukan lagi alat iseng; ia menjadi komponen produksi dalam rantai pencurian aset digital yang membiayai program senjata Korea Utara.

Bagi Indonesia, implikasinya tidak jauh. Sektor kripto dan Web3 lokal tumbuh, dan pola serangan yang menyasar founder serta eksekutif dengan akses dompet dan kunci penandatanganan akan menemukan target di sini juga. Kesadaran bahwa panggilan video dari kenalan belum tentu asli, dan bahwa tautan perbaikan teknis di tengah rapat adalah jebakan klasik, perlu menjadi kebiasaan. Perusahaan juga mesti tegas: tugas wawancara dengan unduhan hanya dijalankan di mesin virtual terpisah, bukan di perangkat kerja. Tanpa aturan itu, beban keamanan jatuh sepenuhnya pada individu yang tidak punya alat untuk memeriksa.

Sumber: thehackernews.com, fbi.gov