Peneliti Bentuk Startup Kripto Palsu dan Rekrut 3 Diduga Pekerja IT Korea Utara

Peneliti keamanan siber baru-baru ini membentuk sebuah startup cryptocurrency palsu dan merekrut tiga orang yang diduga sebagai pekerja IT dari Korea Utara. Tujuan dari operasi ini adalah untuk mengungkap bagaimana para agen ini menggunakan dokumen palsu, alat kecerdasan buatan (AI), jaringan privat virtual (VPN), serta akses jarak jauh untuk menyelinap ke dalam perusahaan teknologi.

Strategi Merekrut dan Deteksi Identitas Palsu

Dalam operasi tersebut, para peneliti menciptakan perusahaan fiktif bernama Ballena Azul, sebuah protokol DeFi palsu, kemudian membuka lowongan pekerjaan untuk pengembang perangkat lunak. Mereka menerapkan proses perekrutan lengkap, termasuk wawancara dan penandatanganan kontrak, memberikan akses ke mesin virtual kerja (VM) yang seluruh aktivitasnya direkam.

Salah satu pekerja yang direkrut mengaku berdomisili di Pasadena, Texas, dan mengirimkan SIM California dan rekening bank New York. Namun, metadata gambar menunjukkan dokumen itu telah diproses menggunakan Google Gemini dan mengandung watermark SynthID, sebuah tanda tak terlihat yang dipasang oleh alat AI Google untuk gambar yang dibuat atau diedit secara digital.

Rekrutan kedua mengirimkan SIM Texas, nomor Jaminan Sosial yang valid, dan rekening bank di Kansas City. Sedangkan yang ketiga mengirimkan SIM New York atas nama orang lain dan foto iPhone 15 asli yang telah dihapus koordinat GPS-nya.

Risiko dan Taktik Para Pekerja IT Korea Utara

Setelah berhasil mendapatkan akses, para pekerja ini memiliki akses sah ke kode sumber dan sistem internal perusahaan. Menurut peringatan bersama yang dikeluarkan pada 31 Juli 2026, pekerja IT asal Korea Utara biasanya mendapatkan kontrak kerja dengan tujuan menyetorkan gaji mereka kembali ke lembaga pemerintah Korea Utara.

Dokumen palsu atau yang diubah menggunakan perangkat lunak pengedit gambar menjadi salah satu sinyal penting yang harus diperhatikan oleh perusahaan ketika melakukan perekrutan. Operasi ini juga menunjukkan bagaimana para pekerja melakukan reconnaissance pada hari pertama dengan menjalankan perintah sistem seperti dxdiag dan systeminfo untuk mengumpulkan informasi tentang mesin yang digunakan dan memeriksa lokasi koneksi mereka.

Salah satu operatif memasang Chrome Remote Desktop dan menyinkronkan akun Google pribadi ke dalam VM kerja, yang secara tidak sengaja menyerahkan riwayat browsing, kata sandi tersimpan, dan ekstensi browser yang terpasang. Mereka juga masuk ke akun GitHub pada mesin tersebut.

Teknologi dan Infrastruktur yang Digunakan

Peneliti mengamati penggunaan alat otentikasi dua faktor (2FA) yang berbeda dibandingkan investigasi sebelumnya. Kali ini, alat seperti 2fa.cn digunakan untuk mengirim kode 2FA antar operator, menggantikan alat seperti authenticator.cc dan otp.ee yang digunakan sebelumnya. Selain itu, akun email Outlook.com mulai muncul menggantikan dominasi Gmail.

Browser mereka juga mengandung ekstensi berbasis AI untuk membantu aplikasi pekerjaan dan wawancara, seperti AIApply, Final Round AI, Simplify Copilot, dan alat penyimpanan prompt ChatGPT. Infrastruktur server menggunakan layanan seperti Vultr dan Gorilla Servers, dengan banyak node keluar VPN dari AstrillVPN, yang selama ini dikenal sebagai alat favorit operasi Korea Utara.

Rekomendasi untuk Perusahaan dan Pencegahan

• Melakukan pemeriksaan identitas secara berkala, bukan hanya saat perekrutan awal.
• Verifikasi tatap muka bagi perusahaan yang menerapkan sistem kerja jarak jauh.
• Pelatihan khusus untuk perekrut agar dapat mengenali tanda-tanda identitas palsu atau manipulasi dokumen.
• Memblokir penggunaan VPN seperti AstrillVPN yang sering digunakan oleh aktor siber Korea Utara.
• Memperhatikan pola akses akun yang tidak biasa, seperti login dari banyak alamat IP dalam waktu singkat.
• Waspada terhadap profil pelamar yang menggunakan bahasa yang terkesan seperti hasil terjemahan mesin.

Menurut laporan The Hacker News, operasi ini adalah kelanjutan dari investigasi sebelumnya yang dilakukan oleh tim gabungan dari Mauro Eldritch (BCA LTD), Heiner García (NorthScan), dan ANY.RUN, sebuah penyedia analisis malware interaktif dan intelijen ancaman.

Analisis Redaksi

Menurut pandangan redaksi, dampak dari operasi ini sangat signifikan bagi industri teknologi dan keamanan siber di Indonesia maupun global. Praktik penggunaan identitas palsu dan teknologi AI untuk menyusup ke perusahaan membuka celah besar dalam keamanan siber yang selama ini mungkin diremehkan. Startup palsu ini bukan hanya sekadar eksperimen teknis, melainkan juga cermin nyata bagaimana aktor negara seperti Korea Utara terus memperluas jaringan spionase dan pencurian intelektual mereka.

Lebih jauh, penggunaan alat VPN seperti AstrillVPN dan manipulasi dokumen dengan watermark AI menunjukkan bahwa peretas kini semakin canggih dalam menyembunyikan jejak digital mereka. Oleh karena itu, perusahaan harus lebih waspada dan mengintegrasikan teknologi deteksi AI serta pelatihan sumber daya manusia yang lebih ketat untuk membendung ancaman ini.

Ke depan, pengawasan terhadap aktivitas pekerja IT, terutama yang bekerja secara remote, harus menjadi prioritas agar tidak ada lagi penyusupan yang terjadi tanpa terdeteksi. Pembaruan regulasi dan standar keamanan juga perlu diperkuat agar sesuai dengan ancaman yang terus berkembang ini.

Untuk informasi lebih lengkap dan update terkini mengenai ancaman siber dan keamanan teknologi, terus ikuti berita dari sumber terpercaya dan platform resmi.