Penipuan Rekrutmen Berujung Serangan Siber Berantai

Penipuan Rekrutmen Berujung Serangan Siber Berantai – Serangan siber terhadap perusahaan tidak selalu diawali dengan eksploitasi kerentanan teknis. Dalam sejumlah kasus, penyerang justru memanfaatkan kepercayaan manusia untuk mendapatkan akses ke lingkungan kerja internal.

Modus ini semakin berbahaya ketika dikombinasikan dengan perangkat lunak berbahaya, pencurian kredensial, dan penyalahgunaan hak akses.

Hal tersebut terungkap dalam insiden pencurian aset kripto senilai US$6,43 miliar dari Binance, salah satu bursa mata uang kripto terbesar di dunia.

Perusahaan menyebut serangan tersebut sebagai kampanye bertahap yang melibatkan rekayasa sosial berkedok wawancara kerja, instalasi perangkat lunak yang telah dimodifikasi, kompromi perangkat karyawan, serta penyalahgunaan perangkat internal berbasis kecerdasan buatan (AI).

Kasus ini memperlihatkan bagaimana penyerang dapat memanfaatkan proses rekrutmen yang terlihat profesional untuk mendekati karyawan tertentu, kemudian menjadikan perangkat dan akses mereka sebagai pintu masuk menuju sistem yang lebih kritis.

Serangan Dimulai dari Perangkat Pengembang

Menurut penjelasan Binance, tahap awal serangan terjadi pada Juni 2026 dan menargetkan seorang anggota tim Wallet DevOps yang disebut sebagai Engineer A. Ia mengunduh installer Homebrew yang telah disisipi kode berbahaya ketika mencari perangkat AI populer melalui mesin pencari.

Homebrew merupakan pengelola paket perangkat lunak yang umum digunakan dalam lingkungan pengembangan. Karena itu, installer yang terlihat sah dapat menjadi sarana efektif untuk menyusup ke komputer pengembang apabila sumber unduhannya telah dimanipulasi.

Binance menyatakan telah mendeteksi aktivitas tersebut dan mengganti kredensial terkait sebagai tindakan pencegahan. Namun, informasi mengenai peran Engineer A dan rekan-rekannya dalam tim infrastruktur dompet kripto diduga telah terpapar kepada penyerang.

Tahap berikutnya berlangsung pada September 2026. Penyerang menghubungi Engineer B melalui platform pencarian kerja yang sah dengan menyamar sebagai seorang Project Director. Komunikasi tersebut kemudian berkembang menjadi proses wawancara kerja dalam dua tahap.

Pada wawancara pertama melalui video, seseorang yang mengaku sebagai perwakilan sumber daya manusia (HR) membagikan akun media sosial beserta foto dan video pribadinya. Langkah tersebut diduga digunakan untuk membangun kepercayaan dan membuat proses rekrutmen terlihat meyakinkan.

Wawancara kedua dilakukan melalui aplikasi percakapan populer. Menjelang akhir sesi, Engineer B diminta mengunduh sebuah berkas tugas yang berisi repositori kode berbahaya ke komputer kerjanya.

Kode tersebut dijalankan saat proses penyiapan lingkungan pengembangan. Malware kemudian melakukan aktivitas tanpa izin, termasuk mengganti komponen perangkat pengembangan yang sah dengan versi yang telah dimodifikasi. Teknik ini memungkinkan penyerang menjalankan perintah dan membangun komunikasi dengan server eksternal yang mereka kendalikan.

Malware juga menggunakan teknik penyamaran dan penghindaran deteksi. Penyerang bahkan berupaya menghapus artefak forensik untuk menyulitkan proses pemeriksaan setelah perangkat terkompromi.

Penyalahgunaan AI dan Akses Internal

Pada 20 Oktober 2026, serangan memasuki tahap berikutnya. Penyerang memanfaatkan komputer Engineer B yang telah dikompromikan serta menyalahgunakan perangkat AI internal untuk memperoleh kendali terhadap Engineer A dan seorang pengembang perangkat lunak dompet lainnya, yang disebut Engineer C.

Dari akses tersebut, penyerang menemukan bahwa Engineer A memiliki token izin untuk melakukan deployment kontainer. Token ini menjadi salah satu elemen penting dalam rangkaian serangan karena memberikan kemampuan untuk menjalankan lingkungan aplikasi di dalam infrastruktur perusahaan.

Pada 29 Oktober, antara pukul 17.15 hingga 19.56, penyerang masuk ke komputer Engineer C menggunakan kredensial yang dicuri dari Engineer A. Mereka kemudian melakukan deployment kontainer dan menjalankan skrip berbahaya.

Akses tidak sah tersebut akhirnya dimanfaatkan untuk menyalahgunakan layanan penandatanganan transaksi dompet internal. Layanan ini memiliki peran penting dalam proses otorisasi transaksi aset kripto. Dengan memanipulasi akses ke layanan tersebut, penyerang dapat memulai transaksi di luar mekanisme penarikan normal.

Rangkaian kejadian ini menunjukkan bahwa kompromi satu perangkat karyawan dapat berkembang menjadi ancaman yang jauh lebih besar ketika perangkat tersebut memiliki kredensial, token, atau izin yang terhubung dengan sistem penting perusahaan.

Langkah Pemulihan dan Pengamanan

Binance menyatakan telah membangun ulang sistem dompet yang terdampak di lingkungan baru serta memperbarui perangkat AI internal dan mekanisme pengendalian akses. Hingga 3 November 2026, perusahaan juga menyampaikan sejumlah tindakan pemulihan dan pengamanan, antara lain:

Mengganti perangkat yang terdampak.
Menonaktifkan dan mengganti kredensial serta token milik karyawan yang terkait dengan insiden.
Melakukan pemindaian keamanan tambahan pada perangkat karyawan.
Meningkatkan deteksi anomali perilaku berbasis AI.
Memperkuat pengendalian risiko pada layanan dompet.

Bekerja sama dengan aparat penegak hukum, perusahaan intelijen blockchain, dan mitra industri untuk melacak serta membekukan aset yang terdampak.

Binance juga menyebut telah menutup jalur masuk yang teridentifikasi dalam serangan dan membangun ulang atau mengganti sistem yang terlibat dalam jalur kompromi.

Perusahaan memperkirakan telah menggagalkan 57 kasus dugaan ancaman siber yang berkaitan dengan Korea Utara sejak awal 2026. Teknik yang ditemukan dalam berbagai kasus tersebut mencakup:

Wawancara kerja palsu.
Perangkat lunak berbahaya yang menyamar sebagai alat pengembangan populer.
Paket perangkat lunak dan ekstensi peramban yang telah disusupi.
Aplikasi konferensi video palsu.
Serta rekayasa sosial untuk mencuri kredensial atau memasang malware akses jarak jauh.

Cara Menghindari Jebakan Rekrutmen Palsu

Insiden Binance menjadi pengingat bahwa proses rekrutmen dapat dimanfaatkan sebagai sarana serangan terhadap karyawan, khususnya mereka yang memiliki akses ke sistem teknologi informasi perusahaan. Untuk mengurangi risikonya, beberapa langkah berikut perlu diperhatikan:

Verifikasi identitas perekrut dan perusahaan. Periksa keberadaan perusahaan, jabatan perekrut, serta alamat email yang digunakan. Jangan hanya mengandalkan profil media sosial, foto, atau video yang diberikan selama wawancara.
Waspadai tugas rekrutmen berbentuk kode. Pengembang perlu berhati-hati ketika diminta mengunduh repositori atau menjalankan skrip dari pihak yang belum terverifikasi. Jangan menjalankan kode tersebut langsung pada komputer kerja atau lingkungan produksi.
Unduh perangkat lunak dari sumber resmi. Pastikan installer, paket pengembangan, dan perangkat AI diperoleh melalui situs atau repositori resmi. Periksa keaslian sumber unduhan sebelum melakukan instalasi.
Batasi hak akses dan penggunaan token. Organisasi perlu menerapkan prinsip hak akses minimum (least privilege), membatasi masa berlaku token, serta memisahkan kredensial untuk lingkungan pengembangan dan produksi.
Pantau aktivitas yang tidak biasa. Login dari perangkat yang tidak dikenal, deployment kontainer yang tidak direncanakan, penggunaan token di luar kebiasaan, dan aktivitas pada layanan kritis perlu mendapatkan perhatian khusus.
Laporkan permintaan mencurigakan. Karyawan sebaiknya segera menghubungi tim keamanan TI apabila menerima tugas rekrutmen yang meminta instalasi perangkat lunak, eksekusi kode, atau pemberian akses ke perangkat perusahaan.

Konklusi

Serangan terhadap Binance memperlihatkan bahwa rekayasa sosial dapat menjadi bagian dari operasi siber yang kompleks. Penyerang tidak hanya berusaha mencuri kata sandi, tetapi juga membangun rangkaian akses melalui perangkat karyawan, lingkungan pengembangan, kredensial internal, hingga layanan yang memiliki kewenangan terhadap transaksi aset digital.

Dalam lingkungan kerja yang semakin bergantung pada perangkat AI dan otomatisasi, pengamanan tidak cukup hanya berfokus pada aplikasi utama. Perangkat karyawan, proses instalasi perangkat lunak, repositori kode, token akses, dan layanan internal juga harus menjadi bagian dari strategi pertahanan.

Wawancara kerja yang terlihat profesional sekalipun perlu diverifikasi. Sebab, dalam serangan seperti ini, satu keputusan untuk mengunduh dan menjalankan kode dari sumber yang tidak tepercaya dapat menjadi awal kompromi terhadap sistem perusahaan yang jauh lebih besar.

Baca artikel lainnya: