Telepon Palsu Jadi Senjata Peretas Bobol Firma Keuangan Besar

INTARTA.com - Dalam sebulan terakhir, sekelompok peretas pemburu tebusan menyasar puluhan institusi keuangan ternama, bukan lewat perangkat lunak jahat yang rumit, melainkan lewat panggilan telepon biasa. Temuan intelijen yang ditinjau kantor berita internasional, bersama laporan Google Threat Intelligence Group (GTIG) pada 6 Agustus 2026, menunjukkan para pelaku membangun situs palsu yang dirancang mencuri kata sandi karyawan dari firma ekuitas swasta dan perusahaan keuangan besar, mulai dari Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital, hingga Moody's.

Teknik ini dikenal sebagai vishing, singkatan dari voice phishing. Pelaku menelepon langsung ke ponsel pribadi karyawan dan mengaku sebagai staf help desk internal perusahaan, bahkan kadang berhasil memalsukan nomor telepon help desk yang sah agar tampak meyakinkan di layar penerima. Korban diberi tahu ada perintah mendesak dari tim teknologi informasi untuk memperbarui passkey atau autentikasi dua faktor, lalu diarahkan ke situs palsu dengan nama domain semacam passkeyhelpdesk atau secure-passkey. Begitu korban memasukkan kata sandi, peretas langsung memanen kode verifikasi, baik yang dikirim lewat SMS maupun yang dihasilkan aplikasi otentikator, secara langsung selagi telepon masih berlangsung, lalu membajak akun sebelum panggilan berakhir. Teknik pencegatan kode ini dikenal sebagai serangan adversary-in-the-middle, yang menempatkan situs palsu sebagai perantara antara korban dan sistem asli perusahaan. Analis ancaman utama GTIG, Austin Larsen, menyebut metode ini bukan yang tercanggih, tetapi terbukti sangat efektif. Manajer intelijen ancaman siber Lee Clark menggambarkannya dengan sederhana: ketika pertahanan digital sebuah perusahaan sudah dibangun setinggi apa pun, peretas cukup membujuk satu orang penjaga untuk membukakan pintu.

Para peretas beroperasi dengan sejumlah nama samaran, yaitu Redact, Pink, Falcon, dan Helix, dan Google mengonfirmasi sejumlah perusahaan sempat membayar tebusan, meski identitasnya tidak diungkap. Berdasarkan laporan teknis GTIG, kelompok-kelompok itu sebenarnya bukan pemain baru: Google dan Mandiant melacaknya sebagai satu klaster ancaman bernama UNC6671, yang mulanya dikenal dengan nama BlackFile sejak awal 2026. Pada Mei 2026, BlackFile sempat mengumumkan pensiun, tetapi menurut GTIG itu hanya di permukaan, karena infrastruktur phishing, pola target, dan situs kebocoran data yang dipakai kelompok-kelompok baru tersebut terbukti tumpang tindih dengan milik BlackFile. Pada 27 Juni 2026, operator Redact bahkan mempublikasikan sendiri narasi pergantian nama itu di situs kebocoran data mereka, dengan dalih ada afiliasi yang berpisah dari kelompok lama. Sepanjang April hingga Mei 2026, sasaran UNC6671 masih tersebar di sektor manufaktur, real estat, kesehatan, dan asuransi. Belakangan fokus mereka bergeser ke perusahaan ekuitas swasta, kantor hukum, dan lembaga pemeringkat keuangan, kelompok bisnis yang biasa menangani data merger, akuisisi, penempatan modal, dan litigasi bernilai tinggi, sehingga berpotensi menjadi alat tawar yang lebih kuat untuk memeras korban. Menurut Larsen, target dipilih berdasarkan kalkulasi finansial semata, yaitu perusahaan yang dianggap punya data cukup sensitif untuk membuat mereka rela membayar demi mencegah data itu bocor.

Google mencatat satu dompet bitcoin yang terafiliasi dengan salah satu kelompok ini menerima sekitar 10 juta dolar hanya dalam beberapa bulan pertama tahun 2026, dengan permintaan tebusan yang bervariasi antara 750 ribu hingga 3 juta dolar per korban. Laporan teknis GTIG bahkan mencatat setidaknya 18 dompet bitcoin yang terhubung ke BlackFile menerima total 141,65 BTC sejak awal Januari 2026. Identifikasi perusahaan target dilakukan dengan menelusuri 72 situs berbahaya yang dicantumkan Google dalam laporannya, lalu mencocokkannya lewat platform intelijen web yang menandai subdomain palsu yang dibuat khusus meniru masing-masing perusahaan target. Larsen membenarkan seluruh situs itu kemungkinan besar dipakai dalam percobaan intrusi, meski ia menegaskan tidak semuanya berhasil. KKR, Bain Capital, Clearlake Capital, CME Group, TPG, dan Apollo Global Management sama-sama menolak memberi komentar, sementara Blackstone, Bridgewater Associates, dan Moody's tidak segera merespons permintaan konfirmasi. Point72 Asset Management dikabarkan telah memberi tahu para investornya pada 5 Agustus 2026 bahwa mereka menjadi salah satu target, dan nama Two Sigma Investments serta Citadel juga muncul dalam data yang ditinjau sebagai target serangan. Sebelum menyasar sektor keuangan, kelompok ini rupanya sudah lebih dulu mengincar perusahaan dari industri lain. Dalam lima minggu terakhir saja, para peretas membangun jebakan digital untuk lebih dari 200 perusahaan, termasuk layanan transportasi daring Uber, platform properti Zillow, merek jeans Levi Strauss, serta beberapa kantor hukum. Greenberg Traurig lewat pernyataan resminya menegaskan tidak mengalami kebocoran data, dengan alasan lapisan protokol keamanan yang mereka terapkan untuk melindungi data klien maupun firma. Kasus ini menunjukkan sesuatu yang sering luput dari perhatian: sistem keamanan digital yang mahal dan canggih sekalipun tetap bisa ditembus lewat celah paling manusiawi, yaitu kepercayaan seseorang terhadap suara di ujung telepon yang terdengar meyakinkan. Bagi perusahaan mana pun, insiden ini jadi pengingat bahwa pelatihan kewaspadaan karyawan terhadap panggilan mencurigakan sama pentingnya dengan investasi pada firewall atau sistem enkripsi. Sampai laporan ini disusun, belum ada kepastian resmi soal berapa banyak dari perusahaan yang disebut benar-benar kehilangan data, dan identitas pasti orang-orang di balik Redact, Pink, Falcon, dan Helix pun masih menjadi bagian dari penyelidikan yang berjalan.