Seorang peneliti keamanan asal Yunani dilaporkan menghabiskan waktu 22 bulan di dalam server peretas Korea Utara. Ia keluar membawa daftar korban sebanyak 1.640 organisasi di 57 negara.
Vangelis Stykas adalah chief technology officer di perusahaan keamanan Kumio. Ia mempresentasikan temuannya minggu ini di acara Black Hat di Las Vegas.
Bagaimana Para Pemburu Berbalik Menjadi Buruan
Stykas membalikkan kebiasaan yang ada. Ia berhasil masuk ke server command-and-control yang digunakan tim peretas untuk menjalankan malware mereka.
Disponsori
Disponsori
Dalam beberapa kasus, ia juga sampai ke komputer pribadi para peretas. Para peretas itu ternyata mematikan perangkat mereka sendiri dengan malware.
Kemudian ia tetap diam mengamati. Selama hampir dua tahun ia memonitor aktivitas mereka dan mencatat setiap korban baru yang muncul.
Ia berhasil mengambil sekitar lima terabyte data. Di dalamnya terdapat kunci pengembang, kode sumber pribadi, serta pesan Slack dan Discord milik tim peretas itu sendiri.
Akses itulah yang membuat jumlah korban bisa dipastikan. Sebagian besar laporan ancaman biasanya hanya mengira-ngira jumlah korban dari luar.
Tapi kali ini mereka dihitung langsung dari berkas para penyerang. Dari 1.640 organisasi tersebut, Stykas menilai ada 700 hingga 800 organisasi yang terkena serangan parah.
Ikuti kami di X untuk mendapatkan kabar terkini secara langsung
Dalam kasus-kasus berat ini, tim peretas memegang akses root ke server, izin root Amazon Web Services (AWS), atau kunci wallet aset kripto.
Disponsori
Disponsori
Tawaran Kerja Menjadi Eksploitasi yang Mereka Butuhkan
Bukan cacat perangkat lunak yang membuka jalan ini. Tawaran kerja lah yang melakukannya.
Cara mereka, para pengembang didekati dengan tawaran posisi senior dan gaji besar. Setelah itu, mereka diminta mengerjakan tes pemrograman di rumah. Tes itu ternyata memasang malware.
Peneliti dari Palo Alto Networks menamai pola serangan ini sebagai Contagious Interview sejak November 2023. Sejak saat itu, lima perusahaan keamanan telah memantau tim ini dengan enam sebutan berbeda.
Microsoft merilis ulasannya sendiri pada Maret 2026. Mereka melacak jaringan serangan ini ke paket kode palsu yang dihosting di GitHub, GitLab, dan Bitbucket.
Membuka paket ini di Visual Studio Code akan memunculkan prompt kepercayaan. Jika pengguna menyetujuinya, maka editor itu otomatis menjalankan kode para penyerang.
“Dengan menyisipkan pengiriman malware secara spesifik langsung ke dalam alat wawancara kerja, latihan coding, dan proses penilaian yang secara alami dipercaya pengembang, pelaku ancaman mengeksploitasi kepercayaan para pencari kerja dalam proses rekrutmen,” tulis kutipan di blog keamanan Microsoft pada Maret lalu.
Backdoor kemudian mencari daftar target singkat. Microsoft menyebutkan token API, kredensial cloud, kunci penandatanganan, wallet kripto, dan berkas manajer kata sandi.
Rekrutmen memang menjadi titik lemah yang terus terulang. Consensys bahkan sempat menemukan pengembang Korea Utara tersembunyi di tim mereka sendiri, hanya dalam waktu satu bulan sejak mulai menggarap kode MetaMask.
Satu Kontraktor, Tiga Puluh Pintu Masuk
Umpan yang digunakan memang murah, tapi jangkauannya sangat luas.
Stykas menemukan kontraktor yang membawa kredensial aktif hingga ke 30 perusahaan. Satu laptop yang terinfeksi bisa menjadi 30 pintu masuk bagi peretas.
Kasus Boston Childrens Hospital menjadi contoh pola ini. Stykas melacak sumber kebocorannya ke perangkat milik kontraktor yang sudah tidak bekerja di sana.
Pihak rumah sakit membantah narasi tersebut. Mereka mengklaim telah menonaktifkan kredensial dalam hitungan jam dan tidak menemukan bukti sistem internal mereka diakses.
Tim peretas ini ternyata selektif. Mereka bisa saja mengakses data kesehatan dan basis data kriminal, namun tidak mereka sentuh.
Mereka justru berfokus mengejar wallet dan akses blockchain. Coinbase dan Uniswap Labs adalah dua organisasi yang bertindak berdasarkan peringatan dari Stykas.
Strategi itu terlihat pada hasil totalnya. Tim-tim yang berafiliasi dengan Democratic Peoples Republic of Korea (DPRK) berhasil mencuri aset digital senilai US$2,02 miliar sepanjang 2025.
CrowdStrike mencatat angka ini sebagai lonjakan 51% dalam setahun. Mereka juga menandai tim yang dinamai GOLDEN CHOLLIMA karena menggunakan teknik rekrutmen untuk menyusup ke cloud fintech.
Itulah rantai serangan yang Stykas amati dari dalam. Cara-cara berbasis manusia terus mengungguli metode lain.
TRM Labs melacak pencurian Drift Protocol senilai US$285 juta pada bulan April, yang bermula dari pertemuan langsung antara perantara Korea Utara dan staf perusahaan.
Dua serangan saja menyumbang 76% kerugian dunia kripto di 2026 meski hanya dari 3% total insiden. Total kerugian yang dicatat Pyongyang kini sudah melewati US$6 miliar sejak 2017.
Stykas mengungkapkan korban-korban baru masih bermunculan dalam data tersebut. Sebagian besar organisasi yang ia beri peringatan bahkan tidak pernah membalas, sehingga kini pihak seperti Crypto ISAC menghimpun intelijen ancaman dari DPRK secara kolektif.