Hacker Korea Utara Gunakan Taktik Baru: Bayar $500 untuk Dipekerjakan, Lalu Meniru Karyawan

Original | Odaily Planet Daily (@OdailyChina)

Penulis｜Wenser（@wenser 2010）

Masih ingat peretas Korea Utara yang masuk ke dompet MetaMask melalui outsourcing? (Disarankan untuk membaca "Nyaris Celaka! Seorang karyawan outsourcing hampir merusak MetaMask")

Dan siapa hacker Korea Utara yang tertangkap dalam operasi penipuan oleh perusahaan DeFi palsu dan diungkap ke publik? (Direkomendasikan untuk membaca: "Pertunjukan Penipuan Tahun Ini: DeFi Palsu Mengungkap Hacker Lazarus Asli Korea Utara")

Seperti perusahaan keamanan yang melakukan operasi penangkapan terencana, peretas Korea Utara juga meningkatkan "metode serangan" mereka, mulai dari kerentanan teknis awal, serangan rekayasa sosial, hingga proyek outsourcing dan perekrutan jarak jauh ke proyek kripto. Baru-baru ini, metode penetrasi mereka memiliki variasi baru: merekrut orang untuk lulus wawancara di perusahaan kripto, lalu menggantikan mereka secara diam-diam untuk masuk, menyusup, dan menunggu kesempatan untuk melakukan serangan teknis internal guna mencuri aset kripto dan informasi sensitif.

Satu bulan kemudian, perang antara perusahaan keamanan dan peretas Korea Utara mengalami perkembangan baru, serta muncul penipuan jenis baru.

Mari kita lihat catatan pencapaian peretas Korea Utara: Data dari perusahaan keamanan CrowdStrike menunjukkan bahwa pada tahun 2025, kerugian kripto akibat peretas dan pelaku ancaman yang terkait dengan negara Korea Utara melebihi $2 miliar, meningkat 51% dibanding tahun sebelumnya; Bank Sentral Korea memperkirakan bahwa meskipun menghadapi sanksi global yang terkoordinasi, pertumbuhan PDB Korea Utara pada tahun 2025 tetap mencapai 3,5%.

Informasi yang saat ini dapat dipastikan adalah bahwa peretas Korea Utara, sebagai "tim nasional", juga memberikan kontribusi penting terhadap pertumbuhan ekonomi mereka.

Pada 31 Juli tahun ini, Departemen Negara AS bersama FBI bersama Jepang, Korea Selatan, Australia, Kanada, Prancis, Jerman, Italia, Belanda, Selandia Baru, dan Inggris, sebanyak 11 negara, menerbitkan laporan keamanan berjudul "Peringatan tentang Pekerja IT Korea Utara".

Laporan tersebut berisi sejumlah informasi penting, termasuk hal-hal kunci berikut:

Pertama, Korea Utara bergantung pada jaringan pengembang teknis yang ditempatkan di dalam dan luar negeri untuk operasi luar, dengan mengirimkan teknisi-teknisi ini untuk mendapatkan identitas palsu, bekerja jarak jauh untuk menghasilkan uang, dan akhirnya mentransfer pendapatan gaji ke rekening lembaga pemerintah Korea Utara. Dana terkait akhirnya digunakan untuk pengembangan dan kemajuan program senjata nuklir dan rudal balistik Korea Utara.

Selanjutnya, berdasarkan isi pekerjaan spesifik para peretas Korea Utara, pengembang teknis ini biasanya memperoleh pekerjaan dan pendapatan gaji melalui platform pekerjaan online, pengadaan, dan kontrak yang dioperasikan oleh perusahaan swasta luar negeri dengan menggunakan identitas warga negara negara lain.

Sekali lagi, selain itu, teknisi teknis Korea Utara tidak hanya memperoleh gaji karyawan normal, tetapi juga menimbulkan ancaman internal yang sangat tinggi terhadap informasi bisnis dan aset bisnis perusahaan tempat mereka bekerja. Sebagian besar di antara mereka memanfaatkan kesempatan ini untuk terlibat dalam pencurian informasi data, pencurian cryptocurrency, dan pencurian informasi sensitif.

Terakhir, dari segi metode implementasi, kegiatan persiapan dan teknik operasi peretas Korea Utara menjadi semakin kompleks, bahkan mencakup penggunaan model dan alat AI untuk membuat identitas palsu dan melakukan aktivitas ilegal di seluruh dunia.

Perlu dicatat bahwa informasi paling penting yang disebutkan dalam laporan ini adalah bahwa, berdasarkan wawancara langsung sebelumnya, peretas Korea Utara baru-baru ini telah meningkatkan "alur kerja" mereka—

• Saat ini, mereka sering kali merekrut sebagian staf teknis dari negara ketiga (seperti Iran, Lebanon, dll.) terlebih dahulu melalui situs perekrutan seperti LinkedIn;
• Selanjutnya, peretas Korea Utara akan meminta sebagian pengembang teknis untuk bekerja paruh waktu sebagai "pendamping wawancara", dengan imbalan kripto sebesar 500 dolar AS per bulan agar mereka membantu peretas masuk ke perusahaan target.
• Akhirnya, peretas Korea Utara menggantikan posisi mereka sendiri, masuk ke perusahaan target sebagai anggota tim, untuk mencapai penetrasi teknis, sambil mendapatkan gaji sesuai posisi tersebut, serta menunggu kesempatan untuk mencuri informasi dan data sensitif, aset kripto, dan kode teknis serta aset bisnis terkait.

Tidak diragukan lagi, dalam pertempuran keamanan yang terus meningkat, para peretas Korea Utara juga secara bertahap meningkatkan "SOP (alur kerja)" mereka, dan tujuan akhir mereka, tentu saja, adalah mengembalikan dana ke negara mereka.

Saat ini, metode serangan peretas Korea Utara sulit dicegah, tetapi masih dapat dilacak. Berikut adalah beberapa indikator yang perlu diwaspadai dan diperiksa oleh perusahaan:

Perusahaan yang mengoperasikan platform daring perlu memperhatikan aspek-aspek berikut:

• Karyawan sering mengubah informasi pendaftaran (nama akun, kontak, rekening bank penerima pembayaran, dll.).
• Nama pemegang identitas karyawan tidak sesuai dengan nama akun pembayaran yang terdaftar.
• Membuat beberapa akun penerima menggunakan dokumen identitas yang sama.
• Dokumen verifikasi identitas diduga palsu atau dibuat dengan perangkat lunak pengedit gambar atau alat generasi gambar AI.
• Beberapa akun teknis mengirim permintaan akses dari alamat IP yang sama.
• Satu akun melakukan permintaan akses dari banyak alamat IP dalam waktu singkat.
• Akun Anda tetap masuk dalam waktu lama yang tidak biasa.
• Jumlah jam kerja kumulatif atau indikator kerja terkait tidak normal (seperti waktu online terlalu lama, efisiensi kerja terlalu tinggi, beban kerja terlalu besar).
• Pengguna situs perekrutan membuat ulasan palsu sendiri untuk meningkatkan peringkat situs pekerjaan.

Bagi perusahaan yang merekrut karyawan atau melakukan wawancara, serta mempekerjakan pihak luar, perhatikan detail berikut untuk secara tepat waktu menghindari penetrasi internal oleh peretas Korea Utara:

• Profil kandidat mengandung kesalahan atau ekspresi yang tidak alami (diduga hasil terjemahan mesin), menyatakan tidak mahir dalam bahasa negara asalnya (mengingat keluasan layanan terjemahan AI, hanya dapat lebih memperhatikan ekspresi bahasanya).
• Dalam rapat video, terungkap detail palsu, seperti foto dan informasi identitas yang tidak sesuai; gambar video rapat dihasilkan oleh AI atau dengan bantuan pihak ketiga, ekspresi bahasa dan gerak-gerik tidak alami.
• Kandidat wawancara menolak mengikuti rapat video dan menolak menunjukkan wajahnya.
• Penawaran upah tenaga kerja di bawah harga pasar umum yang normal.
• Menunjukkan bahwa akun teknis pribadi tersebut dioperasikan oleh beberapa orang (biasanya menunjukkan bahwa aktivitas peretasan semacam ini sering dilakukan secara tim, dan pihak yang berinteraksi secara nyata mungkin berubah seiring waktu).
• Meminta pembayaran dalam bentuk cryptocurrency, menolak menyediakan informasi rekening bank dan rekening pembayaran lengkap.