NPA Jepang dan FBI Bongkar Grup Peretas Korea Utara yang Manfaatkan Lowongan Kerja Palsu untuk Mencuri Aset Kripto

Pada 18 September, sejumlah lembaga termasuk National Police Agency (NPA) Jepang dan U.S. Federal Bureau of Investigation (FBI) mengungkap bahwa kelompok peretas Korea Utara WaterPlum (juga dikenal sebagai "Contagious Interview") sudah lama menyamar sebagai perekrut atau perusahaan kripto untuk menjebak pengembang menjalankan kode berbahaya dengan dalih tes pemrograman dan kolaborasi proyek. Dalam periode Desember 2025 hingga Juli 2026, jaringan ini menginfeksi lebih dari 30.000 perangkat di lebih dari 100 negara. Mereka memindahkan dana atau mencuri kredensial akun dari lebih dari 7.000 dompet kripto, dengan nilai aset sedikitnya US$10,71 juta. Jika sebelumnya serangan lebih banyak menyasar bursa dan institusi besar, kini fokus WaterPlum meluas ke pengembang individu, pekerja lepas, dan profesional Web3. Otoritas menilai pelaku bukan hanya menguras aset dompet, tetapi juga memanfaatkan komputer dan identitas korban untuk menyusup ke perusahaan tempat korban bekerja. Akses ini dapat membuka jalan bagi pencurian rahasia dagang, pemerasan, hingga penyamaran identitas korban untuk melamar pekerjaan. Modus "rekrutmen gaji tinggi" Pintu masuk paling umum dalam operasi WaterPlum bukan email phishing, melainkan tawaran kerja yang terlihat sah. Pelaku mengaku sebagai perusahaan AI, kripto, atau NFT dan menghubungi developer lewat media sosial, platform lowongan kerja online, platform gig, serta marketplace freelancer. Setelah kontak awal, kandidat biasanya diajak wawancara video atau diminta mengerjakan tes. Serangan sebenarnya terjadi pada tahap "penilaian teknis". Kandidat dikirimi repositori kode dan diminta menjalankan proyek di komputer lokal, memperbaiki bug, atau membantu mengatasi masalah aplikasi konferensi video. Proyek tampak seperti JavaScript, Python, atau proyek VS Code biasa, tetapi di dalamnya disisipkan kode jahat. WaterPlum kerap memakai paket NPM (Node.js package manager) yang sudah terinfeksi, melibatkan beberapa keluarga malware seperti BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, dan StoatWaffle. Sejumlah proyek berbahaya memanfaatkan konfigurasi .vscode/tasks.json agar kode dieksekusi otomatis setelah pengguna membuka dan mempercayai folder di VS Code. Bagi korban, prosesnya terlihat sederhana: mengunduh kode, membuka proyek, lalu menjalankan program sesuai arahan "pewawancara", sementara malware terpasang diam-diam. Setelah mendapat akses awal, pelaku menanam remote access trojan untuk mempertahankan kendali jangka panjang serta menjalankan program pencuri informasi. Target utama meliputi: - Akun dan kata sandi yang tersimpan di browser; - Isi clipboard, rekaman input keyboard, dan tangkapan layar; - Private key dompet kripto, recovery phrase, serta data terkait; - File di komputer dan folder bersama; - Foto dokumen identitas seperti SIM dan paspor. Data ini dikirim ke server yang dikendalikan pelaku. Meski dompet korban belum berisi aset saat itu, begitu private key atau mnemonic phrase bocor, pelaku dapat memantau alamat tersebut dalam jangka panjang dan memindahkan dana begitu aset masuk. Risiko juga merambat ke perusahaan. Developer biasanya memiliki akses ke repositori kode, layanan cloud, dan sistem internal. WaterPlum dapat memanfaatkan kredensial login dan izin yang tersimpan di perangkat untuk menembus sistem perusahaan, klien, atau mitra; melakukan pergerakan lateral di jaringan; mencuri rahasia dagang; atau memakai data sensitif untuk pemerasan. "Hub kerja jarak jauh" di rumah tinggal luar negeri NPA Jepang dan FBI menyebut dokumen identitas yang dicuri juga digunakan untuk mendukung operasi lain: identitas korban diserahkan kepada personel TI Korea Utara yang menyamar sebagai korban untuk melamar pekerjaan di luar negeri dan memperoleh devisa. Dalam skema ini, WaterPlum berperan menyebarkan malware lewat lowongan kerja palsu, sedangkan personel TI Korea Utara menyamar sebagai developer luar negeri untuk menyusup ke perusahaan. Otoritas menemukan adanya tumpang tindih personel dan infrastruktur di antara kedua kelompok. NPA dan FBI menilai anggota WaterPlum dan sebagian personel TI Korea Utara terkait dengan Biro 313 dari Military Industry Department di bawah Central Committee Partai Pekerja Korea. Untuk mengakali verifikasi perusahaan terkait identitas dan lokasi kerja, personel TI Korea Utara bekerja sama dengan perantara di luar negeri. Perantara menyiapkan komputer kerja di rumah setempat, menyediakan informasi identitas, serta menerima gaji atas nama mereka. Pekerjaan sesungguhnya dikerjakan jarak jauh dari Korea Utara, Rusia, dan wilayah lain, sehingga rumah-rumah tersebut berfungsi sebagai "hub kerja jarak jauh" yang menyamarkan lokasi dan identitas operator. Dengan model tersebut, pekerja TI Korea Utara dapat masuk ke sistem perusahaan melalui komputer dan jaringan lokal di Jepang atau Amerika Serikat, sehingga perusahaan mengira karyawan berada secara fisik di negara itu. Pihak yang membantu juga menerima komputer yang diterbitkan perusahaan, menyediakan dokumen identitas dan rekening bank, lalu meneruskan gaji kepada pekerja sebenarnya. Otoritas menyebut ini pertama kalinya fasilitas semacam itu terungkap di Jepang. Investigasi menemukan pihak yang terlibat tidak hanya membantu penyamaran identitas dan memperoleh pekerjaan, tetapi juga memindahkan dana puluhan juta yen ke luar negeri, termasuk aset kripto. Pemberitahuan itu menegaskan bahwa perusahaan atau individu yang mempekerjakan, membayar, atau membantu personel TI Korea Utara dengan identitas, rekening bank, atau perangkat jarak jauh berpotensi melanggar hukum setempat dan menabrak sanksi terhadap Korea Utara. Risiko yang ditimbulkan tidak berhenti pada aliran gaji. Dalam satu kasus, pekerja TI Korea Utara memeras perusahaan akibat sengketa pembayaran dan merilis kode sumber proprietary. Kasus lain mencatat individu yang dikontrak untuk memelihara situs web justru mengubahnya secara berbahaya hingga situs tidak dapat diakses. Lamaran palsu ke bursa kripto Jepang Perusahaan kripto disebut sebagai salah satu industri utama yang dibidik personel TI Korea Utara. Pada Mei 2025, sebuah bursa kripto di Jepang menerima lamaran posisi engineering dari kandidat yang dicurigai sebagai pekerja TI Korea Utara. Kandidat mengakses lowongan melalui VPN dan mengirim resume palsu. Resume tersebut tampak sangat meyakinkan: kandidat mengklaim menguasai banyak bahasa pemrograman, teknologi blockchain, sistem kripto, dan layanan cloud, dengan lebih dari sepuluh keterampilan serta pengalaman relevan di tiap kategori. Latar belakang pribadi mencantumkan pendidikan di universitas Eropa dan riwayat kerja lintas beberapa kota di Eropa dan Asia dalam rentang waktu singkat. Dalam wawancara video, kandidat mengaku lahir di Malaysia dan tinggal di Finlandia, dengan bahasa Melayu dan Mandarin sebagai bahasa ibu. Namun, kemampuan bahasa Inggrisnya tidak selaras dengan klaim pendidikan dan pengalaman kerja: ia hanya mampu menjawab pertanyaan dasar dan tidak bisa menjelaskan secara rinci sebagian besar keterampilan teknis di resume. Peringatan itu juga merangkum ciri umum kandidat lain yang dicurigai sebagai personel TI Korea Utara, antara lain menolak pertemuan tatap muka, meminta pembayaran dalam kripto, sering melirik layar lain, terdengar suara orang lain di latar, serta video atau audio kerap buffering. Kebiasaan melirik layar lain dinilai dapat menandakan kandidat membaca jawaban dari pihak lain; meski hanya satu orang terlihat di kamera, beberapa orang bisa saja bekerja sama untuk mengarang kompetensi teknis di resume. Langkah mitigasi: menghapus malware saja tidak cukup Otoritas menekankan bahwa setelah perangkat terinfeksi, sekadar menghapus malware tidak menjamin aman. Walaupun aset dompet belum sempat dipindahkan, menjalankan kode yang tidak tepercaya bisa berarti private key, seed phrase, atau kredensial login browser sudah dicuri, hanya saja pelaku belum bertindak. Pelaku juga dapat mempertahankan backdoor dan menunggu momen yang lebih menguntungkan. Sejumlah lembaga internasional menyarankan agar kode dari pihak asing tidak dijalankan langsung di perangkat yang menyimpan aset kripto atau menangani data sensitif. Jika pengujian diperlukan, gunakan sandbox atau mesin virtual yang terisolasi dari lingkungan kerja harian, dan periksa proyek sebelum dieksekusi untuk mendeteksi kode yang di-obfuscate, sulit dibaca, atau mengunduh komponen secara otomatis. Waspadai skrip yang memuat perintah seperti curl, base64, mshta, InvokeWebRequest, atau perintah lain untuk mengunduh, mengenkode, atau menyamarkan eksekusi; jangan jalankan jika tidak sepenuhnya memahami tujuannya. Jika perangkat ditandai antivirus sebagai terinfeksi, atau Anda pernah menjalankan program dari pemberi kerja yang mencurigakan, segera putuskan koneksi jaringan. Meski malware kemudian dihapus, perlakukan data dompet sebagai sudah bocor: buat dompet baru di perangkat terpisah yang aman, pindahkan seluruh aset, dan simpan mnemonic phrase baru secara offline. Karena kemungkinan backdoor yang belum terdeteksi masih ada di komputer yang terinfeksi, langkah paling aman adalah mencadangkan data penting lalu melakukan instal ulang atau reset sistem operasi sepenuhnya, bukan melanjutkan penggunaan lingkungan yang sama.