Riset Ungkap 1.640 Perusahaan Jadi Korban Peretasan Korea Utara

Telset.id – Peneliti keamanan siber asal Yunani, Vangelis Stykas, mengungkap temuan mengejutkan bahwa operasi peretasan Korea Utara telah berdampak pada 1.640 perusahaan di 57 negara selama 22 bulan terakhir. Temuan ini akan dipaparkan dalam konferensi keamanan Black Hat di Las Vegas hari ini.

Stykas, yang menjabat sebagai CTO di perusahaan keamanan siber Kumio, menyatakan bahwa sekitar 700 hingga 800 organisasi yang terdampak mengalami intrusi yang “benar-benar merusak”. Tingkat akses yang didapatkan peretas terbilang ekstrem, mencakup akses root ke server, akses root ke AWS (Amazon Web Services), hingga kunci dan akses blockchain untuk perusahaan kripto.

Peneliti tersebut berhasil mengakses beberapa server command-and-control milik peretas, meski ia enggan mengungkapkan detail metode aksesnya karena sensitivitas informasi. Menariknya, dalam beberapa kasus, para peretas tampaknya terinfeksi malware buatan mereka sendiri, yang justru memberikan Stykas akses ke workstation para peretas.

“Saya punya akses ke Slack mereka, akses ke Discord mereka, akses ke banyak hal,” ungkap Stykas. Ia mengaku telah melihat sekitar 5 terabyte data secara total. Selama berbulan-bulan menyelidiki sistem tersebut, Stykas mengidentifikasi calon korban melalui analisis kunci developer, kode sumber, dan lainnya, kemudian mengungkapkan insiden tersebut kepada pihak yang terdampak.

Dalam presentasinya di Black Hat, Stykas secara publik menyebut sekitar selusin perusahaan yang terdampak. Perusahaan-perusahaan ini umumnya adalah mereka yang menangani pengungkapan dengan baik dan/atau memperbaiki potensi kompromi. Beberapa nama yang disebutkan antara lain Boston Children’s Hospital, perusahaan teknologi Jepang AEON Smart Technology, produsen ponsel China Oppo, perusahaan kripto Coinbase dan Uniswap Labs, Dewan Yudisial Tertinggi Italia, anak perusahaan bank Arab Saudi Al Rajhi Bank, serta Digitaal Vlaanderen bagian dari Pemerintah Flemish di Belgia.

Sejumlah perusahaan dan organisasi yang disebutkan tidak menanggapi permintaan komentar WIRED terkait insiden tersebut. Namun, Japan’s Computer Emergency Response Team mengonfirmasi temuan peneliti dan bekerja sama dengan AEON Smart Technology untuk “remediasi”.

Juru bicara pemerintah Flemish menyatakan, “Kami dapat mengonfirmasi bahwa kami diberitahu tentang insiden ini pada 3 Maret 2026 oleh Centre for Cybersecurity Belgium (CCB), menyusul pengungkapan peneliti. Sebagai bagian dari respons tersebut, workstation yang terdampak diisolasi dan kredensial serta akses yang berpotensi terekspos dicabut dan diputar ulang. Berdasarkan penyelidikan kami, insiden telah dikendalikan dan diperbaiki.”

Sementara itu, juru bicara Boston Children’s Hospital mengatakan insiden tersebut “melibatkan perangkat pribadi mantan kontraktor independen” dan bukan sistem rumah sakit. “Setelah menerima pemberitahuan, tim keamanan siber dan TI kami segera menyelidiki, menonaktifkan kredensial akses aktif yang tersisa dalam hitungan jam, dan tidak menemukan bukti akses tidak sah ke sistem Boston Children’s,” kata juru bicara tersebut, menambahkan bahwa “data yang dimaksud” sudah tersedia untuk publik.

Juru bicara Coinbase menyatakan mereka menyelidiki seorang kontraktor yang ternyata berada di Amerika Serikat dan “tidak menemukan bukti bahwa dia berada di Korea Utara atau berafiliasi dengan pemerintah DPRK” sebelum dilaporkan oleh peneliti. “Namun, kontrol keamanan kami mengidentifikasi potensi risiko dalam pengaturan teknologi mereka, menunjukkan bahwa mereka mungkin telah mengalihdayakan pekerjaan mereka ke pihak ketiga, dan kami mengakhiri kontrak kontraktor dalam 30 hari sejak onboarding, sebelum menerima informasi dari Vangelis Stykas,” jelas juru bicara tersebut. Mereka menambahkan bahwa “tidak ada informasi sensitif yang dikompromikan dan tidak ada data pelanggan yang terekspos.”

Meskipun banyak perusahaan menyimpan data yang sangat sensitif yang secara teoritis dapat diakses peretas—selain data kesehatan Boston Children’s Hospital, satu perusahaan AS lainnya memiliki akses luas ke catatan kriminal warga Amerika—para peretas sebagian besar berfokus pada akses ke dompet kripto dan mengabaikan sistem lain.

Dalam hampir semua kasus ratusan perusahaan yang diretas—serta kelompok lebih besar lebih dari seribu organisasi yang mendapatkan pijakan—para peretas menggunakan taktik sederhana yang terdokumentasi dengan baik: memikat pengembang perangkat lunak dengan tawaran pekerjaan palsu yang menjanjikan gaji tinggi. Setelah target tertarik, mereka diminta mengunduh program sebagai tes kemampuan coding, yang secara diam-diam menginstal malware di perangkat mereka. Teknik peretasan wawancara palsu ini dikenal dalam kampanye yang lebih luas bernama Contagious Interview sejak tahun 2022, menurut Microsoft.

Untuk banyak organisasi yang terdampak, kontraktor eksternal yang tampaknya dikompromikan—yang sering memegang kunci developer atau memiliki akses sistem ke banyak sistem—secara signifikan meningkatkan potensi dampak serangan. “Saya telah melihat beberapa kontraktor yang memiliki akses ke hingga 30 perusahaan,” jelas Stykas.

Operasi siber Korea Utara bersifat luas dan dinamis, menurut laporan yang diterbitkan perusahaan keamanan siber Dtex tahun lalu. Struktur dan operatornya sering beradaptasi untuk mendukung prioritas negara, seperti pembangunan ekonomi dan militer, pengembangan pendapatan, spionase, dan penghindaran sanksi. Negara ini kemungkinan memiliki beberapa ratus operator siber terampil yang sering dilatih sejak usia muda, dengan “beberapa ribu” pekerja IT yang mendapatkan pekerjaan jarak jauh palsu di perusahaan sah untuk menghasilkan uang yang dapat disalurkan ke rezim yang banyak mendapat sanksi. Pekerja siber dan IT sama-sama memiliki kuota pendapatan tahunan, menurut laporan Dtex.

Marcus Hutchins, peneliti intelijen ancaman untuk perusahaan keamanan siber Expel yang telah melacak kampanye serupa dengan daftar korban yang sama panjangnya, mengatakan gagasan bahwa satu kelompok peretas Korea Utara dapat mengkompromikan lebih dari seribu organisasi melalui umpan wawancara palsu bukanlah hal yang mengejutkan. Hutchins juga melihat fokus serupa pada pencurian kripto dalam beberapa kasus, hingga mengesampingkan data sensitif lainnya, namun memperingatkan bahwa hal ini seharusnya tidak menjadi penghiburan.

“Tampaknya tim cenderung bertahan pada tugas mereka untuk mendapatkan dompet kripto. Tetapi jelas ada risiko bahwa jika mereka mempertahankan akses persisten ke sebuah perusahaan, salah satu tim spionase kemudian bisa memanfaatkan akses itu,” kata Hutchins. “Yang diperlukan hanyalah satu orang diberikan akses ke sistem itu, dan mereka bisa melakukan apa saja.”

Mengingat bahaya pelanggaran tersebut—baik dalam hal paparan data sensitif maupun pencurian kripto yang terus berlanjut yang memperkaya rezim Korea Utara—kekhawatiran sebenarnya seharusnya bukan pada perusahaan yang disebut Stykas, melainkan perusahaan yang tidak ia sebutkan. Perusahaan-perusahaan itu termasuk ratusan yang tidak pernah menanggapi peringatannya, serta lebih banyak lagi yang ditambahkan ke daftar setiap hari.

“Ini dimulai sebagai proyek sampingan, dan sekarang menjadi pekerjaan penuh waktu saya,” ujarnya. “Mereka ada di sini, mereka meretas kita tanpa henti,” kata Stykas. “Pada akhirnya, semua orang diretas. Cara Anda memperlakukan fakta bahwa Anda diretas adalah yang membedakan perusahaan baik dari perusahaan buruk. Dan kami telah melihat banyak perusahaan buruk.”

Temuan ini menyoroti pentingnya manajemen risiko keamanan yang proaktif. Perusahaan perlu memahami bahwa ancaman tidak hanya datang dari serangan langsung, tetapi juga melalui rantai pasokan dan kontraktor eksternal. Pendekatan seperti Kelola Security Debt menjadi semakin relevan dalam konteks ini.

Selain itu, investasi di bidang keamanan siber semakin menunjukkan urgensinya. Konsolidasi industri seperti Cyera Akuisisi Oasis menunjukkan bahwa keamanan menjadi prioritas utama. Teknologi deteksi ancaman juga terus berkembang, termasuk kemampuan Savi Security Deteksi yang menggunakan AI untuk memantau panggilan langsung.

Insiden ini juga menjadi pengingat bahwa ancaman siber dapat menyasar berbagai sektor, dari layanan kesehatan hingga lembaga pemerintah dan perusahaan teknologi. Respons yang cepat dan transparan, seperti yang dilakukan beberapa perusahaan yang disebutkan, menjadi pembeda dalam menangani insiden keamanan.