Lanskap ancaman siber yang menargetkan ekosistem finansial, eksekutif korporat, dan industri kripto (Web3) telah berevolusi menjadi sebuah jalur akuisisi korban yang terautomasi dan sangat ter orkestrasi. Aktor ancaman yang disokong negara Korea Utara, BlueNoroff (juga dilacak sebagai klaster ClickFake Interview), terdeteksi mengoperasikan perangkat phishing dinamis yang memanfaatkan domain Zoom dan Microsoft Teams palsu (typosquatting) dengan teknik ClickFix.

Lebih dari sekadar phishing konvensional, kampanye yang dimonitor aktif secara intensif hingga Juli 2026 ini menggabungkan penyalahgunaan kepercayaan (trust abuse), pembajakan sesi komunikasi, pemindaian dompet digital, hingga penggunaan Deepfake AI secara real-time untuk menipu target bernilai tinggi.

Baca Juga: Evolusi Phishing Menjadi Pembajakan Sesi Real-Time, Sindikat "InsureOTP Kit" Eksploitasi Iklan Google Ads

Anatomi Serangan: Siklus Rekayasa Sosial yang Memperbanyak Diri

Kampanye ini beroperasi layaknya platform bisnis dengan sistem kendali operator (operator-driven panel). Infiltrasi tidak dimulai dari email asing, melainkan dari kontak tepercaya yang telah diretas.

1. Eskalasi via Telegram dan Calendly Penyerang membajak akun Telegram sah milik individu di industri keuangan atau kripto. Dari akun terpercaya tersebut, mereka menghubungi eksekutif perusahaan target dan mengirimkan tautan jadwal rapat menggunakan Calendly.

• Efek Berantai: Setiap korban yang mengeksekusi muatan dengan kondisi Telegram Web/Desktop terbuka, sesi (session cookies) mereka akan dicuri. Akun korban kemudian otomatis digunakan untuk menyerang daftar kontak mereka sendiri.

2. Manipulasi Visual: Deepfake AI dan Intersepsi Webcam Tautan Calendly mengarahkan korban ke laman Zoom atau Teams palsu. Saat korban mengizinkan akses kamera dan mikrofon, video mereka diam-diam dipancarkan ke panel kendali operator menggunakan protokol mediasoup WebRTC.

• Inovasi Deepfake: Di dalam "ruang rapat", korban melihat lawan bicara (admin/relasi) yang tampak sah. Faktanya, video tersebut adalah generasi AI dari OpenAI ChatGPT (foto wajah/headshot) yang disuperposisikan di atas gerakan tubuh asli yang direkam dari rapat-rapat sebelumnya. Setiap serangan yang sukses memberikan bahan baku video baru untuk menipu korban berikutnya.

3. Pemicu "ClickFix": Manipulasi Psikologis Saat korban kebingungan di ruang tunggu, operator secara manual mengirimkan pesan obrolan palsu seperti: "Mikrofon Anda tidak terdengar, harap perbarui Zoom/Teams SDK Anda."Pesan ini disertai tombol pembaruan yang memicu eksekusi muatan berbahaya (ClickFix payload).

Perangkat phishing ini bersubstansi agnostik dan dirancang untuk melumpuhkan sistem operasi paling populer yang digunakan oleh eksekutif:

Berdasarkan analisis teknis, terdapat alasan strategis mengapa Korea Utara memprioritaskan Zoom dan Microsoft Teams, sementara Google Meet diabaikan:

1. Logika Prasyarat (ClickFix Pretext): Alasan "SDK perangkat lunak perlu diperbarui" hanya masuk akal bagi aplikasi berbasis klien desktop kelas berat seperti Zoom dan Teams. Google Meet yang berbasis peramban murni (browser-first) tidak memiliki narasi pembaruan yang kredibel.
2. Kesesuaian Target: Zoom dan Teams adalah platform standar yang digunakan oleh pendiri korporasi, modal ventura (VC), dan eksekutif keuangan global untuk rapat kemitraan strategis.
3. Kemudahan Typosquatting: Struktur subdomain Zoom (contoh: us.zoom.06webin.us) sangat mudah ditiru dan mengecoh mata awam dibandingkan domain tunggal meet.google.com.

kampanye BlueNoroff ini mengonfirmasi satu pergeseran krusial dalam keamanan siber korporat: identitas, hubungan bisnis, dan saluran komunikasi kini menjadi perimeter keamanan yang paling rentan. Mengamankan infrastruktur server tidak lagi cukup ketika penyerang menjadikan relasi bisnis dan kepercayaan manusia sebagai vektor eksploitasi utama.

Analisis Taktis untuk Eksekutif (C-Level & CISO):

1. Bahaya Laten Sesi Telegram Korporat: Banyak eksekutif dan tim finansial menggunakan Telegram Desktop/Web untuk komunikasi bisnis cepat. Fakta bahwa peretas menargetkan cookie sesi Telegram berarti Otentikasi Dua Faktor (2FA) Telegram Anda tidak berguna jika sesi peramban berhasil dicuri. Perusahaan harus membatasi penggunaan aplikasi perpesanan non-korporat pada perangkat kerja resmi.
2. Evolusi Pelatihan Security Awareness: Pelatihan anti-phishing tradisional yang hanya mengajarkan cara melihat "alamat pengirim email aneh" telah usang. Eksekutif harus dilatih untuk menghadapi serangan berantai dari kontak yang mereka kenal, serta memahami bahwa ancaman kini dapat hadir dalam bentuk video wawancara/rapat deepfake.
3. Pengerasan Endpoint Eksekutif (EDR): Mengingat muatan Windows mampu menambahkan pengecualian pada Microsoft Defender dan muatan macOS mampu menembus iCloud Keychain, perangkat eksekutif C-Level wajib dilindungi oleh solusi Endpoint Detection and Response (EDR) dengan aturan ketat yang memblokir eksekusi skrip dari direktori peramban atau aplikasi komunikasi.

Jangan membiarkan reputasi dan aset finansial perusahaan Anda runtuh karena manipulasi kepercayaan berbasis AI. Memastikan bahwa jajaran eksekutif dan sistem komunikasi perusahaan Anda kebal terhadap rekayasa sosial mutakhir adalah prioritas absolut.