SSN
Coba Sekarang

Social Engineering Wall Street: Peretas Tak Membobol Server, Mereka Menipu Orang di Dalamnya

Awal Agustus 2026, sejumlah karyawan perusahaan pengelola dana besar di Wall Street menerima telepon yang sekilas terdengar biasa.

Penelepon mengaku berasal dari help desk TI perusahaan.

Pesannya mendesak. Ada migrasi keamanan yang harus segera dilakukan. Karyawan diminta memperbarui autentikasi multifaktor atau mengaktifkan passkey melalui tautan yang diberikan selama percakapan.

Masalahnya, penelepon itu bukan staf TI.

Tautannya juga bukan milik perusahaan.

Itulah inti social engineering Wall Street yang belakangan membuat sejumlah hedge fund dan perusahaan keuangan besar meningkatkan kewaspadaan. Penyerang tidak mencoba membobol server dari luar. Sebaliknya, mereka mencoba membuat orang di dalam perusahaan menyerahkan akses secara sukarela.

Point72 Asset Management mengakui menjadi sasaran serangan dan memberi tahu investornya pada 5 Agustus. Berdasarkan pemeriksaan awal, perusahaan tidak menemukan indikasi informasi klien dicuri. Two Sigma juga mengatakan tim keamanannya bergerak cepat dan tidak menemukan dampak terhadap data atau sistem.

Nama lain seperti Citadel dan Millennium Management ikut disebut dalam laporan media. Namun satu hal harus dibedakan dengan jelas:

menjadi target bukan berarti berhasil diretas.

Sampai informasi yang tersedia, tidak ada dasar untuk mengatakan seluruh perusahaan tersebut berhasil ditembus.

Yang membuat kasus ini penting justru bukan hasil akhirnya.

Melainkan caranya.

Apa Itu Serangan Social Engineering Wall Street?

Social engineering adalah teknik manipulasi yang memanfaatkan kepercayaan, tekanan waktu, rasa takut, atau kewenangan palsu agar korban melakukan sesuatu yang menguntungkan penyerang.

Dalam kampanye Wall Street ini, teknik yang digunakan lebih spesifik lagi: vishing, atau voice phishing.

Google Threat Intelligence Group melacak aktivitas dengan pola serupa sebagai UNC6671.

Modusnya relatif konsisten.

Pelaku menelepon karyawan sambil menyamar sebagai petugas help desk. Mereka membawa alasan yang terdengar masuk akal, seperti:

Yang menarik, penelepon sering menghubungi ponsel pribadi karyawan, bukan telepon kantor.

Langkah ini penting.

Percakapan yang terjadi di luar sistem komunikasi perusahaan bisa berada di luar sebagian pengawasan keamanan korporat. Selain itu, karyawan cenderung menganggap nomor pribadi sebagai ruang komunikasi yang lebih informal.

Dalam beberapa kasus, pelaku bahkan memalsukan caller ID agar nomor yang muncul terlihat seperti nomor help desk yang sebenarnya.

Akibatnya, korban tidak merasa sedang berbicara dengan penjahat.

Mereka merasa sedang mengikuti prosedur TI.

Help Desk Palsu Membuat Serangan Terlihat Normal

Bayangkan Anda bekerja di perusahaan investasi besar.

Ponsel berdering.

Nomor help desk kantor muncul di layar.

Orang di seberang tahu nama perusahaan Anda. Ia memahami istilah seperti MFA, Okta, Microsoft 365, SSO, atau passkey.

Kemudian dia mengatakan:

“Ada pembaruan keamanan. Akun Anda harus didaftarkan ulang sekarang.”

Kalimat seperti itu tidak terdengar berbahaya.

Justru terdengar membosankan.

Dan di situlah kekuatan social engineering.

Penyerang tidak harus membuat cerita bombastis. Mereka cukup meniru pekerjaan rutin yang memang biasa dilakukan tim TI.

Setelah korban percaya, tahap berikutnya dimulai.

Situs Login Tiruan Dibuat Khusus untuk Korban

Korban kemudian diarahkan ke sebuah halaman login.

Namun situs tersebut bukan portal resmi perusahaan.

Google menemukan domain dengan pola seperti passkeyhelpdesk, addssopasskey, atau createssopasskey. Nama perusahaan calon korban kemudian dapat ditempelkan pada subdomain sehingga tampilannya terasa jauh lebih personal.

Dengan demikian, korban tidak melihat halaman phishing generik.

Ia melihat halaman yang seolah-olah memang dibuat untuk organisasinya sendiri.

Infrastruktur yang dianalisis kemudian menunjukkan skala kampanye yang cukup besar. Reuters menemukan lebih dari 200 perusahaan muncul dalam infrastruktur penargetan selama sekitar lima pekan.

Nama-nama yang muncul antara lain perusahaan private equity, hedge fund, lembaga pemeringkat, dan perusahaan keuangan besar.

Sekali lagi, kemunculan sebuah nama di infrastruktur phishing tidak otomatis membuktikan perusahaan tersebut berhasil ditembus.

Namun hal itu menunjukkan bahwa penyerang melakukan pemetaan target secara serius.

Ini bukan spam acak.

Target dipilih.

Domain disiapkan.

Skenario dibuat.

Kemudian orang di dalam perusahaan ditelepon satu per satu.

Bagaimana Vishing Dipakai untuk Mencuri Login dan MFA?

Banyak perusahaan merasa jauh lebih aman setelah menggunakan autentikasi multifaktor.

Password saja memang sudah tidak cukup.

Karena itu, perusahaan menambahkan:

Masalahnya, beberapa jenis autentikasi masih dapat disalahgunakan melalui phishing secara real time.

UNC6671 menggunakan teknik Adversary-in-the-Middle atau AiTM.

Sederhananya, halaman palsu berdiri di antara korban dan situs asli.

Ketika korban memasukkan username dan password, informasi tersebut diteruskan ke layanan sebenarnya. Dari sisi korban, proses login terlihat normal.

Kemudian muncul tahap MFA.

Jika korban memasukkan kode autentikasi ke halaman palsu atau menyetujui permintaan login yang sebenarnya dibuat penyerang, akses dapat diteruskan. Dalam skenario tertentu, penyerang juga dapat mengambil token sesi yang sudah berhasil diautentikasi.

Jadi, persoalannya bukan:

“MFA tidak berguna.”

Pernyataan itu keliru.

Yang lebih tepat adalah:

tidak semua MFA memiliki tingkat ketahanan phishing yang sama.

Setelah MFA Lewat, Target Berikutnya Adalah Cloud

Begitu akses berhasil diperoleh, serangan tidak berhenti pada satu akun email.

Google menemukan bahwa UNC6671 menggunakan skrip otomatis untuk mengambil data dari lingkungan perusahaan seperti Microsoft 365 dan Okta.

Ini menunjukkan satu perubahan penting dalam keamanan perusahaan modern.

Dulu, orang membayangkan penyerang harus masuk ke jaringan kantor atau mengambil alih server.

Sekarang banyak aset penting berada di cloud.

Email.

Dokumen internal.

SharePoint.

Aplikasi bisnis.

Identitas pengguna.

Data proyek.

Jika penyerang berhasil mengambil identitas digital seorang karyawan yang memiliki akses luas, banyak pintu dapat terbuka tanpa harus meretas sebuah server secara langsung.

Karena itu, identitas kini menjadi salah satu perimeter keamanan terpenting dalam perusahaan.

Penyerang Bahkan Menghapus Peringatan Keamanan

UNC6671 juga tidak hanya mengambil akses lalu pergi.

Dalam sejumlah kasus, akun email yang sudah dikuasai digunakan untuk mengatur ulang password layanan lain yang tidak terhubung ke sistem SSO perusahaan.

Kemudian muncul masalah berikutnya.

Saat password diubah, biasanya layanan mengirim:

Pesan-pesan seperti itu bisa membuat korban curiga.

Karena itu, penyerang menghapusnya.

Hasilnya, pengguna tetap bekerja seperti biasa sementara akses di belakang layar telah berubah.

Ini adalah salah satu alasan serangan terhadap identitas bisa berbahaya.

Penyerang tidak selalu membuat komputer korban mati.

Tidak selalu muncul layar aneh.

Tidak selalu ada file ransomware.

Kadang semuanya terlihat normal.

Passkey Justru Dipakai sebagai Umpan Social Engineering

Bagian paling ironis dari social engineering Wall Street ini adalah passkey.

Penyerang menelepon korban dengan alasan:

“Kami sedang membantu Anda mengaktifkan passkey.”

Padahal, passkey yang diterapkan dengan benar justru merupakan salah satu pertahanan terbaik terhadap phishing.

Passkey dan kunci keamanan berbasis FIDO2/WebAuthn bekerja berbeda dari password biasa.

Kredensialnya terikat secara kriptografis ke situs yang benar.

Jadi meskipun penyerang membuat halaman palsu yang sangat mirip dengan portal perusahaan, domain tersebut tetap berbeda.

Passkey yang benar akan mengenali perbedaan itu.

Karena itulah Google merekomendasikan autentikasi tahan phishing berbasis FIDO2.

Ironinya, penyerang tidak mencoba memecahkan teknologi tersebut.

Mereka justru menggunakan proses pemasangan passkey sebagai cerita social engineering.

Dengan kata lain:

pertahanannya dijadikan umpan.

UNC6671 dan Bisnis Pemerasan Jutaan Dolar

Google mengaitkan aktivitas UNC6671 dengan beberapa merek pemerasan, termasuk BlackFile.

BlackFile sempat terlihat menghentikan operasinya pada Mei 2026. Namun aktivitas terkait kemudian muncul menggunakan sejumlah nama lain seperti Redact, Pink, Helix, dan Falcon.

Apakah semuanya kelompok yang persis sama?

Belum tentu.

Google masih membuka kemungkinan adanya kelompok inti yang menggunakan beberapa merek, pecahan afiliasi, atau infrastruktur phishing yang dipakai bersama.

Namun dari sisi korban, nama sebenarnya bukan persoalan utama.

Modusnya tetap:

telepon → bangun kepercayaan → arahkan ke situs palsu → ambil akses → curi data → lakukan pemerasan.

Dan hasil finansialnya nyata.

Google bersama peneliti blockchain ZachXBT melacak 18 dompet Bitcoin yang berkaitan dengan aktivitas BlackFile.

Antara 7 Januari hingga 12 Mei 2026, dompet-dompet tersebut menerima sekitar 141,65 BTC, yang nilainya saat transaksi diperkirakan mencapai US$10,69 juta.

Permintaan tebusan awal bisa berada di kisaran US$1 juta hingga lebih dari US$3 juta.

Namun setelah negosiasi, nilainya sering turun tajam. Dalam lebih dari separuh kasus yang ditelusuri Google, pembayaran akhir rata-rata berada di sekitar US$750.000.

Itulah alasan sederhana mengapa modus seperti ini terus digunakan.

Social engineering murah dilakukan, tetapi hasilnya bisa jutaan dolar.

Mengapa Wall Street Menjadi Target yang Sangat Menarik?

Target UNC6671 berubah seiring waktu.

Pada April dan Mei, aktivitasnya terlihat menyasar sektor manufaktur, properti, kesehatan, dan asuransi.

Kemudian pada Juni, target bergeser ke teknologi, transportasi, dan perhotelan.

Memasuki Juli, fokusnya semakin kuat pada sektor keuangan dan hukum.

Perubahan itu masuk akal.

Perusahaan investasi, private equity, hedge fund, firma hukum, dan lembaga pemeringkat menyimpan data yang bernilai sangat tinggi.

Mereka dapat memiliki informasi tentang:

Dengan demikian, satu akun yang berhasil dikuasai bisa membuka akses menuju informasi yang jauh lebih bernilai daripada saldo rekening korban individual.

Social Engineering Wall Street Sangat Relevan untuk Indonesia

Modusnya mungkin terjadi di Wall Street.

Namun teknik dasarnya bukan sesuatu yang asing di Indonesia.

Pelaku menyamar sebagai pihak yang dipercaya.

Mereka menciptakan rasa mendesak.

Kemudian korban diminta mengikuti instruksi sebelum sempat memeriksa kebenarannya.

Satgas PASTI OJK bahkan telah memperingatkan masyarakat mengenai penggunaan AI untuk meniru suara dan wajah dalam penipuan.

Penting untuk dibedakan: belum ada bukti publik bahwa setiap panggilan UNC6671 menggunakan suara AI.

Namun perkembangan voice cloning membuat social engineering semakin sulit dikenali hanya berdasarkan suara.

Nomor telepon dapat dipalsukan.

Suara bisa ditiru.

Portal login dapat dibuat menyerupai situs asli.

Informasi jabatan seseorang dapat dicari dari internet.

Sementara itu, skala penipuan di Indonesia sendiri sudah sangat besar.

Sejak IASC beroperasi pada November 2024 hingga akhir Juli 2026, tercatat lebih dari 637 ribu laporan dengan hampir 1,18 juta rekening dilaporkan. Lebih dari 607 ribu rekening telah diblokir.

Artinya, persoalan social engineering bukan hanya masalah perusahaan Wall Street.

Targetnya berbeda.

Prinsip manipulasi manusianya sama.

Cara Menghadapi Social Engineering di Lingkungan Perusahaan

Teknologi tetap penting.

Perusahaan perlu menggunakan:

Namun ada satu aturan yang lebih sederhana.

Jika seseorang menelepon secara mendadak dan meminta Anda:

jangan langsung mengikuti instruksinya.

Tutup panggilan.

Kemudian cari sendiri nomor help desk dari direktori resmi perusahaan dan hubungi kembali.

Jangan menggunakan nomor yang diberikan penelepon.

Jangan percaya hanya karena caller ID terlihat benar.

Dan jangan menganggap seseorang sah hanya karena dia mengetahui nama perusahaan, jabatan, atau sistem yang Anda gunakan.

Ketika Manusia Menjadi Pintu Masuk

Kasus social engineering Wall Street memperlihatkan paradoks keamanan siber modern.

Perusahaan bisa memiliki firewall mahal.

SOC yang bekerja 24 jam.

EDR di setiap laptop.

MFA di setiap akun.

Sistem keamanan cloud kelas enterprise.

Namun seluruh pertahanan itu masih bertemu pada satu titik:

manusia yang harus mengambil keputusan.

UNC6671 memahami kelemahan tersebut.

Karena itu, mereka tidak selalu mencoba membobol teknologi terlebih dahulu.

Mereka membuat teknologi terlihat seolah sedang bekerja untuk mereka.

Nomor help desk dipalsukan.

Bahasa teknis digunakan.

Prosedur keamanan ditiru.

Rasa mendesak diciptakan.

Kemudian korban diminta membuka pintunya sendiri.

Pelajaran dari Wall Street akhirnya jauh lebih sederhana daripada teknologi yang digunakan untuk melindunginya.

Jangan hanya mengajari karyawan mengenali malware.

Ajari mereka mengenali manipulasi.

Karena dalam serangan ini, peretas tidak mengetuk server.

Mereka menelepon orang yang memiliki kuncinya.

Tagged , , , , , , , , , , , ,