Jika karyawan Anda mencari kerja atau mencoba perangkat lunak baru di komputer kantor, itulah persis jalur yang dilalui pencurian terbesar dalam sejarah kripto. Pada 3 November 2026, Binance menerbitkan temuan awalnya: serangan yang berdampak pada sekitar 6,34 miliar dolar AS pada 29 Oktober berawal dari dua wawancara kerja palsu dengan seorang insinyur dan berakhir dengan tes pemrograman yang ia unduh ke laptop kantornya. Pelajaran praktis untuk perusahaan Anda: tidak ada file dari perekrut luar di perangkat kerja, tidak ada perangkat lunak di luar daftar yang disetujui, dan tidak ada hak akses melebihi kebutuhan pekerjaan. Pada 31 Oktober kami menulis tentang siapa yang bisa memindahkan uang perusahaan Anda tanpa tanda tangan Anda; artikel ini membahas pintu yang dilalui penyerang.
Apa yang terjadi, langkah demi langkah?
Menurut uraian Binance tentang investigasi awalnya, serangan berlangsung dalam empat tahap:
- Juni 2026: seorang insinyur tim dompet yang sedang mencari alat pemrograman berbasis AI mengunduh installer Homebrew yang telah dimodifikasi dan berisi malware. Tim keamanan mendeteksinya, mengganti perangkat, dan memperbarui kredensialnya, tetapi informasi tentang dirinya dan rekan setimnya sudah bocor.
- September 2026: seseorang yang mengaku sebagai direktur proyek menghubungi insinyur kedua melalui platform lowongan kerja dan melakukan dua wawancara: panggilan video dengan seseorang yang mengaku perwakilan HR, lalu dengan orang yang mengaku CEO sebuah perusahaan fiktif. Pada wawancara kedua, ia diminta mengunduh tugas pemrograman ke komputer kantornya; kode berbahaya berjalan saat penyiapan dan tidak terdeteksi alat perlindungan endpoint.
- 20 Oktober 2026: penyerang memakai komputer yang telah dibobol dan sebuah alat AI internal Binance untuk mengambil alih komputer dua insinyur lainnya.
- 29 Oktober 2026: antara pukul 17:15 dan 19:56 UTC penyerang masuk ke komputer insinyur ketiga dengan kredensial yang dicuri dari insinyur pertama, menjalankan sebuah kontainer, dan memicu skrip berbahaya; transfer dari dompet panas menyusul antara pukul 20:05 dan 20:09.
Binance menyatakan sekitar 2,85 miliar dolar AS dibekukan atau dicegat, bahwa per 31 Oktober pihaknya telah mengganti 98% aset yang terdampak, dan bahwa sepanjang 2026 pihaknya mendeteksi dan mencegah 57 kasus ancaman yang diduga terkait Korea Utara. Dengan kata lain, bursa ini menangkis puluhan upaya, lalu jebol oleh satu.
Mengapa wawancara palsu itu berhasil?
Karena sama sekali tidak mirip email phishing. Karyawan itu tidak mengeklik tautan mencurigakan dari pengirim tak dikenal; ia mengikuti proses rekrutmen yang tampak nyata: platform terkenal, wawancara video, perwakilan HR yang membagikan konten dari akun pribadinya untuk membangun kepercayaan, lalu seorang CEO. Mengunduh dan menjalankan proyek adalah bagian wajar dari tes pengembang, sehingga permintaan itu tidak menonjol.
Taktik ini bukan hal baru. TechCrunch mencatat bahwa laporan CrowdStrike mengaitkan sekitar separuh penyusupan ke perusahaan teknologi AS tahun lalu dengan warga Korea Utara yang menyamar sebagai pekerja TI jarak jauh atau perekrut. Sasarannya bukan hanya bursa kripto, tetapi siapa pun yang memiliki akses ke sistem atau uang.
Celah kedua: perangkat lunak yang diunduh dari hasil pencarian
Kisahnya tidak dimulai dari wawancara. Tiga bulan sebelumnya, insinyur lain memasang perangkat lunak yang telah dimodifikasi saat mencari alat AI. Ini terjadi setiap hari di banyak perusahaan: karyawan mendengar tentang alat baru, mencarinya, mengeklik hasil pertama, lalu memasangnya dengan hak admin. Pelajaran yang lebih penting adalah Binance mengganti perangkat dan mengubah kata sandi, tetapi informasi tim yang sudah bocor tetap berada di tangan penyerang dan dipakai berbulan-bulan kemudian.
6 aturan untuk perangkat karyawan Anda minggu ini
- Tidak ada file rekrutmen luar di perangkat kerja: setiap tes, proyek, atau file dari pihak luar dibuka di mesin terpisah tanpa akses ke sistem perusahaan. Ini sejalan dengan saran para ahli yang dikutip TechTarget: jauhkan kode wawancara dari mesin mana pun yang dekat dengan lingkungan produksi.
- Hanya perangkat lunak dari daftar yang disetujui: cabut hak admin lokal dari karyawan, dan arahkan pemasangan melalui penanggung jawab TI dari situs resmi vendor, bukan dari iklan di hasil pencarian.
- Hak akses minimum: siapa pun yang bisa memindahkan uang atau mengubah sistem sensitif melakukannya dari akun dan perangkat khusus, bukan dari mesin yang ia pakai untuk berselancar dan mencoba alat.
- Batasi hak alat AI internal: di Binance, alat AI internal menjadi jembatan antarperangkat. Setiap alat yang menjangkau perangkat karyawan atau sistem Anda memerlukan hak akses sempit dan log atas semua yang dilakukannya.
- Deteksi bukan akhir insiden: jika sebuah perangkat dibobol, jangan hanya menggantinya. Anggap isinya sudah bocor, perbarui semua kata sandi, kunci, dan token yang terkait dengannya dan dengan timnya, serta pantau akun rekan kerja.
- Latih tim tentang phishing berkedok tawaran kerja: tawaran menarik yang meminta mengunduh file atau menjalankan kode adalah tanda bahaya, dan mencari kerja dari perangkat kantor membuat seluruh perusahaan terpapar. Jika Anda merekrut secara jarak jauh, verifikasi identitas kandidat sebelum memberi akses apa pun.
Apa kata Kontrol Keamanan Siber Esensial?
Kontrol Keamanan Siber Esensial ECC-2:2024 dari Otoritas Keamanan Siber Nasional Arab Saudi (NCA) wajib bagi instansi pemerintah dan entitas yang memiliki, mengoperasikan, atau menjadi tuan rumah infrastruktur nasional kritis, dan NCA sangat menganjurkan semua entitas lain untuk memanfaatkannya. Tiga di antaranya langsung mencakup insiden ini:
- Kontrol 1-10-3: program peningkatan kesadaran mencakup penanganan aman email dan phishing, penjelajahan internet, dan penggunaan media sosial.
- Kontrol 2-2-3-3: otorisasi berdasarkan prinsip perlu tahu dan perlu pakai, hak akses minimum, serta pemisahan tugas.
- Kontrol 2-3-3-1: perlindungan workstation dan server dari virus, program mencurigakan, dan malware dengan teknologi modern.
Pandangan Origami
Di perusahaan Saudi kami melihat pola yang sama dengan yang menjatuhkan Binance: satu perangkat yang dipakai karyawan untuk bekerja, berselancar, mencari peluang, dan mencoba setiap alat baru, dengan hak admin penuh karena lebih praktis. Penyerang tidak butuh eksploit canggih jika karyawan sendiri yang akan menjalankan filenya.
Solusinya bukan melarang karyawan belajar atau mencoba alat AI, melainkan membiarkan mereka mencobanya di lingkungan yang tidak menjangkau uang dan data. Saat membangun sistem untuk klien, sejak awal kami memisahkan akun harian dari akun berhak istimewa dan mencatat setiap akses ke akun tersebut.
Kesimpulan
Pembobolan senilai 6,34 miliar dolar AS tidak dimulai dari celah server, tetapi dari wawancara kerja dan aplikasi yang diunduh dari pencarian. Sisihkan satu jam minggu ini bersama penanggung jawab TI Anda: cabut hak admin lokal karyawan, tulis daftar perangkat lunak yang disetujui, pisahkan perangkat berakses sensitif, dan sampaikan kepada tim bahwa tidak ada file dari perekrut yang dibuka di perangkat kerja. Jika Anda ingin meninjau hak akses di sistem Anda, hubungi kami atau lihat layanan kami.
Sumber
- Binance — Security incident investigation update, 3 November 2026: kronologi Juni, September, 20 dan 29 Oktober, kedua wawancara, jumlah yang dibekukan dan diganti, serta 57 kasus ancaman.
- Otoritas Keamanan Siber Nasional (NCA) — Essential Cybersecurity Controls ECC-2:2024: cakupan dan kontrol 1-10-3, 2-2-3-3 dan 2-3-3-1.
- TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist, 3 November 2026: angka CrowdStrike dan peringatan sebelumnya.
- TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach, 3 November 2026: saran ahli tentang perangkat pengembang.
- Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion, November 2026: atribusi FBI kepada Korea Utara.
Tanya jawab
Perusahaan kami tidak bergerak di kripto. Apakah peretasan Binance relevan bagi kami?
Ya, karena serangan ini tidak menyasar hal yang khas kripto, melainkan karyawan yang memiliki akses. Wawancara kerja palsu dan perangkat lunak yang dimodifikasi dari hasil pencarian bisa membobol perusahaan mana pun yang punya karyawan dengan akses ke portal bank, sistem akuntansi, atau data pelanggan.
Bagaimana karyawan saya bisa mengenali tawaran kerja palsu?
Tanda paling jelas adalah permintaan untuk mengunduh dan menjalankan file atau proyek di perangkatnya sendiri, terutama setelah wawancara singkat dengan perusahaan yang informasinya tidak dapat diverifikasi. Meski tawarannya tampak asli, aturannya tetap sama: tidak ada file dari perekrut yang dibuka di perangkat kerja.
Apakah antivirus cukup untuk menghentikan serangan seperti ini?
Tidak. Dalam kasus Binance, kode berbahaya berjalan dan alat perlindungan endpoint tidak mendeteksinya. Perangkat lunak perlindungan hanyalah satu lapisan; perlu juga mencabut hak admin lokal karyawan, daftar perangkat lunak yang disetujui, dan memisahkan perangkat berakses sensitif dari perangkat untuk berselancar.
Apakah Kontrol Keamanan Siber Esensial NCA wajib bagi perusahaan swasta saya?
Kontrol ini wajib bagi instansi pemerintah dan entitas yang memiliki, mengoperasikan, atau menjadi tuan rumah infrastruktur nasional kritis. Untuk perusahaan lain, Otoritas Keamanan Siber Nasional sangat menganjurkan penggunaannya, dan kontrol tentang kesadaran, akses, serta perlindungan perangkat di dalamnya menjadi daftar periksa yang siap dipakai.
