Peretas Telepon Incar Perusahaan Investasi Raksasa AS: Blackstone hingga KKR Jadi Sasaran

Washington, 6 Agustus 2025 — Sekelompok peretas yang mengincar data perusahaan melalui panggilan telepon telah melancarkan serangan terkoordinasi terhadap puluhan institusi keuangan terkemuka Amerika Serikat dalam sebulan terakhir. Data dari Google dan platform intelijen internet yang ditinjau Reuters menunjukkan bahwa perusahaan investasi raksasa seperti Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, dan Moody's menjadi sasaran kampanye pencurian kata sandi yang dirancang dengan rapi.

Dalam laporan yang dipublikasikan Kamis lalu, Google mengungkapkan bahwa kelompok peretas ini beroperasi dengan berbagai nama samaran, seperti Redact, Pink, Falcon, dan Helix. Mereka membangun situs web tiruan yang dirancang untuk menjebak karyawan agar menyerahkan kredensial login. Google enggan mengomentari temuan Reuters, tetapi mengakui bahwa dalam sejumlah kasus, perusahaan yang tidak disebutkan namanya telah membayar uang tebusan. Reuters belum dapat memastikan perusahaan mana saja yang benar-benar berhasil dibobol.

Yang menarik, serangan ini justru menggunakan taktik berteknologi rendah: panggilan telepon. Para ahli menilai bahwa meskipun perusahaan telah memasang sistem keamanan canggih dan perlindungan berbasis kecerdasan buatan, metode lama seperti ini masih terbukti efektif. "Karena pagar sekarang sangat mewah dan berteknologi tinggi, kami hanya perlu menipu penjaga untuk membukakan pintu," ujar Lee Clark, manajer produksi intelijen ancaman siber di Retail and Hospitality ISAC. "Elemen manusia inilah yang menyebabkan serangan semacam ini meledak," tambahnya.

Google, melalui blog resminya, menyatakan bahwa para peretas baru-baru ini mengalihkan fokus ke sektor ekuitas swasta, firma hukum, dan lembaga pemeringkat kredit. Austin Larsen, analis ancaman utama di Google Threat Intelligence Group, menjelaskan bahwa pemilihan target didasarkan pada perhitungan finansial. "Ini soal uang," kata Larsen. "Mereka berpikir bahwa perusahaan-perusahaan ini memiliki data yang cukup sensitif sehingga jika diambil, mereka akan membayar untuk mencegahnya bocor."

Modus operandi yang digunakan cukup sederhana namun mematikan. Para peretas menghubungi karyawan di ponsel pribadi mereka, berpura-pura menjadi staf help desk perusahaan, bahkan menampilkan nomor telepon yang sesuai. Mereka mengklaim ada instruksi mendesak dari departemen IT untuk memperbarui passkey atau autentikasi multifaktor. Korban kemudian diarahkan ke situs web palsu bernama "passkeyhelpdesk" atau "secure-passkey". Jika karyawan memasukkan kata sandi, peretas langsung mencuri kode verifikasi yang dikirim melalui SMS atau aplikasi, lalu mengambil alih akun sebelum panggilan berakhir.

Larsen menegaskan bahwa taktik ini tidak bisa disebut canggih. "Canggih bukan kata yang tepat," ujarnya. "Ini hanya sangat efektif." Pernyataan ini menggarisbawahi bahwa keamanan siber tidak hanya soal teknologi, tetapi juga kesadaran manusia.

Bagi Indonesia, serangan ini menjadi peringatan penting. Sektor keuangan dan perusahaan investasi di dalam negeri, yang semakin terintegrasi dengan sistem global, perlu meningkatkan kewaspadaan terhadap serangan rekayasa sosial. Regulator seperti Otoritas Jasa Keuangan (OJK) dan Bank Indonesia mungkin perlu memperketat protokol keamanan siber, terutama untuk perusahaan yang menangani data sensitif. Pelatihan karyawan untuk mengenali taktik phishing dan social engineering menjadi langkah krusial yang tidak boleh diabaikan.

Ke depan, pertanyaan yang muncul adalah: apakah perusahaan-perusahaan besar akan berinvestasi lebih banyak pada pertahanan berbasis manusia, atau justru mengandalkan teknologi yang semakin canggih? Mengingat serangan ini berhasil menembus pertahanan perusahaan kelas dunia, tampaknya keseimbangan antara teknologi dan kesadaran manusia menjadi kunci. Satu hal yang pasti: selama masih ada celah manusia, peretas akan terus mencari cara untuk memanfaatkannya.