Hacker Tiongkok Pakai Agen AI Bobol 100 Situs Perusahaan, Biaya Cuma Rp80 Juta
Baca dalam 60 detik
- Seorang peretas asal Tiongkok memanfaatkan agen AI otonom untuk menembus lebih dari 100 situs web perusahaan dalam waktu kurang dari sebulan.
- Dengan modal sekitar US$5.000 (Rp80 juta) untuk token, agen AI tersebut memindai 1.200 situs dan berhasil masuk ke sistem toko daring serta layanan pembayaran.
- Para peneliti keamanan siber memperingatkan bahwa serangan berbasis AI membuat peretasan skala besar menjadi jauh lebih murah dan cepat, menuntut kewaspadaan baru bagi pelaku usaha.
Seorang peretas yang diduga berbasis di Tiongkok berhasil menembus lebih dari 100 situs web perusahaan hanya dalam hitungan minggu, tanpa harus menulis kode eksploitasi sendiri. Ia menyerahkan hampir seluruh pekerjaan kepada agen kecerdasan artifisial (AI) otonom, dengan biaya token sekitar US$5.000 atau setara Rp80 juta. Temuan ini diungkap oleh peneliti keamanan siber Snorre Fagerland dari NorForge, yang secara tidak sengaja menemukan sekitar dua lusin instalasi Cairn—platform AI sumber terbuka yang populer di kalangan pelaku kejahatan siber—sedang digunakan untuk operasi berbahaya.
Cairn sendiri bukan alat yang dirancang untuk kejahatan. Ia adalah mesin pemecah masalah serbaguna yang memungkinkan agen AI mengejar tujuan kompleks: mendefinisikan sasaran, menjelajahi berbagai pendekatan, lalu mengeksekusi tindakan. Dalam kasus ini, "masalah" yang harus dipecahkan adalah bagaimana menjalankan kode di situs web tanpa otentikasi. Agen-agen tersebut mencoba berbagai teknik—injeksi SQL, unggah berkas, hingga penanganan objek tersimpan yang tidak aman—dengan tujuan akhir mendapatkan akses persisten ke sistem belanja dan pembayaran untuk kemudian mencuri uang.
Menurut Fagerland, peretas menggunakan kombinasi model, kemungkinan Claude Code dengan model DeepSeek, meski identifikasi pasti sulit dilakukan. Instruksi yang diberikan pun sangat singkat, umumnya kurang dari 100 karakter Tiongkok. Dalam waktu kurang dari sebulan, agen-agen itu mencoba membobol lebih dari 1.200 situs. Rata-rata mereka menjelajahi satu situs selama 23 jam sebelum berhasil masuk atau beralih ke target lain. Dari sekitar 100 pembobolan yang berhasil, peretas diperkirakan mengeluarkan biaya token rata-rata US$50 per insiden—angka perkiraan, bukan tagihan resmi.
Fagerland tidak menyebutkan nama korban secara langsung. Namun laporan Cybersecurity News menyebutkan bahwa target utama adalah toko daring di Amerika Serikat, Kanada, Australia, dan Jepang. Reuters kemudian mengonfirmasi beberapa nama melalui penelusuran independen atas aktivitas Cairn milik peretas, termasuk Deere (produsen alat pertanian), SharkNinja (perusahaan peralatan rumah tangga), dan Cummins (produsen mesin). Dua bisnis kecil juga mengakui terkena serangan, tetapi tidak menanggapi permintaan keterangan.
Deere menyatakan telah melakukan "tindakan perbaikan yang diperlukan" dan menegaskan tidak ada indikasi informasi sensitif diakses. SharkNinja mengatakan serangan hanya mengenai situs mandiri yang memuat informasi dukungan produk, dan ancaman telah diatasi. Sementara Cummins masih menyelidiki laporan tersebut. Hingga kini, belum diketahui apakah peretas berhasil mencuri data sensitif dan berapa banyak. Fagerland menemukan "ratusan" kredensial rahasia yang terekspos di panel terbuka dan sedang bekerja sama dengan Reuters untuk memberi tahu para korban.
"Tidak mudah menemukan solusi seperti itu. Ini bukan pekerjaan amatir," kata Fagerland, seraya mengaku terkesan dengan beberapa teknik yang digunakan agen AI.
Salah satu momen paling mencolok terjadi ketika agen AI menemui jalan buntu di salah satu target. Agen tersebut kemudian memindai catatan digital untuk mencari infrastruktur terkait, menemukan panel kontrol yang terbuka untuk publik, dan mendeteksi kelemahan halus dalam pemrosesan data. Butuh "berjam-jam coba-coba" sebelum akhirnya berhasil mengeksekusi perintah berbahaya di server situs tersebut.
Bagi Indonesia, perkembangan ini menjadi peringatan serius. Infrastruktur digital Tanah Air, terutama situs e-commerce dan layanan keuangan, menghadapi risiko serupa jika praktik keamanan tidak diperkuat. Serangan berbasis AI memungkinkan pelaku dengan sumber daya terbatas—hanya modal Rp80 juta—melancarkan operasi besar-besaran tanpa perlu keahlian teknis mendalam. Pelaku usaha didorong segera menambal aplikasi yang menghadap publik, membatasi akses ke panel admin, dan memantau berkas tak dikenal di direktori web.
Ke depan, pertanyaan besarnya bukan lagi apakah serangan AI akan menjadi norma, melainkan seberapa cepat organisasi beradaptasi. Regulator dan pelaku industri di Indonesia perlu mempertimbangkan kerangka kerja sama untuk berbagi intelijen ancaman, sementara perusahaan dituntut meningkatkan literasi keamanan siber di semua lini. Tanpa langkah konkret, gelombang serangan otomatis ini bisa menjadi bom waktu bagi ekonomi digital yang sedang tumbuh pesat.
