Kelompok Peretas Manfaatkan Panggilan Telepon untuk Bobol Puluhan Firma Keuangan Besar ASKelompok Peretas Manfaatkan Panggilan Telepon untuk Bobol Puluhan Firma Keuangan Besar ASKelompok Peretas Manfaatkan Panggilan Telepon untuk Bobol Puluhan Firma Keuangan Besar ASKelompokPeretasManfaatkanPanggilanTeleponuntukBobolPuluhanFirmaKeuanganBesarAS

Sekelompok peretas yang memburu uang tebusan menyasar puluhan institusi keuangan ternama Amerika Serikat dalam sebulan terakhir—bukan dengan malware canggih, melainkan dengan telepon biasa. Data intelijen internet yang ditinjau Reuters, bersama temuan Google, menunjukkan para pelaku membangun situs-situs palsu yang dirancang khusus untuk mencuri kata sandi karyawan dari sederet firma ekuitas swasta dan perusahaan keuangan kelas kakap: Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital, hingga Moody's.

Google mengungkap kampanye ini lewat unggahan blog Google Threat Intelligence Group (GTIG) pada Kamis, 6 Agustus 2026.

Dalam laporan tersebut, Google menyebut para peretas beroperasi dengan sejumlah nama samaran—Redact, Pink, Falcon, dan Helix—serta mengonfirmasi bahwa sejumlah perusahaan, yang identitasnya tidak diungkap, sempat membayar tebusan. Google menolak berkomentar soal temuan spesifik Reuters, dan Reuters sendiri belum bisa memastikan perusahaan mana saja yang benar-benar berhasil dibobol.

Berdasarkan laporan teknis GTIG, kelompok di balik Redact, Pink, Falcon, dan Helix sebenarnya bukan pemain baru. Google dan Mandiant melacaknya sebagai satu klaster ancaman bernama UNC6671, yang mulanya dikenal dengan nama BlackFile sejak awal 2026. Pada Mei 2026, BlackFile sempat mengumumkan "pensiun".

Namun menurut GTIG, itu cuma di permukaan—infrastruktur phishing, pola target, dan situs kebocoran data yang dipakai kelompok-kelompok baru ini terbukti tumpang tindih dengan milik BlackFile. Pada 27 Juni 2026, operator Redact bahkan mempublikasikan sendiri narasi soal pergantian nama ini di situs kebocoran data mereka, dengan dalih ada afiliasi yang berpisah dari kelompok lama.

Sepanjang April hingga Mei 2026, sasaran UNC6671 masih tersebar di sektor manufaktur, real estat, kesehatan, dan asuransi. Baru belakangan ini, menurut blog Google, fokus mereka bergeser ke perusahaan ekuitas swasta, kantor hukum, dan lembaga pemeringkat keuangan—kelompok bisnis yang biasa menangani data merger, akuisisi, penempatan modal, dan litigasi bernilai tinggi, sehingga berpotensi menjadi alat tawar yang lebih kuat untuk memeras korban.

Cara kerja kelompok ini tergolong sederhana dibanding rata-rata serangan siber, tapi justru itu yang membuatnya efektif. Dalam istilah keamanan siber, teknik ini disebut vishing, singkatan dari voice phishing. Para pelaku menelepon langsung ke ponsel pribadi karyawan, mengaku sebagai staf help desk internal perusahaan—bahkan kadang berhasil memalsukan nomor telepon help desk yang sah agar tampak meyakinkan di layar penerima.

Lewat telepon itu, korban diberi tahu ada perintah mendesak dari tim IT untuk memperbarui passkey atau autentikasi dua faktor, lalu diarahkan ke situs palsu dengan nama domain semacam "passkeyhelpdesk" atau "secure-passkey". Begitu korban memasukkan kata sandi, peretas langsung memanen kode verifikasi—baik yang dikirim lewat SMS maupun dihasilkan aplikasi otentikator—secara langsung selagi telepon masih berlangsung, lalu membajak akun sebelum panggilan berakhir.

Teknik yang digunakan untuk mencegat kode ini dikenal sebagai serangan adversary-in-the-middle, yang pada dasarnya menempatkan situs palsu sebagai perantara antara korban dan sistem asli perusahaan.

"Sophisticated is not the right word," kata Austin Larsen, analis ancaman utama di Google Threat Intelligence Group, saat menjelaskan taktik ini kepada Reuters. Menurutnya, metode ini bukan yang tercanggih, tapi terbukti sangat efektif.

Lee Clark, manajer produksi intelijen ancaman siber di Retail and Hospitality ISAC—kelompok berbagi informasi keamanan lintas industri—punya cara sendiri menjelaskan mengapa taktik lama ini masih ampuh. Ia menyebut, ketika pertahanan digital sebuah perusahaan sudah dibangun setinggi dan secanggih apa pun, peretas cukup membujuk satu orang penjaga untuk membukakan pintu. Baginya, faktor manusia inilah yang membuat modus semacam ini terus berkembang.

Menurut Larsen, target kelompok ini dipilih berdasarkan kalkulasi finansial semata—perusahaan yang dianggap punya data cukup sensitif untuk membuat mereka rela membayar demi mencegah data itu bocor.

Google mencatat, satu dompet bitcoin yang terafiliasi dengan salah satu kelompok ini menerima sekitar US$10 juta hanya dalam beberapa bulan pertama tahun 2026, dengan permintaan tebusan yang bervariasi antara US$750.000 hingga US$3 juta per korban. Laporan teknis GTIG bahkan mencatat setidaknya 18 dompet bitcoin yang terhubung ke BlackFile menerima total 141,65 BTC sejak awal Januari 2026.

Reuters tidak menemukan nama-nama korban itu langsung dari blog Google, yang memang tidak menyebutkan satu pun perusahaan secara eksplisit. Identifikasi dilakukan dengan menelusuri 72 situs berbahaya yang dicantumkan Google dalam laporannya, lalu mencocokkannya lewat platform intelijen web seperti DomainTools dan urlscan, yang menandai subdomain-subdomain palsu yang dibuat khusus meniru masing-masing perusahaan target. Larsen membenarkan seluruh situs itu kemungkinan besar dipakai dalam percobaan intrusi, meski ia menegaskan tidak semuanya berhasil.

KKR, Bain Capital, Clearlake Capital, CME Group, TPG, dan Apollo Global Management sama-sama menolak memberi komentar saat dihubungi soal serangan ini. Juru bicara CME Group, Laurie Bischel, juga menyatakan hal serupa. Sementara itu, Blackstone, Bridgewater Associates, dan Moody's tidak segera merespons permintaan konfirmasi.

Identitas asli para peretas di balik nama Redact, Pink, Falcon, dan Helix sendiri masih belum sepenuhnya jelas. Redact—yang sebelumnya beroperasi sebagai BlackFile—menyatakan lewat situs dark web mereka bahwa kelompok ini "tidak dimotivasi oleh alasan politik atau moral" dan untuk sementara tidak melayani pertanyaan media.

Falcon mengaku berafiliasi dengan Redact, tapi menyangkal ada hubungan dengan Helix maupun Pink. Larsen sendiri mengakui masih ada sejumlah hal yang belum terungkap soal identitas pasti dan relasi antarkelompok ini, meski mereka tampak memakai infrastruktur teknis yang sama.

Sebagian serangan yang menyasar sektor keuangan ini sebelumnya sempat dilaporkan Bloomberg, dan telah menimbulkan kegelisahan di kalangan Wall Street. Point72 Asset Management, misalnya, dikabarkan telah memberi tahu para investornya pada Rabu, 5 Agustus 2026, bahwa mereka menjadi salah satu target, menurut sumber yang mengetahui langsung situasi tersebut.

Sumber yang sama, ditambah satu sumber lain, menyebut nama Two Sigma Investments dan Citadel juga muncul dalam data yang ditinjau Reuters sebagai target serangan. Two Sigma tidak merespons permintaan komentar, sementara Citadel dan Point72 memilih tidak berkomentar.

Sebelum menyasar sektor keuangan, kelompok ini rupanya sudah lebih dulu mengincar perusahaan dari industri lain. Dalam lima minggu terakhir saja, menurut blog Google dan data yang ditinjau, para peretas membangun jebakan digital untuk lebih dari 200 perusahaan—termasuk layanan transportasi daring Uber, platform properti Zillow, merek jeans Levi Strauss, serta beberapa kantor hukum seperti Paul Hastings dan Greenberg Traurig.

Uber, Zillow, Paul Hastings, dan Levi Strauss tidak membalas permintaan komentar. Greenberg Traurig lewat pernyataan resminya menegaskan tidak mengalami kebocoran data, dengan alasan lapisan protokol keamanan yang mereka terapkan untuk melindungi data klien maupun firma, tanpa merinci lebih jauh.

Kasus ini menunjukkan sesuatu yang sering luput dari perhatian: sistem keamanan digital yang mahal dan canggih sekalipun tetap bisa ditembus lewat celah paling manusiawi—kepercayaan seseorang terhadap suara di ujung telepon yang terdengar meyakinkan. Bagi perusahaan mana pun, termasuk yang beroperasi di Indonesia, insiden ini jadi pengingat bahwa pelatihan kewaspadaan karyawan terhadap panggilan mencurigakan sama pentingnya dengan investasi pada firewall atau sistem enkripsi.

Sampai laporan ini disusun, belum ada kepastian resmi soal berapa banyak dari perusahaan yang disebut benar-benar kehilangan data, dan berapa yang berhasil menahan serangan sebelum kredensial sempat dicuri. Identitas pasti orang-orang di balik Redact, Pink, Falcon, dan Helix pun masih menjadi bagian dari penyelidikan yang berjalan.