Google Resmi Hentikan Dark Web Report pada 2026, Ini Alasan dan Dampaknya bagi Pengguna

Google kembali melakukan penyesuaian pada layanan keamanannya. Kali ini, raksasa teknologi tersebut mengumumkan akan menghentikan fitur Dark Web Report, sebuah alat yang sebelumnya dirancang untuk membantu pengguna memantau apakah data pribadi mereka tersebar di dark web. Keputusan ini cukup mengejutkan, mengingat fitur tersebut baru diluncurkan kurang dari dua tahun lalu.

Berdasarkan pengumuman resmi, Google akan menghentikan pemindaian kebocoran data baru di dark web mulai 15 Januari 2026. Selanjutnya, fitur Dark Web Report akan sepenuhnya dinonaktifkan pada 16 Februari 2026. Setelah tanggal tersebut, layanan ini tidak lagi tersedia bagi seluruh pengguna akun Google.

Dalam dokumen dukungan resminya, Google menjelaskan bahwa meskipun Dark Web Report mampu memberikan gambaran umum terkait kebocoran data, masukan dari pengguna menunjukkan bahwa fitur tersebut belum memberikan langkah lanjutan yang benar-benar membantu. Oleh karena itu, Google memilih untuk mengalihkan fokus ke pengembangan alat keamanan lain yang dinilai lebih memberikan tindakan nyata dan jelas dalam melindungi informasi pribadi pengguna di dunia digital.

Google juga menegaskan bahwa seluruh data yang berkaitan dengan Dark Web Report akan dihapus secara permanen setelah fitur ini dipensiunkan pada Februari 2026. Namun, bagi pengguna yang ingin menghapus data mereka lebih awal, Google menyediakan opsi untuk menghapus profil pemantauan secara manual melalui halaman Dark Web Report, dengan mengedit profil pemantauan dan memilih opsi penghapusan di bagian bawah halaman.

Sebagai informasi, Dark Web Report pertama kali diperkenalkan pada Maret 2023. Fitur ini hadir sebagai respons atas meningkatnya kasus pencurian identitas akibat kebocoran data, di mana informasi sensitif sering kali diperjualbelikan di dark web. Sistem ini dirancang untuk memindai jaringan darknet dan mendeteksi data pribadi seperti nama, alamat, email, nomor telepon, hingga nomor jaminan sosial, lalu memberikan notifikasi jika data tersebut ditemukan.

Pada awal peluncurannya, Dark Web Report hanya tersedia bagi pelanggan Google One. Namun, pada Juli 2024, Google memperluas aksesnya sehingga dapat digunakan oleh seluruh pemilik akun Google, sebagai bagian dari upaya meningkatkan perlindungan keamanan digital secara lebih luas.

Seiring dengan penghentian fitur ini, Google juga mendorong pengguna untuk mengambil langkah perlindungan tambahan. Salah satunya dengan menggunakan passkey sebagai metode autentikasi multi-faktor yang lebih tahan terhadap serangan phishing. Selain itu, Google menyarankan pengguna untuk memanfaatkan fitur “Results about you” guna menghapus informasi pribadi yang muncul di hasil pencarian Google.

Penghentian Dark Web Report menandai perubahan strategi Google dalam pendekatan keamanan data. Alih-alih sekadar memberi notifikasi keberadaan data di dark web, Google kini lebih menekankan pada pencegahan, penguatan autentikasi, dan kontrol langsung atas eksposur informasi pribadi di internet. Bagi pengguna, langkah ini menjadi pengingat bahwa perlindungan data tidak hanya bergantung pada satu fitur, tetapi pada kombinasi praktik keamanan yang konsisten dan berkelanjutan.

Kali Linux 2025.4 Resmi Dirilis: Tool Hacking Baru, Dukungan Wayland Penuh, dan Update Besar NetHunter

Kali Linux 2025.4 resmi dirilis sebagai pembaruan terakhir di tahun ini, membawa serangkaian peningkatan penting yang secara langsung menyasar kebutuhan profesional keamanan siber dan ethical hacker. Rilis ini tidak hanya menambahkan tools baru untuk aktivitas red-teaming dan penetration testing, tetapi juga menghadirkan penyempurnaan signifikan pada desktop environment, peningkatan dukungan Wayland, serta pembaruan besar pada ekosistem Kali NetHunter.

Sebagai distribusi Linux yang dirancang khusus untuk aktivitas keamanan siber, Kali Linux digunakan secara luas untuk penetration testing, security assessment, riset jaringan, dan simulasi serangan. Sistem ini tersedia baik sebagai sistem operasi yang dapat diinstal penuh maupun dalam mode live, serta mendukung berbagai jenis perangkat keras, mulai dari PC dan laptop hingga Raspberry Pi dan perangkat Android melalui Kali NetHunter. Konsistensi pengembangan inilah yang membuat setiap rilis Kali selalu dinantikan oleh komunitas keamanan global.

Pada Kali Linux 2025.4, tim pengembang memperkenalkan tiga tools baru yang memperluas kapabilitas teknis penggunanya. Tool pertama adalah bpf-linker, sebuah static linker sederhana untuk BPF yang ditujukan bagi kebutuhan analisis dan pengembangan tingkat rendah. Selanjutnya ada evil-winrm-py, tool berbasis Python yang memungkinkan eksekusi perintah jarak jauh pada mesin Windows melalui protokol WinRM, sangat relevan dalam skenario post-exploitation. Tool ketiga, hexstrike-ai, merupakan MCP server yang memungkinkan agen AI menjalankan berbagai tool secara otonom, menandai semakin eratnya integrasi kecerdasan buatan dalam workflow keamanan siber.

Dari sisi antarmuka dan kenyamanan pengguna, Kali Linux 2025.4 membawa pembaruan besar pada desktop environment. GNOME kini diperbarui ke versi 49 dengan tampilan tema yang lebih segar, kehadiran pemutar video baru bernama Showtime, penataan ulang folder aplikasi, serta shortcut baru untuk membuka terminal dengan cepat. Pada rilis ini, GNOME sepenuhnya meninggalkan dukungan X11 dan beroperasi secara eksklusif di atas Wayland, sebuah langkah besar yang berdampak pada performa dan keamanan tampilan grafis.

Sebagai bagian dari peningkatan kualitas penggunaan sehari-hari, Kali menambahkan shortcut universal untuk membuka terminal menggunakan kombinasi Ctrl+Alt+T atau Win+T, menyamakan pengalaman dengan desktop environment lain yang telah lebih dulu memilikinya. KDE Plasma juga mendapatkan pembaruan ke versi 6.5, membawa peningkatan pada sistem tiling jendela, alat tangkapan layar yang lebih canggih, akses clipboard yang lebih mudah, serta pencarian fuzzy yang lebih fleksibel di KRunner. Sementara itu, Xfce kini mendukung color themes yang memungkinkan pengguna menyesuaikan warna ikon dan antarmuka dengan lebih leluasa, mendekati fleksibilitas GNOME dan KDE.

Dengan GNOME yang kini sepenuhnya berbasis Wayland, tim Kali Linux turut menambahkan dukungan penuh VM guest utilities untuk VirtualBox, VMware, dan QEMU. Langkah ini memastikan pengalaman penggunaan Kali di lingkungan virtual tetap stabil dan optimal, termasuk dalam skenario lab dan pengujian internal yang banyak digunakan oleh praktisi keamanan.

Pembaruan signifikan juga hadir pada Kali NetHunter, platform Kali untuk perangkat Android. Rilis ini memperluas dukungan perangkat, termasuk Android 16 pada Samsung Galaxy S10 dan OnePlus Nord, serta Android 15 pada Xiaomi Mi 9. Selain itu, NetHunter Terminal kembali dihadirkan dengan kompatibilitas yang diperbarui untuk Magisk versi interactive mode, sehingga sesi terminal tidak lagi tertutup saat pengguna menekan CTRL+C.

Salah satu sorotan menarik adalah hadirnya preview Wifipumpkin3 di aplikasi NetHunter. Framework ini digunakan untuk serangan rogue access point dan kini dilengkapi template phishing untuk berbagai platform populer seperti Facebook, Instagram, iCloud, dan Snapchat. Kehadiran fitur ini menegaskan fokus Kali dalam menyediakan tool realistis untuk simulasi serangan jaringan nirkabel.

Selain fitur utama, Kali Linux 2025.4 juga membawa sejumlah perubahan pendukung. Kali Live image kini hanya didistribusikan melalui BitTorrent karena ukuran file yang semakin besar, sementara beberapa mirror komunitas baru ditambahkan di Asia dan Amerika Serikat untuk meningkatkan ketersediaan unduhan. Kali Cloud dan aplikasi Kali WSL juga menerima berbagai peningkatan internal dan perbaikan reliabilitas.

Untuk mulai menggunakan Kali Linux 2025.4, pengguna dapat melakukan upgrade dari instalasi yang sudah ada atau mengunduh ISO untuk instalasi baru dan live environment. Proses upgrade dilakukan dengan memperbarui repository Kali Rolling, menjalankan pembaruan sistem, serta melakukan reboot jika diperlukan. Bagi pengguna Kali di Windows Subsystem for Linux, disarankan untuk menggunakan WSL2 agar mendapatkan pengalaman yang lebih optimal, termasuk dukungan aplikasi grafis.

Setelah proses pembaruan selesai, versi sistem dapat diverifikasi melalui informasi OS, dan seluruh perubahan lengkap tersedia dalam changelog resmi Kali Linux. Rilis 2025.4 ini menutup tahun dengan kuat, menegaskan posisi Kali Linux sebagai platform utama bagi profesional keamanan siber yang menuntut stabilitas, fitur mutakhir, dan relevansi terhadap ancaman modern.

Kali Linux Official Website: Artikel

CISA Peringatkan Eksploitasi Aktif Celah Kritis GeoServer CVE-2025-58360, Ancaman XXE Serius bagi Infrastruktur Data

Dunia keamanan siber kembali diguncang oleh temuan serius setelah U.S. Cybersecurity and Infrastructure Security Agency (CISA) secara resmi menambahkan sebuah kerentanan berdampak tinggi pada OSGeo GeoServer ke dalam Known Exploited Vulnerabilities (KEV) Catalog. Keputusan ini diambil karena adanya bukti kuat bahwa celah keamanan tersebut telah dieksploitasi secara aktif di dunia nyata, menjadikannya ancaman nyata bagi organisasi yang masih menggunakan versi rentan dari perangkat lunak ini.

Kerentanan yang dimaksud adalah CVE-2025-58360 dengan skor CVSS 8.2, yang diklasifikasikan sebagai unauthenticated XML External Entity (XXE) vulnerability. Celah ini memengaruhi seluruh versi GeoServer hingga 2.25.5, serta rentang versi 2.26.0 sampai 2.26.1. Kerentanan tersebut telah diperbaiki dalam rilis 2.25.6, 2.26.2, 2.27.0, 2.28.0, dan 2.28.1. Menariknya, temuan ini dilaporkan oleh platform penemuan kerentanan berbasis kecerdasan buatan, XBOW, yang menunjukkan peran AI yang semakin signifikan dalam riset keamanan siber modern.

Menurut pernyataan resmi CISA, masalah ini muncul akibat pembatasan yang tidak tepat terhadap referensi entitas eksternal XML. Kerentanan terjadi ketika aplikasi menerima input XML melalui endpoint tertentu, yakni operasi /geoserver/wms GetMap, sehingga memungkinkan penyerang menyisipkan entitas eksternal berbahaya di dalam permintaan XML. Beberapa paket yang terdampak antara lain docker.osgeo.org/geoserver, org.geoserver.web:gs-web-app, dan org.geoserver:gs-wms. Kondisi ini membuka peluang eksploitasi tanpa memerlukan autentikasi sama sekali, sehingga meningkatkan tingkat risikonya secara signifikan.

Jika berhasil dieksploitasi, celah keamanan ini dapat memberikan dampak serius. Penyerang berpotensi membaca file arbitrer dari sistem file server, melakukan Server-Side Request Forgery (SSRF) untuk berinteraksi dengan sistem internal yang seharusnya tidak dapat diakses, hingga melancarkan serangan Denial-of-Service (DoS) dengan cara menguras sumber daya server. Para pengelola GeoServer menegaskan bahwa kombinasi dampak tersebut dapat berujung pada kebocoran data sensitif maupun gangguan layanan yang kritis.

Meski demikian, hingga saat ini belum tersedia rincian teknis mengenai bagaimana eksploitasi ini dilakukan dalam serangan nyata. Namun, buletin dari Canadian Centre for Cyber Security yang dirilis pada 28 November 2025 secara tegas menyebutkan bahwa eksploit untuk CVE-2025-58360 memang sudah beredar di alam liar. Fakta ini memperkuat urgensi bagi organisasi untuk segera mengambil tindakan mitigasi sebelum menjadi korban berikutnya.

Ancaman terhadap GeoServer juga bukan hal baru. Sebelumnya, sebuah celah kritis lain dengan kode CVE-2024-36401 dan skor CVSS 9.8 telah dieksploitasi oleh berbagai aktor ancaman sepanjang tahun lalu. Pola ini menunjukkan bahwa GeoServer kerap menjadi target bernilai tinggi, terutama karena perannya yang krusial dalam pengelolaan dan penyajian data geospasial.

Sebagai respons atas situasi ini, Federal Civilian Executive Branch (FCEB) di Amerika Serikat telah diarahkan untuk menerapkan pembaruan keamanan yang diperlukan paling lambat 1 Januari 2026. Langkah ini bertujuan untuk memastikan jaringan pemerintah tetap aman dari eksploitasi yang dapat berdampak luas. Bagi organisasi di luar sektor pemerintah, peringatan ini seharusnya menjadi sinyal kuat bahwa melakukan pembaruan segera bukan lagi pilihan, melainkan keharusan demi menjaga integritas sistem dan keamanan data.

CVE-2025-66516: Celah Kritis Apache Tika Berpotensi Dieksploitasi via XXE, Serangan Bisa Tembus Sistem Server

Dunia keamanan siber kembali dibuat waspada setelah ditemukannya sebuah celah keamanan kritis di Apache Tika, framework yang selama ini banyak dipakai untuk kebutuhan deteksi dan analisis konten. Celah ini bisa dimanfaatkan untuk melakukan serangan XML External Entity atau XXE injection, teknik eksploitasi yang terbilang berbahaya karena mampu membuka akses langsung ke sistem file server. Bahkan, dalam kondisi tertentu, serangan ini juga bisa berkembang menjadi remote code execution. Kerentanan tersebut tercatat dengan kode CVE-2025-66516 dan mendapatkan skor sempurna 10.0 pada skala CVSS, yang berarti tingkat risikonya berada di level paling tinggi.

Dari advisory resmi yang dirilis, diketahui bahwa kerentanan XXE ini berdampak pada sejumlah modul penting di Apache Tika. Modul-modul tersebut mencakup tika-core versi 1.13 hingga 3.2.1, tika-parser-pdf-module versi 2.0.0 hingga 3.2.1, serta tika-parsers versi 1.13 hingga sebelum 2.0.0. Celah ini memungkinkan penyerang menyisipkan file XFA berbahaya ke dalam dokumen PDF untuk kemudian menjalankan injeksi XML External Entity. Lewat cara tersebut, aplikasi dapat dipaksa memproses entitas eksternal berbahaya tanpa disadari oleh sistem.

Paket Maven yang terdampak juga cukup luas, mulai dari org.apache.tika:tika-core versi 1.13 sampai 3.2.1 yang kini telah diperbaiki di versi 3.2.2, hingga org.apache.tika:tika-parser-pdf-module versi 2.0.0 sampai 3.2.1 yang juga sudah ditambal di versi 3.2.2. Sementara itu, org.apache.tika:tika-parsers versi 1.13 sampai sebelum 2.0.0 now sudah diperbaiki di versi 2.0.0. Melihat seberapa luas Apache Tika digunakan di berbagai platform dan sistem produksi, potensi dampak dari celah ini jelas tidak bisa dianggap kecil.

Secara teknis, XXE injection merupakan jenis kerentanan yang muncul saat aplikasi memproses data XML tanpa perlindungan yang memadai. Dampaknya bisa sangat serius, mulai dari pembacaan file sensitif di server, pemetaan jaringan internal, hingga dalam beberapa skenario berujung pada eksekusi perintah dari jarak jauh. Dengan kata lain, hanya lewat satu file PDF berbahaya saja, penyerang sudah punya peluang besar untuk menembus sistem.

Menariknya, CVE-2025-66516 juga punya keterkaitan langsung dengan celah sebelumnya yang tercatat sebagai CVE-2025-54988, yang memiliki skor CVSS 8.4 dan sudah ditambal pada Agustus 2025. Tim Apache Tika menjelaskan bahwa CVE terbaru ini pada dasarnya merupakan perluasan dari dampak kerentanan yang sebelumnya belum sepenuhnya terungkap. Awalnya, titik masuk eksploitasi disebut berasal dari tika-parser-pdf-module. Namun setelah ditelusuri lebih dalam, ternyata akar masalah dan perbaikannya justru berada di modul tika-core. Artinya, pengguna yang hanya memperbarui tika-parser-pdf-module tanpa menaikkan versi tika-core ke 3.2.2 masih tetap berada dalam kondisi rentan.

Di sisi lain, laporan awal juga tidak menyebutkan bahwa pada rilis Apache Tika versi 1.x, komponen PDFParser berada di dalam modul org.apache.tika:tika-parsers. Fakta ini otomatis memperluas daftar pengguna yang berpotensi terdampak, terutama mereka yang masih mengandalkan versi lama untuk kebutuhan produksi. Dari sini bisa terlihat bahwa skala kerentanan ini ternyata jauh lebih besar dibanding perkiraan awal.

Dengan tingkat keparahan yang sangat tinggi, seluruh pengguna Apache Tika sangat disarankan untuk segera melakukan pembaruan ke versi yang telah ditambal. Menunda pembaruan sama saja dengan membuka peluang besar bagi eksploitasi di dunia nyata, terlebih teknik XXE dikenal relatif mudah untuk diuji dan dimanfaatkan oleh penyerang dari berbagai tingkat kemampuan.

Kasus CVE-2025-66516 kembali menjadi pengingat bahwa sumber serangan tidak selalu datang dari komponen utama aplikasi saja. Library pendukung yang selama ini dianggap aman karena bersifat open source dan digunakan secara luas pun tetap bisa menjadi titik lemah. Ketergantungan pada pustaka pihak ketiga tanpa pemantauan keamanan yang serius kini menjadi salah satu celah terbesar dalam pertahanan sistem modern.

Seiring meningkatnya tren eksploitasi berbasis dokumen seperti PDF dan XML, organisasi, pengembang, dan tim keamanan sudah tidak bisa lagi mengandalkan asumsi keamanan standar. Pembaruan rutin, audit dependensi, serta pengujian keamanan dari sisi input yang diproses aplikasi kini menjadi lapisan pertahanan penting untuk mencegah kebocoran data, pengambilalihan sistem, hingga potensi kerusakan infrastruktur digital dalam skala besar.

CVE-2025-55182: Celah Kritis React Server Components Dieksploitasi Massal, Jutaan Layanan Global Terancam

Keamanan ekosistem JavaScript global kembali diguncang setelah U.S. Cybersecurity and Infrastructure Security Agency (CISA) secara resmi memasukkan sebuah kerentanan kritis yang berdampak langsung terhadap React Server Components (RSC) ke dalam katalog Known Exploited Vulnerabilities (KEV). Langkah ini diambil menyusul laporan eksploitasi aktif di dunia nyata terhadap celah dengan kode CVE-2025-55182 yang memiliki skor CVSS sempurna 10.0, menandai tingkat bahaya maksimal. Kerentanan ini juga dikenal dengan sebutan React2Shell dan memungkinkan eksekusi kode jarak jauh atau remote code execution tanpa autentikasi serta tanpa konfigurasi khusus.

Dalam pernyataan resminya, CISA mengungkapkan bahwa Meta React Server Components mengandung celah eksekusi kode jarak jauh yang dapat dimanfaatkan oleh penyerang anonim dengan mengeksploitasi kelemahan dalam cara React mendekode payload yang dikirim ke endpoint React Server Function. Masalah ini berakar pada proses deserialisasi tidak aman di dalam protokol Flight, mekanisme komunikasi antara sisi server dan klien yang digunakan oleh React. Akibat kelemahan tersebut, penyerang dapat mengirimkan permintaan HTTP berbahaya yang memungkinkan eksekusi perintah arbitrer langsung di server target.

Martin Zugec, Technical Solutions Director di Bitdefender, menegaskan bahwa proses konversi teks menjadi objek merupakan salah satu kelas kerentanan perangkat lunak paling berbahaya. Ia menjelaskan bahwa React2Shell secara spesifik berada di paket react-server, tepatnya pada mekanisme pemrosesan referensi objek saat proses deserialisasi berlangsung. Celah inilah yang membuka jalan bagi penyerang untuk mengambil alih sistem secara penuh.

Pengembang React telah merilis perbaikan keamanan pada versi 19.0.1, 19.1.2, dan 19.2.1 untuk tiga pustaka utama yang terdampak, yakni react-server-dom-webpack, react-server-dom-parcel, dan react-server-dom-turbopack. Namun, dampak kerentanan ini tidak berhenti di level pustaka inti saja. Sejumlah framework besar yang bergantung pada React juga ikut terdampak, termasuk Next.js, React Router, Waku, Parcel, Vite, hingga RedwoodSDK. Dengan luasnya ekosistem yang bergantung pada React, skala ancaman ini menjadi sangat masif.

Serangan terhadap celah ini terdeteksi hanya beberapa jam setelah pengungkapan publik dilakukan. Amazon melaporkan adanya aktivitas serangan yang berasal dari infrastruktur yang terhubung dengan kelompok peretas asal Tiongkok seperti Earth Lamia dan Jackpot Panda. Tidak hanya itu, beberapa perusahaan keamanan besar seperti Coalition, Fastly, GreyNoise, VulnCheck, dan Wiz juga mengonfirmasi adanya upaya eksploitasi aktif yang dilakukan secara oportunistik oleh berbagai kelompok ancaman. Dalam beberapa kasus, eksploitasi ini digunakan untuk menyebarkan penambang kripto, menjalankan perintah PowerShell “cheap math” sebagai indikator keberhasilan serangan, hingga menanamkan in-memory downloader untuk mengambil payload tambahan dari server jarak jauh.

Data dari platform manajemen permukaan serangan Censys menunjukkan bahwa sekitar 2,15 juta layanan internet yang terbuka berpotensi terpapar kerentanan ini. Jumlah tersebut mencakup layanan web yang menggunakan React Server Components serta berbagai framework turunan seperti Next.js, Waku, React Router, dan RedwoodSDK. Palo Alto Networks Unit 42 juga mengonfirmasi bahwa lebih dari 30 organisasi dari berbagai sektor telah terdampak. Salah satu aktivitas serangan dikaitkan dengan kelompok peretas asal Tiongkok yang dilacak sebagai UNC5174 atau CL-STA-1015, dengan pola serangan yang melibatkan deployment malware SNOWLIGHT dan VShell.

Menurut Justin Moore, Senior Manager Threat Intel Research di Palo Alto Networks Unit 42, pihaknya mengamati adanya aktivitas pemindaian untuk mencari target RCE yang rentan, operasi pengintaian, upaya pencurian file konfigurasi dan kredensial AWS, hingga pemasangan downloader untuk menarik payload dari infrastruktur command and control milik penyerang. Pola ini menunjukkan bahwa eksploitasi bukan hanya bersifat percobaan, tetapi telah berkembang menjadi operasi intrusi yang terstruktur.

Peneliti keamanan Lachlan Davidson, yang pertama kali menemukan dan melaporkan kerentanan ini, telah merilis beberapa proof-of-concept exploit yang memperlihatkan betapa mudahnya celah ini dimanfaatkan. Selain itu, seorang peneliti asal Taiwan dengan nama pengguna GitHub maple3142 juga merilis PoC lain yang berfungsi penuh. Publikasi PoC ini secara tidak langsung mempercepat laju eksploitasi di lapangan karena tersedia bagi siapa pun yang ingin menyalahgunakannya.

Sebagai respons terhadap tingkat ancaman yang sangat tinggi, pemerintah Amerika Serikat melalui Binding Operational Directive (BOD) 22-01 mewajibkan seluruh Federal Civilian Executive Branch (FCEB) untuk menerapkan pembaruan keamanan paling lambat pada 26 Desember 2025. Kebijakan ini menegaskan bahwa celah React2Shell bukan lagi ancaman teoritis, melainkan telah menjadi risiko operasional aktif yang dapat mengancam infrastruktur digital berskala nasional.

Kasus CVE-2025-55182 menjadi pengingat keras bahwa framework modern dengan tingkat adopsi global pun tidak kebal terhadap eksploitasi fatal. Ketergantungan masif pada React dalam pengembangan aplikasi web menjadikan satu celah kritis sebagai pintu masuk bagi serangan berskala besar. Pembaruan sistem secara cepat, audit keamanan menyeluruh, serta pemantauan lalu lintas jaringan secara aktif kini bukan lagi pilihan, melainkan kebutuhan mutlak untuk bertahan di tengah eskalasi ancaman siber yang kian agresif.

FBI Peringatkan Lonjakan Penipuan Pengambilalihan Akun: Teknik Baru, Kerugian Ratusan Juta Dolar, dan Ancaman Menjelang Musim Liburan

Peringatan terbaru dari FBI menyoroti meningkatnya skema penipuan pengambilalihan akun (ATO) yang dilakukan oleh para pelaku kejahatan siber dengan menyamar sebagai lembaga keuangan. Tujuannya jelas: mencuri uang atau informasi sensitif untuk melakukan akses ilegal ke akun korban. Serangan ini menargetkan individu, bisnis, hingga organisasi lintas sektor dan telah menghasilkan lebih dari $262 juta kerugian sejak awal tahun, dengan lebih dari 5.100 laporan masuk ke FBI.

Skema ATO merujuk pada aktivitas yang memungkinkan penyerang mendapatkan akses tidak sah ke akun lembaga keuangan, sistem payroll, atau rekening kesehatan online. Para pelaku biasanya memulai serangan dengan teknik social engineering SMS, panggilan telepon, atau email yang mengandalkan rasa takut korban serta situs web palsu yang dirancang menyerupai layanan resmi. Banyak korban diarahkan untuk memasukkan kredensial mereka pada halaman phishing, bahkan terkadang diminta mengklik tautan untuk melaporkan transaksi penipuan fiktif.

Dalam banyak kasus, pelaku memanipulasi korban untuk menyerahkan kredensial login lengkap, termasuk kode MFA atau OTP dengan menyamar sebagai staf bank, dukungan pelanggan, atau teknisi. Setelah memperoleh data login, pelaku kemudian masuk ke situs resmi lembaga keuangan, melakukan reset kata sandi, dan mengambil alih seluruh kontrol akun.

Modus lain yang semakin sering muncul melibatkan pelaku yang berpura-pura sebagai institusi keuangan yang memberi tahu adanya pembelian mencurigakan termasuk pembelian senjata api—dan meminta korban menyerahkan informasi akun kepada penipu kedua yang menyamar sebagai penegak hukum. FBI juga menyoroti penggunaan SEO poisoning, yaitu manipulasi mesin pencari dengan iklan berbahaya yang mengarahkan pengguna ke situs tiruan yang sangat mirip dengan halaman asli.

Apa pun metode yang digunakan, tujuannya selalu sama: mencuri kontrol akun dan mengirim dana secara cepat ke rekening lain di bawah kendali pelaku, lalu mengganti kata sandi untuk mengunci akses pemilik asli. Rekening tujuan biasanya terhubung dengan dompet kripto untuk mengubah dana menjadi aset digital, sehingga jejak transaksi semakin sulit ditelusuri.

Untuk mengurangi risiko, FBI menyarankan pengguna berhati-hati saat membagikan informasi pribadi di media sosial, rutin memeriksa aktivitas rekening, menggunakan kata sandi yang kuat dan unik, memastikan keaslian URL sebelum login ke layanan perbankan, serta meningkatkan kewaspadaan terhadap panggilan atau pesan yang mencurigakan. Informasi pribadi yang tampak tidak berbahaya—seperti nama hewan peliharaan, sekolah, atau tanggal lahir sering kali cukup untuk membantu penipu menebak kata sandi atau jawaban pertanyaan keamanan.

Menurut Jim Routh, Chief Trust Officer di Saviynt, sebagian besar insiden ATO berakar dari kredensial yang telah disusupi oleh pelaku yang memahami proses internal lembaga keuangan. Ia menekankan bahwa verifikasi manual dan persetujuan via SMS masih menjadi mekanisme paling efektif, meski solusi tanpa kata sandi kini sudah tersedia.

Peringatan FBI muncul di waktu yang sama dengan laporan dari Darktrace, Flashpoint, Forcepoint, Fortinet, dan Zimperium mengenai ancaman besar yang meningkat menjelang musim liburan—mulai dari penipuan Black Friday, serangan QR code, pencurian saldo gift card, hingga kampanye phishing berskala tinggi yang meniru merek besar seperti Amazon dan Temu. Banyak serangan kini memanfaatkan kecerdasan buatan (AI) untuk menciptakan email phishing, situs palsu, dan iklan media sosial yang sangat meyakinkan, sehingga pelaku dengan kemampuan rendah sekalipun bisa melancarkan serangan yang efektif.

Data dari Fortinet FortiGuard Labs menunjukkan bahwa lebih dari 750 domain berbahaya bertema liburan didaftarkan dalam tiga bulan terakhir, banyak di antaranya menggunakan kata kunci populer seperti “Christmas,” “Black Friday,” atau “Flash Sale.” Lebih dari 1,57 juta akun login e-commerce juga ditemukan beredar di pasar gelap selama periode tersebut. Pelaku bahkan mengeksploitasi kerentanan pada berbagai platform e-commerce seperti Adobe/Magento, Oracle E-Business Suite, WooCommerce, dan Bagisto, termasuk CVE-2025-54236, CVE-2025-61882, dan CVE-2025-47569.

Zimperium zLabs mencatat peningkatan empat kali lipat pada situs mobile phishing (mishing) yang memanfaatkan nama merek tepercaya untuk mendorong korban mengklik atau mengunduh pembaruan palsu. Sementara itu, Recorded Future memperingatkan tren baru berupa purchase scam, di mana pelaku membuat toko online palsu untuk mencuri data korban dan memproses pembayaran untuk produk fiktif. Teknik ini bekerja melalui serangkaian tahapan yang memanfaatkan sistem distribusi lalu lintas (TDS) guna menyaring target ideal sebelum mengarahkan mereka ke halaman transaksi terakhir.

Keunggulan utama purchase scam adalah pembayaran dilakukan langsung oleh korban, sehingga pelaku menerima keuntungan segera tanpa proses panjang seperti mencairkan data curian. Beberapa operasi bahkan menggunakan layanan “transaction recovery” untuk mencoba dua transaksi berurutan dan menggandakan nilai monetisasi. Ekosistem gelap yang berkembang pesat memungkinkan pelaku mendirikan infrastruktur purchase scam baru dengan cepat, lengkap dengan promosi ala pemasaran tradisional, termasuk penjualan data kartu curian di forum bawah tanah seperti PP24.

Pada akhirnya, penipu mendanai kampanye iklan menggunakan kartu pembayaran curian, menyebarkan purchase scam lebih luas, dan mencuri lebih banyak data, menciptakan siklus penipuan yang terus berputar. Ancaman ini menegaskan bahwa pengambilalihan akun, phishing modern, dan skema penipuan yang didukung AI kini berkembang lebih cepat daripada sebelumnya.

Gainsight Perluas Temuan Insiden Keamanan, Integrasi Salesforce dan Layanan Lain Ikut Terdampak

Insiden keamanan yang menargetkan aplikasi Gainsight kembali mencuat setelah perusahaan tersebut mengungkap bahwa jumlah pelanggan yang terdampak lebih besar daripada estimasi awal. Salesforce sebelumnya hanya melaporkan tiga pelanggan yang terpengaruh, namun daftar tersebut mengalami perluasan signifikan pada 21 November 2025. Meski jumlah pastinya tidak dibuka ke publik, CEO Gainsight, Chuck Ganapathi, menegaskan bahwa hanya sebagian kecil pelanggan yang diketahui mengalami dampak pada data mereka.

Perkembangan ini mencuat bersamaan dengan peringatan dari Salesforce mengenai aktivitas tidak biasa yang terdeteksi pada aplikasi terbitan Gainsight di platform mereka. Situasi tersebut mendorong Salesforce untuk mencabut seluruh akses dan token refresh terkait integrasi Gainsight. Serangan ini juga diklaim oleh kelompok kejahatan siber ShinyHunters, yang dikenal luas dengan nama Bling Libra, sehingga meningkatkan kekhawatiran terhadap potensi eskalasi insiden.

Sebagai langkah mitigasi, sejumlah platform besar seperti Zendesk, Gong.io, dan HubSpot memilih menangguhkan integrasi Gainsight untuk sementara. Google juga mengambil tindakan pencegahan dengan menonaktifkan OAuth client yang menggunakan callback URI seperti gainsightcloud[.]com. Dalam pernyataannya, HubSpot memastikan bahwa tidak ditemukan bukti kompromi terhadap infrastruktur atau pelanggan mereka. Di sisi Gainsight, beberapa produk yang menggunakan kemampuan membaca dan menulis data dari Salesforce juga mengalami penghentian sementara, yaitu Customer Success (CS), Community (CC), Northpass – Customer Education (CE), Skilljar (SJ), dan Staircase (ST), meskipun Gainsight menegaskan bahwa Staircase tidak terdampak dan hanya dicabut sebagai antisipasi.

Salesforce dan Gainsight kemudian merilis sejumlah indikator kompromi (IoC) untuk membantu pelanggan mengenali aktivitas mencurigakan. Salah satu yang menonjol adalah user-agent “Salesforce-Multi-Org-Fetcher/1.0” yang digunakan dalam akses tidak sah dan sebelumnya juga teridentifikasi dalam insiden yang berkaitan dengan Salesloft Drift. Catatan investigasi Salesforce menunjukkan bahwa proses pengintaian terhadap pelanggan yang akses token Gainsight-nya telah disusupi pertama kali terjadi pada 23 Oktober 2025 melalui IP 3.239.45[.]43, kemudian diikuti gelombang aktivitas lanjutan sejak 8 November.

Sebagai bagian dari upaya pengamanan tambahan, Gainsight meminta pelanggan untuk melakukan beberapa langkah kritis. Di antaranya mengganti akses key S3 bucket serta konektor lain seperti BigQuery, Zuora, dan Snowflake, masuk ke Gainsight NXT secara langsung tanpa melalui Salesforce, mengatur ulang kata sandi pengguna NXT yang tidak menggunakan SSO, serta melakukan otorisasi ulang aplikasi terhubung yang bergantung pada token atau kredensial pengguna. Gainsight menegaskan bahwa langkah-langkah tersebut bersifat preventif agar lingkungan pelanggan tetap aman selama proses investigasi berlangsung.

Di tengah penanganan insiden Gainsight, muncul pula informasi mengenai platform ransomware-as-a-service (RaaS) baru bernama ShinySp1d3r atau Sh1nySp1d3r  yang dikembangkan oleh aliansi kriminal Scattered Spider, LAPSUS$, dan ShinyHunters (SLSH). Laporan ZeroFox menunjukkan bahwa kelompok ini bertanggung jawab atas sedikitnya 51 serangan siber dalam satu tahun terakhir. ShinySp1d3r disebut memiliki fitur unik yang belum terlihat pada RaaS lain, seperti kemampuan mematikan fungsi logging Windows Event Viewer, menghentikan proses yang menahan file agar tetap terbuka, serta menuliskan data acak pada ruang kosong drive guna menimpa data yang telah dihapus.

Kemampuan tambahan ShinySp1d3r yang memungkinkan pencarian share network terbuka, enkripsi file, hingga penyebaran lateral melalui deployViaSCM, deployViaWMI, dan attemptGPODeployment membuatnya semakin berbahaya. Jurnalis siber Brian Krebs melaporkan bahwa individu yang merilis ransomware ini adalah anggota inti SLSH bernama “Rey” atau @ReyXBF, yang sebelumnya aktif sebagai admin BreachForums dan situs kebocoran data HellCat ransomware. Identitas Rey telah diungkap sebagai Saif Al-Din Khader, yang mengklaim bahwa ShinySp1d3r merupakan pengembangan ulang HellCat dengan bantuan AI dan bahwa ia telah bekerja sama dengan aparat sejak Juni 2025.

Menurut Matt Brady dari Unit 42 Palo Alto Networks, kemunculan RaaS bersamaan dengan layanan extortion-as-a-service (EaaS) menjadikan SLSH lawan yang jauh lebih rumit. Kombinasi kemampuan teknis, model monetisasi berlapis, serta elemen perekrutan insider semakin memperluas jangkauan serangan dan menambah tantangan bagi organisasi dalam memperkuat pertahanan siber mereka.

Aksi Baru Contagious Interview: Aktor Korea Utara Gunakan JSON Storage untuk Menyebarkan Malware

Kelompok ancaman Korea Utara yang berada di balik kampanye Contagious Interview kembali memodifikasi taktik mereka dengan memanfaatkan layanan JSON storage sebagai tempat penyimpanan dan pengiriman payload berbahaya. Dalam laporan terbaru yang dirilis pada hari Kamis, peneliti NVISO—Bart Parys, Stef Collart, dan Efstratios Lontzetidis mengungkap bahwa para pelaku kini menggunakan layanan seperti JSON Keeper, JSONsilo, dan npoint.io untuk meng-host malware yang disisipkan di dalam proyek kode yang telah ditrojanisasi. Pendekatan ini menjadi bagian dari upaya mereka untuk tetap beroperasi secara terselubung dan melebur dengan lalu lintas normal.

Skema serangan dalam kampanye ini berlangsung melalui pendekatan langsung terhadap target di platform profesional seperti LinkedIn. Para penyerang biasanya menyamar sebagai pihak yang ingin melakukan evaluasi pekerjaan atau kolaborasi proyek. Para korban kemudian diarahkan untuk mengunduh sebuah demo project yang ditempatkan pada platform repositori kode seperti GitHub, GitLab, atau Bitbucket. Di balik proyek tersebut tersembunyi komponen berbahaya yang menjadi pintu masuk serangan berikutnya.

Salah satu proyek yang dianalisis NVISO menunjukkan keberadaan file “server/config/.config.env” yang tampak seperti menyimpan sebuah API key. Namun setelah diperiksa lebih dalam, nilai Base64 tersebut ternyata merupakan URL menuju layanan JSON storage seperti JSON Keeper, tempat payload tahap selanjutnya disimpan dalam format yang telah diobfusikasi. Payload tersebut adalah malware JavaScript yang dikenal sebagai BeaverTail, sebuah komponen berbahaya yang dirancang untuk mengambil data sensitif serta mengeksekusi sebuah backdoor Python bernama InvisibleFerret.

Fungsi InvisibleFerret sebenarnya tidak jauh berbeda dari versi yang pertama kali didokumentasikan oleh Palo Alto Networks pada akhir 2023, tetapi kini terdapat modifikasi penting. Backdoor tersebut telah diperbarui untuk mengambil payload tambahan bernama TsunamiKit dari Pastebin. Penggunaan TsunamiKit sendiri telah disorot oleh ESET sejak September 2025, bersamaan dengan temuan bahwa para pelaku juga menurunkan Tropidoor dan AkdoorTea dalam rangkaian serangan yang sama. Toolkit ini mampu melakukan fingerprinting sistem, mengumpulkan data, serta mengambil payload lanjutan dari sebuah alamat .onion yang saat ini diketahui sudah offline.

Para peneliti NVISO menekankan bahwa aktor di balik Contagious Interview terus memperluas jangkauan mereka dan tidak menunjukkan tanda-tanda melambat. Sasaran mereka kini semakin luas, terutama kalangan developer yang dianggap menarik untuk dieksploitasi demi mendapatkan data sensitif dan informasi dompet kripto. Dengan memanfaatkan layanan sah seperti JSON Keeper, JSON Silo, npoint.io, serta platform kode seperti GitLab dan GitHub, kelompok ini berusaha mempertahankan operasi secara stealthy dan menyesuaikan pola serangan agar tetap sulit terdeteksi.

Kampanye Contagious Interview kembali membuktikan bagaimana ancaman siber modern semakin canggih dalam menyamarkan aktivitasnya, terutama melalui penyalahgunaan platform yang umumnya dianggap aman oleh komunitas developer. Praktik semacam ini menegaskan perlunya kewaspadaan tinggi bagi siapa pun yang menerima file proyek dari pihak yang tidak benar-benar dikenal, sekalipun melalui platform profesional.