Ringkasan insiden siber: dana investor untuk DJ, kontraktor memeras, AI meretas gym

Insiden sepanjang Agustus menyisakan empat pelajaran penting: uang perusahaan bukan dana untuk hobi pribadi, hak akses harus segera dicabut saat kontrak berakhir, aset kripto tidak menjamin anonimitas, dan agen AI tidak boleh dibiarkan bertindak tanpa pengamanan yang memadai. Berikut rangkaian kasusnya.

Uang investor diputar di turntable

Apa yang terjadi: Pendiri sebuah startup NFT menggelapkan dana investor untuk membiayai kariernya sebagai DJ.

Bagaimana kejadiannya: Pada 2022 perusahaan NFT Few and Far menghimpun lebih dari $10 juta dari investor untuk meluncurkan token FAR dan sebuah marketplace NFT. Alih-alih membangun keduanya, sang pendiri Taj Tarsha menaruh uang itu pada hobinya: karier DJ, kasino daring, spekulasi kripto, dan sebuah apartemen mewah di Miami.

Penyalahgunaan dana pertama kali terlihat dalam audit 2023, tetapi Tarsha meyakinkan investor bahwa pengeluaran itu untuk pengembangan proyek. Untuk menutupi jejaknya, ia memberhentikan sebagian besar karyawan. Perusahaan akhirnya merilis token pada Mei 2024, namun nilainya cepat anjlok dan berhenti diperdagangkan.

Tarsha baru ditangkap pada Juni 2026. Penyidik membuktikan uang investasi mengalir langsung ke rekening pribadi sang pendiri. Jaksa mendakwanya dengan penipuan sekuritas dan penipuan melalui sarana elektronik. Setiap dakwaan berancaman hukuman hingga 20 tahun penjara.

Kejahatan dan pengakuan

Apa yang terjadi: Seorang mantan agen khusus FBI mencuri sekitar satu juta dolar dalam bentuk kripto dari biro tempatnya bekerja.

Bagaimana kejadiannya: Antara Februari 2025 dan Juli 2026, Patrick Steven Yaroch memakai akses dinasnya ke basis data internal FBI, menghafal frasa pemulihan dompet kripto, dan memindahkan dana ke rekening pribadi. Pada Juli 2026 agen itu menyerahkan diri ke Departemen Kehakiman karena perbuatannya "menggerogotinya dari dalam". Menurut pengakuannya, ia mencuri uang itu karena kecewa pada pekerjaannya.

Berkas perkara menunjukkan bahwa sebelum mengaku, agen tersebut sempat membahas rencana emigrasi dengan ChatGPT, mencari cara memindahkan uang melintasi perbatasan, dan membeli tiket ke Portugal. Ia kini terancam hukuman hingga 20 tahun penjara.

AI di zaman kita

Apa yang terjadi: Sebuah asisten AI menemukan celah di situs pusat kebugaran dan membatalkan reservasi orang lain agar penggunanya bisa ikut kelas.

Bagaimana kejadiannya: Programmer asal Australia Andrew Bird mencoba bereksperimen dengan perangkat lunak agen AI dan meminta model itu memesankan sesi latihan untuknya. Sistem hanya membuka reservasi dalam rentang waktu tertentu sebelum kelas, tetapi AI menemukan cara menyiasati aturan tersebut dan mengamankan slot beberapa minggu di muka. Bird lalu memintanya memeriksa apakah ia bisa masuk gym lebih cepat. Asisten itu berhasil — dengan membatalkan permanen reservasi pelanggan lain. Sistem gym bahkan tidak menyadarinya.

Bird menceritakan peretasan tak sengaja itu di blog perusahaan tempatnya bekerja dan kisahnya diangkat media. Pengembang perangkat lunak reservasi tidak berkomentar soal insiden tersebut.

Dua bulan surat anonim

Apa yang terjadi: Seorang kontraktor yang sakit hati mencuri dokumen rahasia dan memeras perusahaan selama dua bulan.

Bagaimana kejadiannya: Pada Desember 2023 kontraktor Cameron Currie mengetahui bahwa manajemen perusahaan TI Brightly Software tidak berniat memperpanjang kontraknya. Sebelum pergi, ia mengambil data pribadi karyawan dan laporan keuangan perusahaan. Keesokan harinya Currie mengirim serangkaian surat ancaman anonim kepada bekas pemberi kerjanya, menuntut $2,5 juta atau ia akan menyebarkan data itu dan melaporkan kebocorannya ke otoritas. Ia bahkan memasang hitungan mundur: setiap bulan jumlahnya bertambah $100.000.

Surat-surat ancaman itu berlangsung dua bulan, hingga akhir Januari 2024. Brightly membayar $7.540 dalam bitcoin lalu melapor ke penegak hukum. FBI cepat menemukan pelakunya. Currie melakukan dua kesalahan serius: mengirim surat dari satu alamat Outlook tertentu, dan menautkan akunnya di bursa kripto tempat ia menerima tebusan dengan data bank kerabatnya. Pada Agustus 2026 ia divonis dua tahun penjara atas pemerasan.

Balas dendam pada pasar kerja

Apa yang terjadi: Seorang kontraktor Origin Energy mencuri data pribadi 900.000 pelanggan untuk memeras perusahaan.

Bagaimana kejadiannya: Kontraktor yang bekerja untuk perusahaan energi Australia Origin Energy memperoleh akses ke data pribadi pelanggan menjelang berakhirnya masa kerjanya dan menyimpannya di laptop pribadi. Akibatnya, nama, alamat, rekaman percakapan telepon, dan nomor kartu 900.000 pelanggan lama dan baru bocor dari perusahaan.

Setelah insiden itu, pria tersebut mengancam Origin Energy akan melepas basis data ke dark web jika tidak menerima tebusan besar. Belakangan ia menghubungi The Australian dan mengaku mencuri data sebagai balas dendam atas krisis di pasar kerja, tetapi telah mencapai kesepakatan dengan perusahaan.

Di tengah skandal itu, Origin Energy membatasi akses internal ke basis datanya dan memberi pelanggan terdampak pemantauan kredit gratis selama satu tahun.

196 pinjaman yang tak pernah ada

Apa yang terjadi: Seorang karyawan lembaga keuangan mikro menerbitkan 196 pinjaman fiktif dan meraup 3,6 juta rubel (sekitar $43.000).

Bagaimana kejadiannya: Spesialis operasi keuangan mikro itu membebankan pinjaman palsu kepada nasabah yang benar-benar ada, dengan memalsukan data kontrak dari basis data internal. Agar perusahaan tidak bisa menghubungi para peminjam di atas kertas, ia mengganti nomor telepon mereka dengan nomor yang ia kendalikan.

Selama setahun ia menerbitkan 196 pinjaman fiktif senilai 3,6 juta rubel. Hanya sekitar satu juta yang ia pakai untuk dirinya sendiri. Sisanya harus dikembalikan sebagai cicilan agar penggelapan itu tetap tertutup.

Pada akhirnya karyawan tersebut tertangkap dan divonis enam tahun penjara atas penggunaan rahasia dagang secara melawan hukum dan campur tangan tidak sah terhadap infrastruktur kritis.