Mata-mata Asing Lagi Ngintip Indonesia: 3 Grup Hacker Negara yang Terdeteksi

Selama dua tahun terakhir, Indonesia menjadi sasaran utama operasi mata-mata siber oleh setidaknya tiga kelompok peretas yang didukung negara asing. Temuan ini bukan berasal dari laporan intelijen internal, melainkan dari perusahaan keamanan siber global seperti Kaspersky, Check Point, dan CSA Singapura, yang secara terbuka merilis data kampanye serangan terhadap institusi di Indonesia.

Apa yang mereka targetkan, bagaimana modusnya, dan kenapa Indonesia dipilih? Berikut rangkuman dari tiga ancaman terbesar yang sudah terverifikasi.

📊 INFOGRAFIK: 3 Grup Hacker Negara Mengintip Indonesia

SilverFox: Pajak Palsu, Backdoor Nyata

Pada April 2026, tim riset global Kaspersky (GReAT) merilis laporan tentang kampanye grup SilverFox yang menargetkan perusahaan di India, Indonesia, Afrika Selatan, dan Rusia. Dimulai sejak Desember 2025, grup ini mengirimkan lebih dari 1.600 email phishing dalam waktu enam minggu (Januari hingga Februari 2026) yang menyamar sebagai pemberitahuan pajak resmi.

Cara kerjanya: korban menerima email yang tampak seperti surat dari otoritas pajak, berisi ancangan untuk mengunduh arsip “daftar pelanggaran pajak”. Jika diklik, perangkat korban langsung terinfeksi dua jenis malware. Yang pertama adalah ValleyRAT, backdoor modular yang memungkinkan peretas mengambil alih kendali perangkat, merekam layar, mencuri keyboard input, dan mengambil file. Yang kedua adalah ABCDoor, backdoor berbasis Python yang sudah digunakan grup ini sejak akhir 2024.

Dalam kampanye terbaru ini, sasaran utamanya adalah sektor industri, konsultan, perdagangan, dan transportasi. Sebelumnya, SilverFox juga pernah menargetkan perusahaan di sektor telekomunikasi, energi, logistik, dan keuangan di Asia.

Amaranth-Dragon: Eksploit Celah Baru dalam 8 Hari

Grup yang dilacak oleh Check Point Research dengan nama Amaranth-Dragon ini merupakan bagian dari ekosistem APT41, salah satu kelompok peretas China yang masuk daftar buruan paling dicari FBI. Pada 2025, grup ini melancarkan kampanye spionase yang menargetkan instansi pemerintah dan penegak hukum di Thailand, Indonesia, Singapura, dan Filipina.

Yang membuat kampanye ini menarik perhatian adalah kecepatan mereka mengeksploitasi celah keamanan. Pada 8 Agustus 2025, celah path-traversal di WinRAR (CVE-2025-8088) diumumkan ke publik. Eksploit proof-of-concept-nya dirilis pada 14 Agustus. Tiga hari kemudian, tepatnya 18 Agustus 2025, Amaranth-Dragon sudah menggunakannya dalam serangan nyata.

Metode yang digunakan adalah spear-phishing dengan arsip berbahaya yang dihosting di cloud. Ketika korban membuka arsip tersebut, sebuah loader menggunakan teknik DLL side-loading untuk mendekripsi dan menjalankan framework Havoc C2 langsung di memori tanpa meninggalkan jejak di hard drive. Pada gelombang serangan berikutnya, mereka menargetkan Indonesia secara spesifik dengan arsip RAR yang dilindungi password, mengirimkan RAT bernama TGAmaranth yang dikendalikan melalui bot Telegram.

Laporan Check Point Research menekankan bahwa server C2 grup ini disembunyikan di balik Cloudflare dan dibatasi aksesnya secara geografis untuk menghindari deteksi.

UNC3886: Operator Telko Singapura Bobol Semua

Pada Februari 2026, Badan Keamanan Siber Singapura (CSA) mengumumkan bahwa grup UNC3886 yang diduga terkait China telah membobol keempat operator telekomunikasi terbesar di negara tersebut: Singtel, StarHub, M1, dan Simba. Ini adalah operasi mata-mata siber terbesar yang pernah dihadapi Singapura.

Para peretas menggunakan celah zero-day di perangkat firewall perimeter untuk menembus pertahanan jaringan. Setelah masuk, mereka memasang rootkit khusus yang memungkinkan mereka bertahan di dalam sistem selama berbulan-bulan tanpa terdeteksi. Investigasi mengungkap bahwa akses awal sudah terjadi beberapa bulan sebelum terdeteksi pada pertengahan 2025.

CSA menyatakan bahwa data pelanggan tidak berhasil dicuri. Informasi yang hilang terbatas pada data teknis seperti topologi jaringan dan konfigurasi sistem. Namun, para ahli memperingatkan bahwa data semacam itu bisa digunakan untuk serangan rantai pasok yang lebih luas ke negara-negara tetangga, termasuk Indonesia.

Indonesia: Diam di Hadapan Ancaman

Indonesia termasuk negara yang tidak pernah secara terbuka mengatribusikan serangan siber ke negara atau kelompok tertentu. Kebijakan ini dikenal sebagai “no naming, no shaming”, berbeda dengan negara tetangga seperti Singapura yang baru-baru ini secara terbuka mengaitkan serangan UNC3886 dengan kelompok yang didukung China.

Pendekatan hati-hati ini didorong oleh kekhawatiran agar tidak terseret ke dalam konflik teknologi negara adikuasa, keterbatasan kapasitas forensik digital, dan belum adanya kepastian hukum dari RUU Keamanan Siber yang hingga pertengahan 2026 masih dalam proses pengesahan.

Di sisi lain, data dari CYFIRMA mengonfirmasi bahwa Indonesia terus menjadi target berbagai aktor APT, dengan sektor pemerintah, perbankan, dan infrastruktur kritis menjadi yang paling diincar.

Indonesia menjadi papan target utama operasi spionase siber global. Pertanyaan besarnya bukan lagi apakah Indonesia diserang, melainkan seberapa siap kita menghadapinya.

Apa Artinya Buat Kamu?

Kehadiran grup mata-mata asing di infrastruktur digital bukan lagi teori konspirasi. Data dari Kaspersky, Check Point, dan otoritas Singapura sudah cukup untuk membuktikan bahwa Indonesia menjadi target utama. Buat perusahaan dan profesional IT di Indonesia, langkah paling konkret yang bisa dilakukan adalah:

• Perkuat keamanan email – phishing masih jadi pintu masuk utama dalam setiap kampanye yang dilaporkan
• Perbarui sistem secara rutin – celah WinRAR CVE-2025-8088 dieksploitasi hanya 8 hari setelah publikasi
• Milik rencana respons insiden yang matang – jika operator telekomunikasi sekelas Singapura saja bisa dibobol, tidak ada alasan untuk merasa kebal

Baca juga: Dua Tahun Setelah Brain Cipher: PDNS Lumpuh, Pelajaran yang Tertinggal