Satu video tutorial di TikTok, tampilannya rapi, suaranya meyakinkan, menawarkan Spotify Premium gratis. Ratusan ribu orang sudah menontonnya. Sebagian dari mereka, tanpa sadar, kini komputernya sudah dihajar malware.
Itulah gambaran kampanye siber yang diungkap perusahaan keamanan ReversingLabs. Pelaku memanfaatkan video pendek di TikTok dan Instagram Reels sebagai jalur distribusi malware bernama Vidar, program pencuri informasi yang sudah lama beredar di dunia bawah tanah siber dan dijual dengan skema Malware-as-a-Service (MaaS). Siapa pun bisa menyewa akses ke malware ini untuk menjalankan operasi pencurian data sendiri.
Modusnya cerdik. Video yang beredar tampil dengan visual profesional, kadang menggunakan nama akun yang menyerupai merek teknologi besar, menawarkan aktivasi gratis untuk layanan berbayar seperti Spotify Premium, Microsoft Office, atau Adobe. Korban diarahkan membuka PowerShell atau fitur Run di Windows, lalu menyalin dan menjalankan perintah yang ditampilkan di layar video. Begitu perintah itu dieksekusi, Vidar langsung terunduh secara diam-diam dan bekerja di latar belakang.
Data yang dibidik bukan sembarangan. Vidar dirancang menyedot nama pengguna dan kata sandi akun, cookie browser, token sesi login, data autofill, informasi dompet kripto, hingga dokumen pribadi yang tersimpan di komputer. Setelah terkumpul, semua informasi itu dikirim ke server yang dikendalikan pelaku, lalu berpotensi diperjualbelikan di forum kejahatan siber atau dipakai untuk mengambil alih akun korban.
Skala penyebarannya sudah mengkhawatirkan. Sebagian video dalam kampanye ini meraup puluhan hingga ratusan ribu tayangan, dengan satu video yang dilaporkan menembus 100.000 penonton. Algoritma media sosial yang mengutamakan konten berinteraksi tinggi justru menjadi akselerator tanpa sadar. Fitur simpan dan bagikan yang pengguna pakai sehari-hari ikut memperluas jangkauan konten berbahaya tersebut.
"Jenis rekayasa sosial seperti ini menjadi cara mudah bagi pelaku untuk mengarahkan trafik dari media sosial ke situs berbahaya yang mereka kendalikan," kata peneliti ReversingLabs.
Ini bukan sekadar variasi phishing lama. ReversingLabs mencatat pergeseran strategi: jika sebelumnya pelaku mengandalkan email phishing satu klik, kini mereka memilih video yang tampil santai dan tidak terkesan mengancam. Tidak ada kalimat "akun Anda akan diblokir" atau tekanan waktu. Yang ada justru janji layanan gratis, dikemas dalam konten yang terlihat seperti tutorial biasa. Bak umpan yang tidak terasa seperti umpan.
Meskipun metode ini membutuhkan lebih banyak langkah dari korban dibanding email phishing konvensional, justru di situlah letak efektivitasnya. Pengguna yang sudah terlanjur percaya akan mengikuti instruksi sampai tuntas.
Pertanyaannya, berapa banyak orang yang sadar mereka sedang mengunduh bahaya?
Beberapa langkah mitigasi yang disarankan para peneliti: jangan jalankan perintah pemrograman yang tidak dipahami, terutama yang bersumber dari media sosial. Unduh perangkat lunak hanya dari situs resmi pengembang. Aktifkan autentikasi multifaktor pada akun-akun penting. Pastikan sistem operasi serta perangkat lunak keamanan selalu diperbarui. Tapi satu saran yang paling sederhana dan paling sering diabaikan: kalau ada yang menawarkan layanan berbayar secara gratis lewat video di internet, hampir pasti ada yang salah.