Dua umpan, dua cara mengambil alih
Aplikasi ChatGPT palsu dan undangan hadiah premium palsu adalah dua jenis penipuan siber yang memanfaatkan kepercayaan pengguna untuk memasang malware atau menyerahkan akses akun kepada penyerang. Keduanya menyamar sebagai tawaran AI yang meyakinkan, tetapi dampaknya berbeda: satu membahayakan komputer, sementara yang lain mengincar identitas digital.
Aplikasi desktop ChatGPT dan Claude palsu ditemukan menyebarkan malware penambang kripto ke komputer Windows. Kampanye lain menjanjikan ChatGPT Pro gratis selama tiga bulan melalui acara palsu yang meminta calon peserta masuk memakai akun kerja Microsoft atau Google. Sasaran utamanya mencakup karyawan yang tertarik memperoleh layanan teknologi premium tanpa biaya. Iming-imingnya berbeda, tetapi keduanya meminta pengguna mengambil langkah berisiko sebelum memastikan sumbernya.
Perbedaan itu penting: mengunduh program memberi penyerang peluang menjalankan kode di perangkat, sedangkan masuk lewat tautan undangan dapat membuka akses ke akun dan sesi login. Jangan menilai keamanan dari nama merek atau tampilan halaman; periksa apa yang diminta dan siapa yang mengendalikannya.
Installer bertanda tangan tetap bisa membawa malware
Modus installer mengandalkan kesan bahwa berkas resmi pasti aman. Paket unduhan berupa ZIP berisi installer bertanda tangan digital dari OpenAI atau Anthropic, tetapi juga menyertakan berkas berbahaya bernama winmm.dll. Saat installer dijalankan, Windows dapat memuat pustaka berbahaya itu melalui teknik DLL sideloading. Tanda tangan yang sah pada installer tidak membuktikan bahwa setiap berkas dalam paket aman.
Setelah terpasang, malware meminta izin administrator dan bersembunyi di direktori sistem. Payload yang ditemukan adalah malware penambang kripto, yang memakai sumber daya komputer korban dan dapat memperlambat kinerja perangkat. Mekanisme loader juga berpotensi dipakai untuk mengirim malware lain, termasuk pencuri kata sandi. Jadi, risikonya tidak berhenti pada komputer yang terasa lambat.
Pelaku mengarahkan pengguna melalui hasil pencarian dan halaman GitHub tiruan. Karena itu, jangan menganggap posisi teratas di hasil pencarian sebagai pengesahan. Unduh aplikasi AI hanya dari situs resmi pengembang atau kanal resmi seperti Microsoft Store, lalu periksa alamat situs, identitas pengembang, dan sumber paket sebelum memasang.
Undangan gratis dapat berujung akun dibajak
Modus undangan palsu menargetkan akses akun, bukan pemasangan program. Situs tiruan mengiklankan acara atas nama perusahaan teknologi dan menjanjikan ChatGPT Pro gratis selama tiga bulan. Untuk mendaftar, korban diminta memilih login dengan Microsoft atau Google. Pemeriksaan CAPTCHA dan tautan perantara dapat membuat perjalanan menuju halaman palsu tampak lebih wajar, tetapi tidak menjadikan undangan itu resmi.
Untuk akun Microsoft, penyerang menggunakan phishing kode perangkat: korban diarahkan memasukkan kode autentikasi pada halaman Microsoft asli, lalu persetujuan itu dapat memberi pelaku token akses. Untuk Google, halaman perantara dapat mencuri kata sandi, respons autentikasi multifaktor, dan cookie sesi. Akibatnya, akun Google dibajak bahkan ketika korban merasa telah memakai proses login yang benar.
Kampanye phishing ini terdeteksi dan diblokir pada akhir Oktober 2026, tetapi pola serupa tetap layak diwaspadai. Jangan masukkan kode autentikasi Microsoft ke situs yang tidak dikenal, dan jangan berikan akses akun perusahaan untuk mendaftar hadiah dari undangan yang tidak dapat diverifikasi.
Langkah aman sebelum mengunduh atau masuk
Kedua modus ini membuktikan bahwa kehati-hatian perlu dilakukan sebelum mengunduh maupun sebelum memberikan akses akun. Installer bisa menyembunyikan komponen berbahaya di samping program bertanda tangan, sedangkan undangan bisa memancing pengguna menyerahkan kode, kata sandi, atau sesi login. Anggap permintaan yang tidak terduga sebagai alasan untuk berhenti dan memeriksa, bukan sebagai langkah rutin.
- Unduh aplikasi hanya dari situs resmi pengembang atau kanal resmi, dan pastikan alamat serta identitas pengembang sesuai.
- Jangan memasang installer dari hasil pencarian atau halaman tiruan hanya karena tampilannya meyakinkan atau berkasnya bertanda tangan digital.
- Periksa undangan acara dan tautan pendaftaran melalui kanal resmi; hindari login akun kerja untuk klaim hadiah yang belum terverifikasi.
- Jangan masukkan kode autentikasi perangkat Microsoft ke situs yang tidak dikenal, dan hentikan proses jika permintaan login terasa tidak semestinya.
Jika telanjur menjalankan installer mencurigakan, putuskan komputer dari internet, periksa direktori sistem untuk berkas yang tidak dikenal, lalu lakukan pemindaian keamanan. Jika pernah memasukkan kredensial atau menyetujui autentikasi pada halaman undangan, segera amankan akun melalui kanal resmi dan periksa aktivitas login. Pada akhirnya, tawaran gratis tidak sebanding dengan risiko kehilangan kendali atas perangkat atau akun.
