Pada 6 Oktober 2026, para peneliti dari perusahaan Island menerbitkan analisis tentang platform phishing yang tidak membidik pengguna acak, tetapi mereka yang memegang anggaran iklan orang lain: karyawan agensi, pembeli media, dan administrator akun yang mengelola. Umpan yang digunakan adalah "alat AI untuk iklan" di bawah merek ChatGPT, Gemini, Claude, Perplexity, Manus, dan Meta Muse yang baru. Tombol "Connect" membuka jendela masuk Google atau Okta yang palsu, dan kata sandi serta kode otentikasi dua faktor diambil secara real-time oleh operator yang hidup. Mari kita bahas bagaimana skema ini bekerja, mengapa anti-detect dan proxy tidak menyelamatkan dari ini, dan apa yang bisa diubah dalam kerja tim mulai hari ini.
Apa yang Ditemukan di Island
Para peneliti Island, Oleg Zaitsev dan Ofek Ronen, menggambarkan platform ini sebagai "portofolio produk AI untuk iklan": situs-situs ini menjanjikan optimasi kampanye, audit pengeluaran, dan koneksi akun bisnis. Pada kenyataannya, semua memiliki satu tujuan — mendapatkan login, kata sandi, dan kode sekali pakai.
- Skala. Island mendokumentasikan lebih dari 73 domain penipuan. Selama tiga bulan pengamatan yang berakhir pada Agustus 2026, kluster pengiriman terkait mencakup sekitar 850 halaman arahan dari iklan berbayar, 26 duplikat ChatGPT, dan 71 ID kampanye Google Ads.
- Kecepatan reaksi terhadap berita. Meta mengumumkan asisten AI untuk iklan Muse pada 8 September 2026. Delapan hari kemudian, pada 16 September, muncul museads.ai palsu dengan janji "menghubungkan akun iklan".
- Target. Google Ads, Meta, TikTok, dan akses korporat melalui Okta.
- Skala korban. Menurut BleepingComputer, saluran Telegram yang dikelola menerima ratusan data yang dikirim oleh korban, dan infrastruktur ini dapat dilacak setidaknya hingga Maret 2026.
Mesin yang sama juga menjalankan skenario lain: lowongan palsu atas nama Tesla, Louis Vuitton, Nike, Adecco, dan "pengembalian pembayaran". Beberapa sumber ditemukan di repositori terbuka GitHub yang dilupakan oleh operator untuk ditutup.
Bagaimana Serangan Bekerja: Tombol Connect dan Jendela yang Digambar di Dalam Halaman
Trik kunci adalah browser-in-the-browser (BitB). Korban mengklik "Connect", dan di atas halaman muncul "jendela pop-up" masuk ke Google dengan judul yang benar, antarmuka, dan alamat yang diharapkan di bilah alamat. Seperti yang ditulis di Island, jendela ini hanyalah iframe yang digambar di dalam halaman phishing. Browser yang sebenarnya tetap berada di domain penipu selama waktu itu.
Pembuatnya memperhatikan detail. Dalam kode yang bocor terdapat komentar bahwa Safari asli di iOS dan tab Chrome menggunakan panel matte, dan tanpa itu, bingkai palsu "terlihat digambar" dan menunjukkan pemalsuan. Artinya, mereka dengan sengaja menghindari pemeriksaan visual "dengan mata".
Operator Hidup sebagai Pengganti Skrip
Ini bukan set klasik yang hanya menyimpan kata sandi. Frontend di Next.js terhubung ke panel operator melalui Socket.IO, dan orang di sisi lain secara real-time memutuskan layar mana yang akan ditampilkan kepada korban:
- meminta untuk memasukkan kata sandi lagi (dalam kode disediakan tiga percobaan);
- memasukkan kode dari SMS atau dari aplikasi otentikator;
- mengonfirmasi permintaan push Google atau Okta di ponsel;
- menyelesaikan skenario atau memblokir pengunjung yang "mencurigakan".
Operator dapat menolak kode yang dimasukkan dan meminta yang baru — sementara secara bersamaan masuk ke akun yang sebenarnya dengan data yang diperoleh. Dua faktor otentikasi biasa dengan kode tidak membantu melawan penyadapan semacam ini secara real-time: kode hanya diteruskan ke formulir masuk yang sebenarnya, selama masih berlaku.
Jejak Korban Juga Dikumpulkan
Platform ini mengambil IP, geolokasi, ukuran layar, dan data WebGL dari pengunjung. Island secara langsung menyebut ini sebagai fingerprinting. Bagi seorang arbitrator, ini adalah parameter yang dikenal: berdasarkan parameter ini, platform menilai "apakah" masuk baru mirip dengan yang biasa. Jejak yang dikumpulkan membantu penjahat untuk menyaring peneliti dan, kemungkinan besar, membuat masuk ke akun yang dicuri menjadi kurang mencurigakan.
Apa yang Terjadi dengan Akun Setelah Direbut
Menurut deskripsi Island, penjahat biasanya menambahkan administrator mereka ke akun dan menurunkan hak pemilik yang sebenarnya. Selanjutnya, ada dua jalur monetisasi:
- Pemborosan anggaran untuk kampanye mereka sendiri, sering kali penipuan, melalui kartu yang terhubung atau jalur kredit.
- Penjualan kembali akun. Akun dengan "riwayat pengeluaran bersih" sangat dihargai: Island menyebutkan harga 200–270 dolar untuk akun Google Ads.
Yang paling tidak menyenangkan adalah akses melalui akun pengelola. Dengan meretas MCC agensi atau administrator Business Manager, penyerang mendapatkan kendali atas banyak akun klien sekaligus. Oleh karena itu, target dipilih dengan sangat tepat: satu pembeli media membuka pintu ke puluhan anggaran.
Ini bukan cerita tunggal. Pada Juli 2026, Mimecast menggambarkan pencurian akun iklan sebagai "kejahatan komoditas massal" dalam ekosistem iklan: penipu VietCredCare, DuckTail, NodeStealer, dan PXA Stealer telah menjadikan pencurian akun sebagai alur kerja. Platform baru ini menambahkan rekayasa sosial ke dalam tema AI yang sedang tren.
Mengapa Anti-detect dan Proxy Tidak Melindungi di Sini
Banyak tim percaya bahwa karena setiap akun hidup dalam profil browser anti-detect mereka sendiri dengan IP mereka sendiri, maka mereka aman. Namun, untuk serangan ini — tidak, dan penting untuk memahami mengapa.
- Isolasi profil melindungi dari penggabungan akun, bukan dari phishing. Jika Anda sendiri membuka situs palsu dalam profil akun dan memasukkan kata sandi, tidak ada isolasi yang akan berfungsi: Anda secara sukarela memberikan data.
- Proxy menyembunyikan alamat Anda dari platform, tetapi tidak memeriksa ke mana Anda memasukkannya. Jendela BitB ditampilkan sama pada IP mana pun.
- Kode otentikasi dua faktor bersifat sekali pakai, tetapi tidak terikat pada situs. Operator memasukkannya ke dalam formulir Google yang sebenarnya dalam hitungan detik.
Namun, kebersihan jaringan yang baik membantu mendeteksi pencurian. Jika akun telah masuk selama bertahun-tahun dari IP yang stabil di satu wilayah, masuk dari tempat lain akan menonjol di log keamanan. Lebih lanjut tentang mengapa akun memerlukan alamat tetap, dapat ditemukan dalam analisis berapa lama mempertahankan IP di akun iklan.
Checklist untuk Pembeli Media dan Agensi
1. Periksa "jendela masuk" dalam lima detik
- Cobalah menarik jendela masuk keluar dari tab. Jendela pop-up asli dari browser bergerak bebas, iframe tidak keluar dari batas halaman.
- Perhatikan alamat di bilah alamat asli browser, bukan di "jendela". Island merumuskan ini sebagai: halaman dapat menggambar bilah alamat dan gembok, tetapi tidak dapat mengubah asal asli browser.
- Perhatikan manajer kata sandi. Jika ia tidak menawarkan pengisian otomatis di tempat yang biasanya ditawarkan, kemungkinan besar Anda tidak berada di domain yang benar. Ini adalah salah satu sinyal paling dapat diandalkan.
2. Beralih ke kunci akses di mana pun memungkinkan
Island secara langsung merekomendasikan otentikasi yang tahan terhadap phishing: passkeys dan kunci perangkat keras terikat pada domain, sehingga di situs palsu mereka tidak akan berfungsi, dan operator tidak memiliki apa-apa untuk disadap. Jika Anda mengelola banyak akun dalam anti-detect, kunci akses perlu diatur dengan hati-hati agar tidak menghubungkan akun satu sama lain. Cara melakukannya telah dibahas dalam artikel tentang passkeys dan multi-akunting.
3. Anggap "integrasi AI" sebagai permintaan akses
- Setiap tombol "hubungkan akun" di situs pihak ketiga adalah permintaan untuk memberikan akses ke uang.
- Untuk program beta dan alat baru dari Meta, Google, dan TikTok, dapatkan informasi di situs resmi vendor, bukan dari iklan dan email.
- Waspadai jargon profesional dalam email undangan (MCC, ROAS): Island mencatat bahwa umpan ditulis dengan bahasa pemasar secara khusus agar email terlihat rutin.
4. Pisahkan peran dan batasi kerugian
- Jangan gunakan akun dengan hak administrator MCC atau Business Manager untuk pekerjaan sehari-hari dan pengujian layanan baru.
- Berikan hak minimum yang diperlukan: untuk analis — membaca, untuk pembeli — mengelola kampanye tanpa hak untuk mengubah pengguna.
- Tetapkan batas pengeluaran dan metode pembayaran terpisah untuk akun, agar pencurian tidak berubah menjadi pemborosan seluruh anggaran.
5. Pantau perubahan di akun
- Aktifkan pemberitahuan tentang pengguna baru, perubahan hak, dan data pemulihan.
- Secara teratur periksa log perubahan: administrator baru, kampanye yang tidak dikenal, perubahan data pembayaran.
- Jaga agar setiap akun memiliki IP tetap dan satu profil: maka masuk orang lain akan terlihat segera, bukan setelah seminggu dari laporan.
Proxy Apa yang Dibutuhkan untuk Akun Iklan
Proxy tidak melindungi dari phishing, tetapi bertanggung jawab agar masuk Anda sendiri terlihat stabil dan tidak memicu pemeriksaan. Untuk bekerja dengan Google Ads, Meta, dan TikTok, biasanya dipilih:
- proxy residensial dengan sesi lengket dan keterikatan pada negara akun — alamat penyedia rumah yang tidak berubah di tengah pekerjaan;
- proxy seluler — untuk skenario seluler dan akun yang awalnya dibuat dengan ponsel.
Aturan utama tetap sama seperti dalam keamanan: satu akun — satu profil — satu wilayah stabil. Jika Anda harus mengganti alamat, lakukan secara bertahap, jika tidak, platform akan menganggap Anda sebagai pencuri. Kesalahan umum telah dibahas dalam artikel tentang pemindahan akun ke proxy baru.
Kesimpulan
Skema yang dijelaskan oleh Island menunjukkan pergeseran: mereka tidak membidik akun satu per satu, tetapi orang-orang dengan akses ke banyak akun sekaligus, dan melakukannya melalui umpan paling trendi musim ini — "AI untuk iklan". Jendela masuk palsu dan operator hidup dapat menghindari perhatian yang cermat dan kode otentikasi dua faktor biasa. Tiga hal berfungsi: memeriksa alamat halaman yang sebenarnya, kunci akses sebagai pengganti kode, dan pemisahan hak. Anti-detect dan proxy tetap menjadi alat untuk kerja yang stabil, bukan perisai dari kesalahan Anda sendiri saat masuk.