Modus tes coding palsu sudah diperingatkan sebelumnya
Pada 3 September 2024, FBI telah memperingatkan industri kripto tentang social engineering yang menyamar sebagai peluang kerja. Penyerang bisa mempelajari profil profesional korban, membangun percakapan panjang, dan menyiapkan identitas yang terlihat meyakinkan.6
Indikatornya termasuk permintaan menjalankan repository, paket Node.js atau Python, dan skrip yang tidak dikenal sebagai tes sebelum bekerja. Peringatan tersebut juga mencakup permintaan menggunakan perangkat lunak khusus untuk aktivitas yang sebenarnya bisa dilakukan dengan aplikasi umum.6
Artinya, sesi video call dan profil media sosial yang terlihat aktif bukan alasan untuk langsung mempercayai kode dari lawan bicara. Verifikasi identitas dan penilaian keamanan berkas tetap diperlukan. FBI menyarankan pemeriksaan identitas melalui jalur komunikasi terpisah.6
Yang bisa diperbaiki oleh tim IT
Berikut rekomendasi penerapan untuk dibahas bersama tim. Ini bukan klaim bahwa seluruh kontrol berikut sebelumnya tidak dimiliki Binance.
Pisahkan tes rekrutmen dari perangkat perusahaan
FBI menyarankan agar tes yang mengeksekusi kode tidak dilakukan pada laptop kantor. Jika diperlukan, gunakan mesin virtual pada perangkat yang tidak terhubung ke perusahaan, atau perangkat yang disediakan penguji.6
Untuk penerapannya, jangan ikut memasang token Git, SSH key, sesi cloud, atau direktori kerja perusahaan ke lingkungan tes. Mesin virtual tidak banyak membantu jika akses sensitif ikut dibawa masuk. Ini rekomendasi desain lingkungan uji, bukan jaminan bahwa isolasi akan menghilangkan seluruh risiko.
Evaluasi akses alat AI seperti akses aplikasi lain
Alat AI internal perlu masuk inventaris aset dan peninjauan akses. Catat identitas yang dipakai, sistem yang dapat dijangkau, kredensial yang tersedia, dan tindakan yang bisa dijalankan. Untuk tindakan berisiko tinggi, pertimbangkan persetujuan eksplisit dan pencatatan audit.
Saya akan menghindari kesimpulan bahwa keberadaan AI sendiri menyebabkan insiden. Evaluasi yang lebih berguna adalah apakah suatu integrasi memberi jalur akses yang terlalu luas dan bagaimana jalur itu dibatasi.
Uji pencabutan akses, bukan hanya penghentian aplikasi
Dalam latihan insiden, masukkan skenario token deployment dicuri atau otorisasi sudah terbentuk di sistem eksternal. Uji siapa yang boleh mencabutnya, persetujuan apa yang diperlukan, serta cara memastikan pencabutan benar-benar berlaku.
Sediakan runbook untuk akses cloud, pipeline deployment, dan layanan penandatanganan yang relevan dengan organisasi. Mekanisme darurat juga perlu diaudit agar tidak menjadi jalan pintas untuk menghindari kontrol normal.