Kelompok pemeras data ShinyHunters membobol situs kebocoran milik geng ransomware Clop (alias Cl0p), mengganti halaman depannya dengan gambar Pokémon, lalu mengaku mencuri data server termasuk kunci privat layanan Tor Clop. Setelah itu ShinyHunters menyatakan rencananya memeras balik geng ransomware tersebut.
Kronologi: dari satu file teks sampai halaman diacak-acak
Serangan dimulai Jumat malam. Menurut pengakuan ShinyHunters, mereka memanfaatkan celah unauthenticated file upload di Grav CMS — celah yang memungkinkan seseorang menaruh file di server tanpa perlu login dulu — untuk mengunggah satu file teks kecil ke situs Clop. Isinya peringatan agar Clop tidak mengancam mereka, plus tautan ke situs kebocoran milik ShinyHunters sendiri:
“THIS SITE HAS BEEN PWN3D BY SHINYHUNTERES #Skids10p – Maybe don’t try to threaten us next time.”
BleepingComputer memverifikasi file itu memang bisa diunduh langsung dari situs Tor Clop. Beberapa jam kemudian, ShinyHunters mengklaim telah “completely defaced” situs lawannya. Halaman depan Clop berganti dengan seni ASCII Umbreon — Pokémon yang jadi logo ShinyHunters — plus tautan ke situs Tor mereka dan tulisan “rooting your systems since ’19 ;)”. Saat artikel sumber ditulis, halaman itu masih disajikan dari infrastruktur Clop sendiri.
Apa itu situs kebocoran, dan kenapa jadi rebutan
Situs kebocoran (leak site, kadang disebut shaming site) adalah halaman web — umumnya hanya bisa diakses lewat jaringan Tor — yang dipakai geng ransomware untuk memamerkan sampel data curian dan memberi tenggat waktu ke korban. Ini bagian dari pola double extortion atau pemerasan ganda: data korban tidak hanya dikunci lewat enkripsi (itulah ransomware), tapi salinannya juga dicuri lalu dipakai sebagai alat tekan — “bayar, atau kami publikasikan”.
Karena itu leak site bukan sekadar etalase, melainkan alat tekanan sekaligus kanal reputasi yang membuat geng tampak serius. Kalau situs itu dikuasai pihak lain, kredibilitas geng langsung jatuh — mereka kehilangan panggung untuk menakut-nakuti calon korban. Ini juga alasan kunci privat onion jadi taruhan besar: alamat itu identitas geng tersebut, dan siapa pun yang memegang kuncinya bisa menjalankan situs di alamat yang persis sama dari server sendiri.
“We have their onion keys. So if they kick us out it wouldn’t matter at all because we control the private keys to host the same exact onion URL.”
Data siapa yang terdampak
ShinyHunters mengklaim mendapat “full access” ke server Clop dan mencuri kode sumber, plugin Grav CMS, log sistem, serta data lain. Mereka juga mengaku menyedot seluruh isi direktori /var/log, yang biasanya memuat catatan aktivitas sistem, log autentikasi, dan berpotensi alamat IP siapa saja yang pernah terhubung ke server itu.
Penting digarisbawahi: BleepingComputer hanya memverifikasi secara independen defacement dan file teks yang diunggah. Klaim soal pencurian log, kode sumber, dan kunci privat onion belum diverifikasi independen.
Soal korban, sumber tidak menyebut satu pun nama atau jumlah organisasi yang datanya terekspos akibat insiden ini. Tidak ada perusahaan, instansi, atau individu yang dinamai. Yang paling jelas terdampak adalah Clop sendiri — infrastruktur, kode, dan kanal publikasinya.
Akar konflik: balas dendam antar geng
ShinyHunters menyebut serangan ini balasan atas ancaman yang diduga dilontarkan perwakilan Clop, termasuk ancaman membongkar identitas anggota mereka. Akarnya, kata ShinyHunters, kampanye pencurian data Clop terhadap server Oracle E-Business Suite pada Oktober 2025, yang mengeksploitasi sejumlah kerentanan — termasuk celah zero-day berkode CVE-2025-61882 — untuk mencuri data organisasi dalam kampanye pemerasan.
Sekitar waktu yang sama, aktor yang menyebut diri “Scattered Lapsus$ Hunters,” termasuk ShinyHunters, membocorkan eksploit proof-of-concept yang kemudian dikonfirmasi Oracle cocok dengan eksploit dalam serangan Clop. ShinyHunters saat itu menyatakan eksploit itu milik mereka dan diperoleh Clop tanpa izin. BleepingComputer menyatakan belum bisa memverifikasi independen tuduhan-tuduhan itu dan telah menghubungi Clop untuk meminta tanggapan.
Ketika ditanya apa rencana mereka dengan data curian itu, jawaban ShinyHunters singkat: “Going to extort them.” Mereka berencana memasang pesan di situs kebocoran milik mereka sendiri yang meminta Clop menghubungi mereka dalam 72 jam.
Arti ‘penjahat memangsa penjahat’ buat Anda
Insiden ini menegaskan satu hal yang sering luput: situs kebocoran bukan arsip permanen. Ketika geng-geng ini saling menyerang, data yang telanjur bocor bisa berpindah tangan berkali-kali.
- Kasus “selesai” belum tentu selesai. Leak site yang mati atau di-deface bukan bukti data sudah dimusnahkan. Data yang sudah bocor tetap bocor, bahkan setelah geng pencurinya sendiri diserang.
- Pemerasan bisa datang dari pihak baru. Kesepakatan atau pembayaran dengan geng asal tidak menjamin apa pun terhadap pihak yang baru memegang salinan.
- Awasi kebocoran kredensial. Log sistem dan catatan autentikasi semacam yang diklaim dicuri bisa memuat jejak akses, termasuk alamat IP.
- Jaga sisi yang dianggap remeh. Celah yang diklaim dipakai adalah kelemahan unggah file di sebuah sistem manajemen konten. Situs sekunder tetap perlu patch dan pembatasan hak akses.
Bagi individu yang datanya sudah telanjur bocor, praktiknya tetap sama: waspadai phishing yang memakai detail pribadi Anda sebagai umpan, jangan pakai kata sandi yang sama di beberapa layanan, dan aktifkan autentikasi dua faktor.
Sumber
- BleepingComputer — ShinyHunters hacks Clop leak site, threatens to extort ransomware gang (Lawrence Abrams, 19 September 2026)
