Pengguna komputer Mac perlu meningkatkan kewaspadaan saat mengunduh aplikasi kecerdasan buatan (AI) Claude. Peneliti keamanan siber menemukan kampanye iklan berbahaya yang memanfaatkan Google Search untuk mengarahkan pengguna ke situs unduhan palsu. Modus ini dirancang agar korban percaya sedang memasang aplikasi resmi, padahal mereka berisiko menjalankan perintah berbahaya di perangkatnya.
Temuan tersebut diungkap perusahaan keamanan siber Push Security pada 9 Oktober 2026. Dalam penyelidikannya, peneliti menemukan teknik serangan yang disebut Adception. Pelaku memanfaatkan iklan pencarian, pengalihan melalui domain tepercaya, serta situs web yang telah disusupi untuk membawa calon korban menuju halaman unduhan Claude palsu.
Serangan ini bermula ketika pengguna mencari kata kunci “claude mac” melalui Google. Pada hasil pencarian, korban dapat menemukan iklan bersponsor yang menampilkan domain Bing sehingga tautan tersebut tampak lebih meyakinkan.
Namun, alamat yang terlihat bukanlah tujuan akhir pengunjung. Setelah iklan diklik, peramban melewati mekanisme pengalihan Google dan Bing, sebelum diarahkan ke sebuah situs ritel yang telah diretas. Dari sana, pengunjung dibawa menuju halaman palsu yang menyerupai situs unduhan Claude untuk macOS.
Teknik tersebut berbeda dari pola iklan berbahaya yang langsung mengarahkan pengguna ke domain mencurigakan. Dengan memanfaatkan layanan yang dikenal luas, pelaku berusaha menyamarkan jalur serangan dan mengurangi kemungkinan tautan tersebut langsung terdeteksi sebagai ancaman.
Push Security juga menemukan mekanisme penyamaran berlapis pada rangkaian serangan tersebut. Situs yang telah disusupi memeriksa informasi perujuk atau referrer serta karakteristik permintaan peramban sebelum mengalihkan pengunjung. Sementara itu, situs unduhan palsu memeriksa asal kedatangan pengunjung melalui JavaScript. Pengguna yang tidak memenuhi kriteria tertentu dapat diarahkan ke halaman kesalahan 404.
Bahaya utama muncul ketika pengguna tiba di halaman unduhan palsu. Halaman tersebut dibuat menyerupai laman resmi Claude dan menyediakan tombol “Download for macOS” beserta instruksi pemasangan melalui Terminal, aplikasi bawaan macOS untuk menjalankan perintah sistem.
Instruksi yang ditampilkan terlihat seperti perintah instalasi resmi dari Anthropic, perusahaan pengembang Claude. Akan tetapi, peneliti menemukan bahwa tombol untuk menyalin perintah tersebut justru memasukkan instruksi berbeda ke dalam clipboard atau papan klip komputer.
Artinya, perintah yang terlihat di layar tidak sama dengan perintah yang sebenarnya disalin. Ketika pengguna menempelkan instruksi itu ke Terminal dan menjalankannya, perintah tersebut dapat mengambil skrip dari server eksternal yang dikendalikan pelaku, lalu meneruskannya ke shell zsh untuk dieksekusi.
Modus ini berbahaya karena pengguna mungkin merasa telah memeriksa instruksi dengan benar. Teks yang terlihat di halaman maupun Terminal memberikan kesan bahwa proses pemasangan mengarah ke situs resmi Claude, sementara perintah yang berjalan sebenarnya mengakses sumber lain.
Teknik tersebut berkaitan dengan pola serangan ClickFix, yaitu rekayasa sosial yang membujuk korban melakukan tindakan teknis sendiri, misalnya menyalin dan menjalankan perintah tertentu. Dalam kasus ini, proses instalasi aplikasi digunakan sebagai umpan agar pengguna bersedia menjalankan instruksi tanpa menyadari risikonya.
Push Security mengidentifikasi sejumlah domain yang memiliki pola serangan serupa. Domain-domain tersebut menunjukkan kesamaan dalam perintah yang ditujukan untuk macOS, pola alamat pengambilan muatan berbahaya, serta rancangan antarmuka instalasi.
Peneliti melacak kelompok aktivitas tersebut secara internal dengan nama AcSig. Kesamaan teknis itu mengindikasikan penggunaan perangkat atau infrastruktur serangan yang berkaitan, meskipun belum cukup untuk memastikan siapa pelaku di balik kampanye tersebut.
Laporan yang tersedia juga belum memastikan jenis akhir malware yang akan dijalankan maupun besarnya dampak yang telah ditimbulkan. Karena itu, potensi pencurian data atau kerusakan sistem perlu dipahami sebagai risiko keamanan, bukan sebagai dampak yang sudah terkonfirmasi pada seluruh korban.
Temuan ini memperlihatkan bahwa tampilan iklan yang meyakinkan dan penggunaan domain populer tidak selalu menjamin keamanan sebuah unduhan. Penyerang dapat menyalahgunakan layanan yang sah sebagai bagian dari rangkaian pengalihan untuk menyembunyikan tujuan sebenarnya.
Untuk mengurangi risiko, pengguna Mac sebaiknya mengunduh Claude melalui situs resmi Anthropic, bukan mengandalkan iklan bersponsor yang muncul di hasil pencarian. Pengguna dapat mengetik alamat resmi claude.ai secara langsung di peramban dan memeriksa petunjuk unduhan dari sumber resmi sebelum memasang aplikasi.
Pengguna juga perlu berhati-hati terhadap situs yang meminta mereka menyalin perintah ke Terminal. Jangan menjalankan perintah yang tidak dipahami, terutama jika instruksi tersebut mengambil skrip dari alamat yang berbeda dengan situs penyedia aplikasi. Periksa kembali isi clipboard sebelum menempelkan perintah dan jangan melanjutkan proses apabila terdapat ketidaksesuaian.
Jika telanjur menjalankan perintah mencurigakan, hentikan aktivitas sensitif di perangkat tersebut dan lakukan pemeriksaan keamanan menggunakan perangkat yang tepercaya. Pengguna juga sebaiknya meminta bantuan tenaga keamanan TI untuk memeriksa kemungkinan kompromi, terutama jika komputer digunakan untuk menyimpan data penting atau mengakses akun kerja.
Kasus iklan Claude palsu ini menjadi pengingat bahwa ancaman siber tidak selalu hadir dalam bentuk tautan yang jelas mencurigakan. Penggunaan iklan resmi, pengalihan melalui domain tepercaya, dan manipulasi perintah instalasi dapat membuat sebuah serangan terlihat seperti aktivitas normal. Karena itu, memeriksa sumber unduhan dan memahami setiap perintah sebelum menjalankannya merupakan langkah penting untuk menjaga keamanan perangkat.
