Hacker Bajak Microsoft Teams, 400+ Insiden Penipuan IT Palsu

Telset.id – Peneliti keamanan siber Arctic Wolf memperingatkan kampanye peretasan yang sedang berlangsung dan meluas, dengan lebih dari 400 insiden tercatat. Serangan ini memadukan banjir spam di kotak masuk email, akun Microsoft Teams yang menyamar sebagai IT support, dan penggunaan perangkat lunak sah sehari-hari. Tujuannya tampak mengarah pada akses persisten, kemungkinan sebagai persiapan infeksi malware atau ransomware berikutnya.

Menurut laporan Arctic Wolf, pola serangan yang sama teramati dalam lebih dari 400 kasus. Semuanya dimulai ketika seorang karyawan di perusahaan target menerima ratusan, bahkan mungkin ribuan, email spam dalam waktu yang sangat singkat. Kotak masuk pun dibanjiri sampah digital, mengubur email penting di bawah tumpukan pesan tak berguna.

Beberapa saat kemudian, orang yang sama menerima pesan Microsoft Teams dari pengguna yang tampak sah. Nama pengirimnya tertulis jelas “IT Service Desk”, kadang disertai nama depan seperti Liam, Ethan, atau Scott. Mereka memberi tahu korban bahwa mereka mengetahui masalah email yang dialami dan menawarkan solusi.

Modus Akses Jarak Jauh via Quick Assist

Untuk “menyelesaikan masalah”, pelaku meminta akses langsung ke keyboard korban, biasanya melalui alat remote monitoring and management (RMM) yang sah seperti AnyDesk atau ScreenConnect. Ini jelas tipuan untuk membuat korban menyerahkan akses ke perangkatnya. Entitas yang sama mengirim email spam sekaligus pesan Teams tersebut.

Dalam sejumlah kasus, pelaku bahkan menelepon korban melalui Teams alih-alih mengirim pesan, agar seluruh rangkaian terasa lebih meyakinkan. Arctic Wolf menyebut faktor utama yang memungkinkan skema ini adalah fakta bahwa Microsoft Teams dikirim dengan fitur external access (federation) aktif secara default.

Artinya, kecuali tim IT perusahaan mengubah pengaturan default di Teams, setiap karyawan bisa menerima pesan dari siapa pun yang memiliki akun Microsoft 365, bahkan dari tenant yang sepenuhnya berbeda. Arctic Wolf menegaskan ini bukan bug, melainkan fitur sah yang dieksploitasi pelaku ancaman.

“Ini adalah fitur yang paling sering disalahgunakan penyerang,” kata Arctic Wolf. “Aktivitas ini tidak mengeksploitasi kerentanan Teams yang diketahui; ini menyalahgunakan kemampuan kolaborasi sah yang aktif secara default.”

Yang memperburuk keadaan, saat meminta akses langsung, pelaku tidak meminta korban memasang perangkat lunak khusus. Pada sebagian besar kasus, mereka hanya meminta korban membuka Quick Assist, alat yang tertanam langsung di Windows, ditandatangani Microsoft, sehingga tidak memerlukan instalasi. Korban hanya perlu mengirim kode enam digit dan akses pun diserahkan.

Setelah itu, peneliti melihat pelaku memasang alat RMM komersial seperti AnyDesk atau ScreenConnect untuk mendapatkan kanal kontrol terpisah, memastikan akses tetap bertahan meski akses Quick Assist dicabut. Mereka kemudian memetakan jaringan IT target dan melakukan rekonesans sebanyak mungkin, kemungkinan sebagai persiapan serangan ransomware atau malware.

Cara Memperkuat Pertahanan Microsoft Teams

Pertahanan terhadap serangan semacam ini dimulai dengan mengunci akses di Teams. “Sebagian besar organisasi tidak memiliki kebutuhan sah untuk chat eksternal terbuka lintas tenant,” ujar Arctic Wolf. Mereka merujuk panduan Microsoft dalam mengelola rapat dan chat eksternal, yakni beralih dari “allow all” ke allow-list berisi organisasi tepercaya.

Langkah krusial kedua adalah edukasi karyawan. Semua orang harus disadari bahwa pesan yang datang dari Teams belum tentu sah. Hal yang sama berlaku untuk panggilan audio maupun email. Pelaku memanfaatkan kepercayaan pada platform kerja resmi untuk melewati kewaspadaan korban.

Kasus ini menegaskan bahwa ancaman siber kerap bersembunyi di balik alat yang kita gunakan setiap hari. Bagi tim IT perusahaan, meninjau ulang pengaturan federation Teams dan membekali karyawan dengan literasi keamanan bukan lagi pilihan, melainkan langkah wajib untuk mencegah akses tak sah yang berujung pada infeksi malware atau ransomware.

Sebagai informasi, Arctic Wolf adalah firma riset keamanan siber yang melaporkan temuan ini. Kampanye tersebut tidak mengeksploitasi kerentanan Teams yang diketahui, melainkan menyalahgunakan kapabilitas kolaborasi sah yang aktif secara default. Hingga laporan ini ditulis, belum ada keterangan resmi tambahan mengenai jumlah korban atau organisasi yang terdampak di luar 400+ insiden yang diamati.

[IMAGE_METADATA_PLACEHOLDER]