Telset.id – Kampanye phishing yang berlangsung dari akhir Juni hingga Juli 2026 berhasil mengecoh banyak pengguna dengan cara yang tidak biasa: mengarahkan korban ke halaman login Microsoft yang asli. Tim riset email Check Point menemukan lebih dari 200 email phishing yang menargetkan pengguna di sekitar 120 organisasi di seluruh dunia. Yang membuat serangan ini berbeda adalah alih-alih mencuri kata sandi, penyerang meminta korban menyetujui izin aplikasi tertentu, sehingga akses ke email, file, Teams, SharePoint, OneDrive, dan kalender bisa didapatkan tanpa perlu mengalahkan autentikasi multi-faktor (MFA).
Teknik ini menandai perubahan signifikan dalam taktik penyerang. Mereka tidak lagi memalsukan halaman depan Microsoft, melainkan memanfaatkan proses legitimasi yang sudah ada. Check Point menyebut teknik ini telah dikomoditisasi pada 2026 menjadi layanan yang bisa disewa, sehingga risiko ancamannya semakin meluas. Pertahanan praktis yang disarankan adalah membatasi persetujuan aplikasi (app consent) daripada hanya mengandalkan pengguna untuk mengenali email palsu.
Mekanisme Serangan Consent Phishing
Email yang dikirim tampak seperti notifikasi penugasan tugas Microsoft Planner. Nama pengirim terbaca “There’s New Activity On Team,” subjek email mengklaim HR telah mengirim tiga pesan melalui Teams chat, dan isi email menyebutkan pembaruan gaji dan tunjangan, serta penghitung yang menunjukkan empat tugas karyawan yang terlambat. Bagi profesional keamanan, email ini memiliki tanda-tanda phishing yang khas: setiap tautan di email, termasuk kedua tombol ajakan bertindak, melewati pengalihan yang sama. Alamat pengirim yang terlihat juga berasal dari organisasi penerima sendiri, membuat email tampak dikirim dari orang yang sama.
Tautan tersebut membuka URL otorisasi OAuth yang asli di login.microsoftonline.com, bukan domain tiruan. Setelah masuk, muncul prompt izin yang meminta pengguna menyetujui izin tertentu atau menerimanya atas nama organisasi. Jika korban menyetujui, Microsoft mengarahkan browser ke alamat pengalihan yang ditentukan dalam permintaan awal, yang dalam kampanye ini adalah endpoint AWS API Gateway yang dikendalikan penyerang. Kode otorisasi dikirim ke sana, lalu ditukar dengan akses. Tidak ada kata sandi yang dicuri pada titik mana pun, dan tidak ada halaman palsu yang perlu dikenali.
Metode ini mirip dengan platform phishing-as-a-service Kali365 yang membahayakan akun Microsoft, tetapi alih-alih mencuri cookie sesi atau token OAuth, teknik ini memilih pemberian izin konsen yang lebih permanen dan bersifat ilegal. Hal ini bertentangan dengan daftar periksa pelatihan keamanan biasa yang menekankan kepatuhan terhadap norma; pengguna biasanya disuruh memeriksa URL, mencari ikon gembok, dan mewaspadai domain yang salah eja. Namun, semua langkah tersebut tidak relevan karena tidak ada yang dipalsukan. Domain dan sertifikat milik Microsoft, dan halaman masuknya adalah halaman yang dilihat pengguna setiap pagi, memberikan rasa aman yang palsu bagi pengguna yang tidak mencari vektor serangan khusus ini.
Autentikasi multi-faktor (MFA) juga tidak membantu dalam kasus ini. MFA melindungi urutan login tetapi tidak melindungi akses ke data pengguna setelah login. Penyerang tidak pernah membutuhkan kata sandi atau faktor kedua karena mereka membawa token yang diberikan oleh sesi valid pengguna, sebuah teknik yang disebut ‘consent phishing’.
Langkah Pencegahan yang Efektif
Ada banyak cara untuk mencegah serangan ini, tetapi dua cara paling sederhana adalah meminta pengguna memeriksa setiap layar izin yang mereka klik — karena upaya phishing tetap membutuhkan persetujuan pengguna — dan membatasi izin yang dapat diminta aplikasi untuk akun pengguna melalui Microsoft Entra di tingkat administrator sistem. Setidaknya langkah kedua disarankan untuk diterapkan, mengingat Check Point mencatat kampanye ini tidak lagi aktif karena teknik yang mendasarinya tidak akan hilang begitu saja.
Baca Juga:
Serangan ini menjadi pengingat bahwa pelatihan keamanan tradisional yang berfokus pada deteksi email palsu tidak lagi cukup. Organisasi perlu memperbarui strategi pertahanan mereka dengan membatasi izin aplikasi di tingkat administratif dan mengedukasi karyawan tentang bahaya layar persetujuan izin. Dengan semakin maraknya layanan phishing yang bisa disewa, kesadaran akan teknik consent phishing menjadi semakin penting bagi keamanan data perusahaan.
[CONTENT_PLACEHOLDER_END]
Komentar
Belum ada komentar.