Phishing Microsoft: Login Asli Dipakai untuk Jebak Korban

JAKARTA — phishing Microsoft terbaru membuat banyak kebiasaan keamanan jadi tak relevan. Dalam kampanye yang berlangsung dari akhir Juni sampai Juli 2026, pelaku justru mengarahkan korban ke halaman masuk Microsoft yang asli, lalu memancing mereka memberi izin ke aplikasi yang dikendalikan penyerang.

Dampaknya serius. Begitu izin diberikan, pelaku bisa masuk ke email, file, Teams, SharePoint, OneDrive, dan kalender tanpa perlu mencuri kata sandi atau menembus MFA. Riset tim email Check Point, yang mengungkap kampanye ini dan dikutip TechRadar Pro, mencatat lebih dari 200 email phishing yang menyasar pengguna di sekitar 120 organisasi di seluruh dunia.

phishing Microsoft lewat notifikasi Teams palsu

Umpan yang dipakai terlihat seperti notifikasi Microsoft Teams. Nama pengirim terbaca “There’s New Activity On Team”, sementara subjek pesan mengklaim HR mengirim tiga pesan lewat chat Teams. Isi email ikut menyebut pembaruan payroll dan benefit, lalu menampilkan penghitung empat tugas karyawan yang belum selesai.

Sepintas, pesan itu tampak meyakinkan. Tapi ada jejak yang bisa dibaca tim keamanan. Semua tautan, termasuk dua tombol ajakan bertindak, mengarah lewat jalur pengalihan yang sama. Alamat pengirim yang terlihat juga milik organisasi penerima sendiri. Jadi, email itu seolah datang dari internal.

Begitu tautan dibuka, korban mendarat di URL otorisasi OAuth yang asli di login.microsoftonline.com, bukan domain palsu. Saat proses masuk berjalan, Microsoft menampilkan prompt izin yang meminta pengguna menyetujui akses atau menyetujuinya atas nama organisasi mereka.

Di titik itulah jebakan bekerja. Jika pengguna menekan setuju, Microsoft mengarahkan browser ke alamat redirect yang ditentukan dalam permintaan awal. Dalam kampanye ini, alamat itu adalah endpoint AWS API Gateway di bawah kendali penyerang. Kode otorisasi dikirim ke sana, lalu penyerang menukarnya menjadi akses.

Kenapa MFA tidak menolong

Model serangan ini berbeda dari phishing klasik. Tidak ada halaman login palsu untuk dibongkar. Tidak ada kata sandi yang dicuri. Tidak ada domain typo yang bisa dicurigai dari tampilan luar. Domain dan sertifikatnya milik Microsoft, dan halaman masuk yang terlihat memang halaman yang biasa dijumpai pengguna.