JAKARTA — phishing Microsoft terbaru membuat banyak kebiasaan keamanan jadi tak relevan. Dalam kampanye yang berlangsung dari akhir Juni sampai Juli 2026, pelaku justru mengarahkan korban ke halaman masuk Microsoft yang asli, lalu memancing mereka memberi izin ke aplikasi yang dikendalikan penyerang.
Dampaknya serius. Begitu izin diberikan, pelaku bisa masuk ke email, file, Teams, SharePoint, OneDrive, dan kalender tanpa perlu mencuri kata sandi atau menembus MFA. Riset tim email Check Point, yang mengungkap kampanye ini dan dikutip TechRadar Pro, mencatat lebih dari 200 email phishing yang menyasar pengguna di sekitar 120 organisasi di seluruh dunia.
phishing Microsoft lewat notifikasi Teams palsu
Umpan yang dipakai terlihat seperti notifikasi Microsoft Teams. Nama pengirim terbaca “There’s New Activity On Team”, sementara subjek pesan mengklaim HR mengirim tiga pesan lewat chat Teams. Isi email ikut menyebut pembaruan payroll dan benefit, lalu menampilkan penghitung empat tugas karyawan yang belum selesai.
Sepintas, pesan itu tampak meyakinkan. Tapi ada jejak yang bisa dibaca tim keamanan. Semua tautan, termasuk dua tombol ajakan bertindak, mengarah lewat jalur pengalihan yang sama. Alamat pengirim yang terlihat juga milik organisasi penerima sendiri. Jadi, email itu seolah datang dari internal.
Begitu tautan dibuka, korban mendarat di URL otorisasi OAuth yang asli di login.microsoftonline.com, bukan domain palsu. Saat proses masuk berjalan, Microsoft menampilkan prompt izin yang meminta pengguna menyetujui akses atau menyetujuinya atas nama organisasi mereka.
Di titik itulah jebakan bekerja. Jika pengguna menekan setuju, Microsoft mengarahkan browser ke alamat redirect yang ditentukan dalam permintaan awal. Dalam kampanye ini, alamat itu adalah endpoint AWS API Gateway di bawah kendali penyerang. Kode otorisasi dikirim ke sana, lalu penyerang menukarnya menjadi akses.
Kenapa MFA tidak menolong
Model serangan ini berbeda dari phishing klasik. Tidak ada halaman login palsu untuk dibongkar. Tidak ada kata sandi yang dicuri. Tidak ada domain typo yang bisa dicurigai dari tampilan luar. Domain dan sertifikatnya milik Microsoft, dan halaman masuk yang terlihat memang halaman yang biasa dijumpai pengguna.
Itu sebabnya MFA pun tidak banyak membantu. Perlindungan faktor ganda menjaga urutan masuk, bukan akses setelah sesi sah diberikan. Dalam serangan seperti ini, pelaku tidak memerlukan password atau kode kedua. Mereka cukup membawa pulang token yang muncul dari persetujuan valid korban. Teknik ini dikenal sebagai consent phishing.
Check Point membandingkan pola ini dengan layanan phishing-as-a-service Kali365, meski jalur yang dipakai berbeda. Kalau Kali365 mengejar cookie sesi atau token OAuth, kampanye ini memilih pendekatan yang lebih permanen: izin aplikasi yang dipakai secara ilegal.
Langkah yang paling masuk akal untuk dibatasi
Bagi organisasi, pesan terpentingnya jelas. Jangan menggantungkan pertahanan pada kemampuan karyawan mengenali situs palsu, karena pada kasus ini yang dibuka memang situs asli Microsoft. Yang perlu diawasi justru layar izin aplikasi. Satu klik di momen itu bisa membuka akses ke banyak layanan kerja sekaligus.
Check Point menyebut dua langkah paling sederhana. Pertama, meminta pengguna membaca setiap layar izin dan persetujuan yang mereka klik. Kedua, membatasi izin aplikasi yang bisa diminta akun pengguna melalui Microsoft Entra di level administrator sistem. Langkah kedua dipandang paling aman untuk setidaknya dipasang sejak awal.
Perusahaan juga perlu melihat ulang pelatihan keamanan internal. Selama ini banyak panduan menekankan URL, gembok, dan ejaan domain. Masalahnya, serangan ini tidak meniru pintu depan Microsoft. Ia memakai pintu depan yang asli, lalu masuk lewat persetujuan yang terasa biasa saja.
Check Point mengatakan kampanye itu sudah tidak aktif. Namun teknik dasarnya tidak hilang. Justru sebaliknya, metode ini disebut sudah dikomoditisasi pada 2026 menjadi layanan sewaan, sehingga ancamannya bisa muncul lagi dengan wajah yang berbeda. “It would be prudent to do the latter at a minimum,” tulis Check Point soal pembatasan consent di Microsoft Entra.
📝 Tinggalkan Komentar
Komentar sebagai . Ditinjau admin sebelum tampil.