Selama ini banyak perusahaan menganggap bahwa serangan siber hanya bisa terjadi jika terdapat bug atau celah keamanan pada sistem yang digunakan. Padahal, pola serangan kini telah berubah. Peretas tak selalu mencari kerentanan teknis, melainkan memanfaatkan akses yang memang telah diberikan secara sah oleh perusahaan.

Temuan terbaru Microsoft menunjukkan bahwa kelompok peretas yang memiliki pola serangan serupa dengan ShinyHunters berhasil mencuri data dari berbagai perusahaan tanpa mengeksploitasi satu pun celah keamanan pada platform yang digunakan. Mereka memanfaatkan izin akses aplikasi pihak ketiga, social engineering, hingga kesalahan konfigurasi sistem.

Artinya, meskipun aplikasi telah memiliki sistem keamanan yang baik, data perusahaan tetap berisiko bocor jika pengelolaan identitas digital dan hak akses tidak dilakukan dengan benar.

Mengapa Hacker Tak Lagi Mengandalkan Bug?

Seiring meningkatnya standar keamanan aplikasi, mengeksploitasi bug menjadi semakin sulit. Sebagai gantinya, pelaku siber mulai menyasar identitas digital dan hubungan kepercayaan yang telah dibangun perusahaan dengan berbagai aplikasi.

Salah satu target utama adalah OAuth, yaitu mekanisme yang memungkinkan aplikasi pihak ketiga mengakses akun pengguna setelah memperoleh izin. Karena akses tersebut diberikan secara resmi oleh pengguna, aktivitas hacker sering kali tampak seperti penggunaan normal sehingga sulit dideteksi.

Karakteristik serangan ini, antara lain:

• Tidak memanfaatkan bug atau kerentanan aplikasi.
• Menggunakan aplikasi yang telah memperoleh izin akses.
• Memanfaatkan integrasi resmi yang dipercaya perusahaan.
• Sulit terdeteksi karena aktivitas login terlihat sah.

Dengan kata lain, hacker tidak meretas sistem, tetapi memanfaatkan kepercayaan yang sudah ada.

Baca Juga: Keamanan Pengguna iPhone Makin Terjamin di iOS 26.6

Tiga Modus Hacker Mencuri Data Perusahaan

Microsoft mengidentifikasi tiga metode utama yang digunakan pelaku untuk memperoleh akses ke data perusahaan, yakni sebagai berikut:

1. Mengelabui Karyawan agar Memberikan Izin Akses

Modus pertama memanfaatkan voice phishing (vishing) atau penipuan melalui panggilan telepon. Pelaku menyamar sebagai tim IT perusahaan, lalu mengarahkan korban untuk memberikan persetujuan terhadap sebuah aplikasi yang terlihat seperti aplikasi resmi.

Setelah izin diberikan, aplikasi tersebut dapat mengakses berbagai data perusahaan sesuai hak pengguna. Melalui cara ini, hacker dapat:

• Mengakses data pelanggan dan dokumen perusahaan.
• Menjalankan API atas nama pengguna.
• Mencari kredensial menuju sistem lain.
• Mempertahankan akses dalam jangka waktu lama.

Serangan ini tidak membutuhkan malware maupun pencurian kata sandi. Cukup satu klik persetujuan dari korban.

2. Membajak Aplikasi Pihak Ketiga yang Sudah Dipercaya

Tidak semua serangan menargetkan karyawan. Dalam beberapa kasus, hacker justru menyerang vendor atau aplikasi pihak ketiga yang telah terhubung dengan sistem perusahaan.

Setelah berhasil memperoleh OAuth token atau refresh token, pelaku dapat mengakses data pelanggan dari banyak organisasi sekaligus. Karena aktivitas berasal dari aplikasi resmi yang telah dipercaya, lalu lintas data tampak normal sehingga tidak langsung memicu sistem keamanan.

Kasus seperti ini menunjukkan bahwa keamanan perusahaan juga bergantung pada keamanan mitra dan vendor yang digunakan.

3. Memanfaatkan Kesalahan Konfigurasi Sistem

Selain menyasar pengguna dan vendor, hacker juga mencari konfigurasi sistem yang kurang tepat.

Microsoft menemukan adanya organisasi yang masih memberikan hak akses terlalu luas kepada akun tamu (guest user). Akibatnya, pelaku dapat mengakses data tertentu tanpa harus login.

Beberapa aktivitas yang dilakukan meliputi:

• Mengakses data menggunakan akun tamu.
• Mengambil data dalam jumlah besar.
• Memanfaatkan izin akses yang seharusnya sudah dibatasi.

Kasus ini membuktikan bahwa kesalahan konfigurasi sekecil apa pun dapat menjadi pintu masuk pencurian data.

Baca Juga: AI Kini Jadi Senjata Hacker, Bagaimana Cara Menghadapinya?

Mengapa Serangan Ini Sulit Dideteksi?

Sebagian besar solusi keamanan masih berfokus pada aktivitas login pengguna, misalnya:

• Multi-Factor Authentication (MFA).
• Pemantauan login mencurigakan.
• Conditional Access.
• Verifikasi identitas pengguna.

Namun, ketika akses berasal dari aplikasi resmi yang telah memperoleh izin, aktivitas tersebut terlihat seperti penggunaan biasa.

Padahal, yang seharusnya dipantau adalah:

• Aplikasi apa yang mengakses data.
• Hak akses yang dimiliki aplikasi.
• Jumlah permintaan data melalui API.
• Perubahan pola aktivitas aplikasi.

Tanpa visibilitas terhadap aktivitas tersebut, pencurian data dapat berlangsung dalam waktu lama tanpa disadari.

Apa yang Bisa Dilakukan Perusahaan?

Menghadapi pola serangan baru ini, perusahaan tidak cukup hanya memperbarui sistem atau menutup bug. Pengelolaan identitas digital dan hak akses juga harus menjadi prioritas.

Beberapa langkah yang dapat dilakukan, antara lain:

• Mendata seluruh aplikasi yang terhubung ke sistem perusahaan.
• Menghapus aplikasi yang sudah tidak digunakan.
• Menerapkan prinsip least privilege, yaitu memberikan akses seminimal mungkin sesuai kebutuhan.
• Memantau penggunaan API dan aktivitas aplikasi secara rutin.
• Segera mencabut token akses yang mencurigakan.
• Membatasi hak akses akun tamu.
• Meningkatkan edukasi karyawan mengenai phishing dan social engineering.

Langkah-langkah tersebut dapat membantu mempersempit peluang hacker memanfaatkan akses yang telah dipercaya perusahaan.