Phishing kini berkembang dengan memanfaatkan sistem keamanan yang sebenarnya dirancang untuk melindungi pengguna. Microsoft mengungkap kampanye siber yang menggunakan tema passkey, multi-factor authentication (MFA), dan single sign-on (SSO) untuk menipu pengguna hingga memberikan akses ke akun Microsoft mereka.

Serangan yang terdeteksi sejak Mei 2026 ini menyasar lingkungan cloud perusahaan. Pelaku menyamar sebagai tim IT atau help desk dan menghubungi karyawan melalui telepon atau pesan. Korban kemudian diberi tahu bahwa mereka harus segera memperbarui passkey, MFA, atau SSO agar tidak kehilangan akses.

Beberapa pola serangan tersebut meliputi:

• Korban menerima pesan atau panggilan yang mengatasnamakan tim IT.
• Pelaku menciptakan rasa urgensi agar korban segera bertindak.
• Korban diarahkan ke situs palsu yang menyerupai halaman login Microsoft.
• Pelaku memanfaatkan adversary-in-the-middle (AitM) atau device-code authentication.
• Nama dan struktur organisasi korban dapat digunakan untuk membuat serangan lebih meyakinkan.

Baca Juga: Passkey: Solusi Login Modern yang Lebih Aman Tanpa Password

Akun Bisa Dibajak Tanpa Mencuri Password

Salah satu hal yang membuat modus ini berbahaya adalah pelaku tidak selalu membutuhkan password korban. Dalam beberapa kasus, device-code phishing memungkinkan penyerang memperoleh akses melalui proses autentikasi yang tampak sah.

Setelah berhasil masuk, pelaku juga dapat mendaftarkan metode autentikasi baru yang mereka kendalikan. Dengan demikian, akses dapat dipertahankan meskipun korban tidak sedang berinteraksi dengan pelaku.

Metode yang dapat didaftarkan, antara lain:

• Nomor telepon baru.
• Aplikasi authenticator.
• Token one-time password (OTP).
• Metode autentikasi lain yang berada di bawah kendali pelaku.

Dari Pengambilalihan Akun hingga Pencurian Data

Kompromi akun menjadi lebih berbahaya karena dapat membuka akses ke berbagai layanan Microsoft 365. Microsoft menemukan penggunaan Microsoft Graph API, SharePoint Online, OneDrive, dan dalam beberapa kasus Exchange Online setelah akun berhasil dikuasai.

Aktivitas pelaku dapat mencakup:

• Memetakan pengguna, grup, dan hak akses.
• Mencari akun dengan hak istimewa tinggi.
• Menelusuri email dan metadata lampiran.
• Mengakses serta mengunduh file dari SharePoint dan OneDrive.
• Melakukan eksfiltrasi data selama beberapa jam hingga beberapa hari.

Dalam salah satu kasus, pelaku menggunakan perangkat yang tidak dikelola untuk masuk ke Microsoft Office Home, kemudian memperluas akses ke SharePoint Online dan OneDrive melalui Graph API.

Baca Juga: Aplikasi Belum Gunakan Passkey, Apa Dampaknya?

Microsoft Graph Membuat Deteksi Lebih Sulit

Microsoft menilai penyalahgunaan Graph API menjadi tantangan karena satu aktivitas API belum tentu terlihat mencurigakan. Indikasi serangan baru terlihat ketika berbagai kejadian dianalisis sebagai sebuah rangkaian.

Beberapa indikator yang perlu diperhatikan perusahaan adalah:

• Login dari perangkat yang tidak dikenal atau tidak dikelola.
• Pendaftaran metode MFA baru secara tiba-tiba.
• Aktivitas Graph API dengan volume tidak biasa.
• Pengunduhan file dalam jumlah besar.
• Perubahan alamat IP selama rangkaian serangan.
• Pola aktivitas akun yang berbeda dari kebiasaan pengguna.

Cara Mencegah Phishing Passkey pada Akun Microsoft

Pengguna perlu lebih berhati-hati terhadap pesan yang meminta perubahan passkey, MFA, atau SSO secara mendadak. Istilah keamanan yang digunakan dalam pesan tidak otomatis menunjukkan bahwa permintaan tersebut berasal dari pihak yang sah.

Perusahaan juga perlu memperkuat pengamanan identitas dan memberikan edukasi agar karyawan dapat mengenali rekayasa sosial. Setiap permintaan terkait autentikasi sebaiknya diverifikasi melalui kanal resmi sebelum diikuti.

Beberapa langkah pencegahan yang dapat dilakukan, antara lain:

• Verifikasi permintaan perubahan akun melalui kanal IT resmi.
• Jangan membuka tautan autentikasi dari pesan atau nomor yang tidak dikenal.
• Periksa alamat domain sebelum memasukkan informasi akun.
• Jangan memberikan kode autentikasi kepada pihak lain.
• Pantau pendaftaran metode MFA atau autentikasi baru.
• Periksa aktivitas login dari perangkat yang tidak dikenal.
• Terapkan prinsip least privilege untuk membatasi dampak kompromi akun.
• Segera cabut sesi dan metode autentikasi yang tidak sah ketika terjadi indikasi pembajakan.