Inti Ancaman: Token Microsoft 365 Dicuri, MFA Diakali
Ancaman terbaru terhadap keamanan Microsoft 365 adalah kombinasi serangan jaringan dan phishing canggih yang berfokus pada pencurian token autentikasi, sehingga penyerang dapat melewati kata sandi dan multi-factor authentication, mengambil alih akun bisnis, email, file, dan layanan kolaborasi tanpa diketahui pemilik akun, termasuk melalui Wi-Fi publik dan halaman login palsu yang meniru layanan resmi.
Kita perlu jujur: banyak organisasi menganggap MFA sebagai garis finis keamanan. Serangan CaptiveCrunch dan platform phishing-as-a-service Greatness mengubah asumsi itu menjadi ilusi berbahaya. Kedua kampanye tidak lagi berburu kata sandi, melainkan token dan sesi autentikasi yang sudah sah. Begitu token di tangan penyerang, proteksi akun Office 365 yang mengandalkan MFA saja runtuh seperti rumah kartu. Pertanyaannya bukan lagi apakah kata sandimu kuat, tetapi apakah seluruh rantai login – dari jaringan yang digunakan sampai halaman yang kamu masuki – aman. Jika masih santai memakai Wi-Fi hotel untuk mengakses data sensitif, kamu pada dasarnya membuka pintu belakang bagi peretas.
CaptiveCrunch: Wi-Fi Hotel Jadi Pintu Masuk CornFlake dan ChocoShell
Kampanye CaptiveCrunch menunjukkan betapa berbahayanya rasa aman palsu di Wi-Fi hotel dan venue bersama. Storm-2945 membajak captive portal — halaman login Wi-Fi hotel, pusat konferensi, dan ruang komunal — dengan memanipulasi lalu lintas DNS dan HTTP, mengalihkan korban ke infrastruktur mereka sendiri. Target utama adalah pelaku perjalanan bisnis, orang-orang yang membawa akses ke inti lingkungan Microsoft 365 perusahaan di laptop mereka. Ini bukan serangan acak; ini perburuan terarah terhadap akun korporat bernilai tinggi.
Di balik portal palsu tersebut, malware CornFlake disebarkan sebagai Remote Access Trojan untuk Windows yang menyamar sebagai layanan sah bernama svchost32 dengan tampilan “Cloud Sync Service”. CornFlake memberi penyerang kemampuan penuh: keylogging, pencurian kredensial browser, pengambilan screenshot, rekaman audio dan webcam, sampai eksekusi perintah jarak jauh. Lebih parah lagi, infostealer ChocoShell berbasis PowerShell mengumpulkan token akses Microsoft 365, Azure Active Directory, refresh token, dan Web Account Manager dari cache Token Broker .tbres. Microsoft menegaskan bahwa pengumpulan token ini memungkinkan aktor ancaman memutar ulang sesi SSO tanpa cookie browser. Dampaknya jelas: bypass MFA token theft menjadi kenyataan, bukan skenario teoretis.
Greatness PhaaS: Phishing Spoofing RingCentral dan AiTM Bypass MFA
Jika CaptiveCrunch menyerang dari sisi jaringan, Greatness menusuk langsung ke kebiasaan klik kita. Platform phishing-as-a-service ini berevolusi dari sekadar pencuri kredensial menjadi mesin pencuri akun yang bisa menembus autentikasi multi-faktor pada Microsoft 365. Peneliti keamanan mencatat bahwa Greatness sekarang menargetkan bukan hanya Microsoft 365, tetapi juga iCloud, Yahoo, dan Google Workspace. Dengan kata lain, hampir seluruh ekosistem kerja dan produktivitas online sedang diuji ketahanannya.
Serangan Greatness yang menyamar sebagai RingCentral memanfaatkan kredibilitas tinggi layanan komunikasi enterprise. Setelah insiden peretasan terhadap RingCentral oleh kelompok ShinyHunters, daftar email pelanggan yang bocor diduga dipakai untuk kampanye phishing spoofing RingCentral berupa notifikasi palsu voicemail dan review kinerja. Email ini dikirim dari server tak dikenal dan gagal pemeriksaan SPF serta DMARC, tetapi tetap lolos ke inbox. Begitu korban mengklik tautan, mereka dibawa ke halaman login Microsoft 365 palsu yang sangat mirip aslinya. Di sinilah teknik adversary-in-the-middle bekerja: Greatness menangkap token autentikasi yang sudah disetujui MFA, lalu menggunakan token tersebut untuk masuk ke Outlook, Teams, SharePoint, OneDrive, kontak, kalender, dan aplikasi melalui Microsoft Graph tanpa perlu kata sandi atau kode verifikasi. Ini bypass MFA token theft dalam bentuk paling telanjang.
Pelajaran Penting: Token Lebih Berharga dari Kata Sandi
Dari CaptiveCrunch dan Greatness, satu pelajaran menonjol: fokus keamanan kita selama ini terlalu sempit pada kata sandi dan MFA, padahal penyerang sudah beralih ke token dan sesi. CornFlake membuka pintu lewat kontrol penuh atas perangkat korban, sementara ChocoShell langsung mengambil token akses Microsoft 365 dan Azure AD dari cache sistem. Greatness tidak repot menebak password; ia menunggu korban memasukkan kredensial dan menyetujui MFA di halaman phishing, lalu menangkap token autentikasi yang dihasilkan. Begitu token dipegang, sistem percaya bahwa penyerang adalah pengguna sah.
Dalam konteks ini, keamanan Microsoft 365 tidak bisa lagi didefinisikan sebagai “punya MFA berarti aman”. Kampanye CaptiveCrunch beroperasi lewat jaringan yang sering kita anggap fasilitas nyaman — Wi-Fi hotel, konferensi, bandara — yang seharusnya sekarang dipandang sebagai jaringan berbahaya. Di sisi lain, Greatness memanfaatkan kepercayaan kita terhadap brand besar seperti RingCentral untuk memancing klik. Mengabaikan risiko token adalah sama dengan mengabaikan fakta bahwa identitas digitalmu disimpan dalam angka yang bisa dipindahkan dan diputar ulang oleh siapa pun yang berhasil mencurinya.
Langkah Praktis: Proteksi Akun Office 365 dan Hindari Jebakan Wi-Fi Publik
Pertanyaannya sekarang: apa yang harus dilakukan pengguna Office 365 agar tidak menjadi korban berikutnya? Untuk pelaku perjalanan bisnis, saran paling keras adalah menganggap semua Wi-Fi hotel, konferensi, dan bandara sebagai jaringan berbahaya. Gunakan mobile hotspot atau data seluler saat mengakses akun bisnis, terutama layanan email, SharePoint, dan OneDrive. Jangan pernah mengunduh atau menjalankan apa pun yang ditawarkan captive portal sebagai “update”, “certificate”, “troubleshooting tool”, atau “security utility”, dan jangan memasukkan kredensial perusahaan di halaman registrasi venue. Organisasi juga disarankan memblokir device code flow melalui kebijakan Conditional Access di lingkungan Azure AD bila fitur ini tidak dibutuhkan secara eksplisit.
Untuk menghadapi phishing spoofing RingCentral dan serangan Greatness, proteksi keamanan berlapis wajib diterapkan. Pengguna Microsoft 365 perlu selalu memeriksa alamat URL sebelum memasukkan kredensial login, mengaktifkan notifikasi login tidak biasa, serta menggunakan perangkat yang dikelola dan dipantau untuk akses ke akun penting. Pertimbangkan penggunaan FIDO2 security key sebagai pengganti MFA berbasis SMS atau aplikasi, karena metode berbasis token fisik lebih sulit dieksploitasi oleh AiTM. Setiap email mencurigakan — terutama yang mengklaim dari layanan komunikasi atau kolaborasi yang dikenal — sebaiknya dilaporkan ke tim keamanan internal. Perusahaan yang serius menjaga keamanan Microsoft 365 harus menjadikan edukasi anti-phishing dan penguatan proteksi akun Office 365 sebagai prioritas, bukan tambahan opsional.
