Inti Ancaman: Token Microsoft 365 Jadi Target Utama
Ancaman terhadap keamanan Microsoft 365 adalah kombinasi serangan teknis dan rekayasa sosial yang berfokus pada pencurian token autentikasi, bukan hanya kata sandi, sehingga penyerang dapat memutar ulang sesi login, melewati multi-factor authentication, dan mengakses penuh data akun kantor yang terhubung ke ekosistem cloud produktivitas tanpa sepengetahuan pemilik akun. Keamanan Microsoft 365 bukan lagi soal memiliki password kuat dan mengaktifkan MFA; dua kampanye besar, CaptiveCrunch dan platform phishing-as-a-service Greatness, menunjukkan bahwa penjahat siber bergerak selangkah lebih maju. Mereka mengincar token akses yang tersimpan di perangkat dan yang dihasilkan saat pengguna login melalui halaman phishing, memanfaatkan kelemahan perilaku kita: terlalu percaya pada Wi-Fi publik dan email yang tampak resmi. Jika Anda masih menganggap MFA sebagai “benteng terakhir”, sekarang saatnya mengubah cara pandang tersebut.
CaptiveCrunch: Wi-Fi Hotel yang Ternyata Gerbang ke CornFlake dan ChocoShell
Kampanye CaptiveCrunch adalah contoh telanjang bagaimana Wi-Fi publik aman hanyalah ilusi ketika infrastruktur captive portal dibajak untuk menyebarkan malware dan mencuri kredensial korporat. Penyerang memanipulasi lalu lintas DNS dan HTTP pada portal Wi-Fi hotel, pusat konferensi, dan venue bersama, lalu mengarahkan korban ke infrastruktur mereka sendiri. Target utamanya adalah pelaku perjalanan bisnis yang membawa akun kantor di laptop dan ponsel mereka. Malware CornFlake, sebuah RAT untuk Windows, dipasang lewat halaman palsu bertema “Windows Update” atau “pembaruan browser”, kemudian menyamar sebagai layanan svchost32 berbasis “Cloud Sync Service” untuk bertahan diam-diam di sistem. Lebih berbahaya lagi, infostealer ChocoShell berbasis PowerShell dikirim untuk mengumpulkan token akses Microsoft 365, Azure AD, refresh token, dan WAM token dari cache Token Broker, sehingga penyerang dapat memutar ulang sesi SSO tanpa cookie browser.
Greatness PhaaS: Phishing Token Theft yang Mampu Bypass MFA
Jika CaptiveCrunch menargetkan perangkat melalui Wi-Fi publik, Greatness memukul dari sisi lain: email phishing yang tampak resmi. Platform phishing-as-a-service ini berevolusi dari sekadar pencuri kredensial menjadi mesin pencurian token autentikasi yang sudah melewati MFA. Serangan yang diamati meniru notifikasi voicemail dan review kinerja dari sebuah layanan komunikasi, dikirim dari server yang tidak dikenal dan gagal pemeriksaan SPF serta DMARC tetapi tetap lolos ke inbox. Begitu korban mengklik tautan, mereka diarahkan ke halaman login Microsoft 365 palsu yang meniru situs asli. Di sini, teknik adversary-in-the-middle digunakan: penyerang memproksikan proses autentikasi secara real-time dan menangkap token autentikasi yang dihasilkan setelah pengguna memasukkan kredensial dan menyetujui MFA. Menurut ZeroBEC, serangan ini tidak hanya menargetkan keamanan Microsoft 365, tetapi juga iCloud, Yahoo, dan Google Workspace.
Mengapa Perilaku Pengguna Membuat Akun Kantor Begitu Mudah Dijebol
Dua kampanye ini punya kesamaan: mereka memanfaatkan kebiasaan sehari-hari kita. CaptiveCrunch bergantung pada asumsi bahwa Wi-Fi hotel dan konferensi adalah Wi-Fi publik aman, padahal penyedia captive portal bisa dikompromi dan lalu lintas dialihkan ke penyerang. Greatness memanfaatkan kecenderungan pengguna untuk mempercayai email yang tampak “profesional”, bahkan ketika server pengirim gagal verifikasi. Dalam banyak organisasi, perlindungan akun kantor terlalu berfokus pada teknologi dan lupa pada perilaku. Karyawan diajari mengaktifkan MFA, tetapi tidak diajari mencurigai halaman login yang muncul setelah mengklik tautan dalam email atau portal Wi-Fi. Ketika token autentikasi sudah bisa dicuri dan dipakai ulang, satu klik ceroboh di jaringan publik atau email spoofing bisa setara dengan memberikan kunci utama seluruh ekosistem Microsoft 365: Outlook, Teams, SharePoint, OneDrive, hingga aplikasi yang terhubung lewat Microsoft Graph.
Langkah Proteksi Praktis: Dari Wi-Fi Publik hingga Autentikasi Berlapis
Konsekuensinya jelas: pengguna dan organisasi harus memperketat perlindungan akun kantor dengan mengubah cara menggunakan Wi-Fi dan cara login. Saran praktis untuk pelaku perjalanan bisnis tegas: perlakukan semua Wi-Fi hotel, konferensi, dan bandara sebagai jaringan berbahaya; gunakan mobile hotspot atau data seluler bila memungkinkan. Jangan pernah mengunduh atau menjalankan apa pun yang ditawarkan captive portal sebagai “update”, “certificate”, atau “security utility”, dan jangan memasukkan kredensial perusahaan di halaman registrasi venue. Untuk menghadapi phishing token theft seperti Greatness, selalu periksa alamat URL sebelum memasukkan kredensial, aktifkan notifikasi login tidak biasa, gunakan perangkat yang dikelola, dan pertimbangkan memakai FIDO2 security key alih-alih MFA berbasis SMS atau aplikasi. Di tingkat kebijakan, organisasi sebaiknya memblokir device code flow melalui Conditional Access jika tidak dibutuhkan eksplisit, serta mengadakan pelatihan keamanan berkala bagi karyawan.
