Mengelabui Keamanan Email Lewat Redirect Google

Mengelabui Keamanan Email Lewat Redirect Google – Dunia keamanan siber kembali dikejutkan oleh inovasi metode serangan yang semakin licik. Para pelaku ancaman siber kini dilaporkan aktif merangkai berbagai layanan resmi milik Google secara beruntun (chaining) guna mengelabui gerbang keamanan email (security gateways).

Berdasarkan laporan investigasi yang dipublikasikan oleh para peneliti keamanan, kampanye phishing berbahaya ini memanfaatkan infrastruktur tepercaya untuk menyelundupkan tautan jahat agar lolos dari penyaringan sistem keamanan tradisional tanpa terdeteksi.

Meskipun mekanisme dasar serangan ini tampak klasik di mana penyerang mengirimkan email penipuan, korban mengeklik tautan, dan diarahkan ke halaman pendarahan palsu, keunikan utama kampanye ini terletak pada struktur URL di dalam email awal.

Alih-alih menggunakan domain mencurigakan, tautan tersebut sengaja dirancang menggunakan rantai pengalihan (redirect chain) lintas domain Google. Tujuannya agar sistem pemeriksa tautan (link inspectors) dan filter email menganggap lalu lintas tersebut sepenuhnya bersih karena bersumber dari domain yang sah.

Anatomi Rantai Pengalihan Tiga Loncatan

Praktik penyalahgunaan infrastruktur sah untuk pengalihan sebenarnya bukan hal baru dalam dunia kejahatan siber. Namun, kampanye ini menonjol karena secara sengaja mengeksploitasi berbagai layanan Google secara bersamaan dalam satu jalur pengalihan.

Analis ancaman mendokumentasikan adanya rantai pengalihan tiga loncatan (three-hop redirect chain) yang memanfaatkan kombinasi layanan populer seperti:

Google Meet.
Infrastruktur iklan DoubleClick.
Google Custom Search.
Google Image Search.
Google Tag Manager.
Google Analytics.

Strategi ini dirancang dengan sangat cerdik. Pada saat sistem pertahanan atau tim keamanan memeriksa domain pengirim, tautan tersemat, atau titik-titik perantara (intermediate hops), semuanya tampak bersih tanpa cela.

Halaman pemanen kredensial (credential harvester) di ujung rantai bahkan diprogram untuk menunggu hingga proses pemeriksaan keamanan tersebut selesai.

Sebagian besar kampanye phishing biasanya mengandalkan keberuntungan agar gerbang keamanan melewatkan tautan berbahaya. Sebaliknya, kampanye ini justru menyuapi sistem pertahanan dengan apa yang ingin mereka lihat: domain tepercaya Google di setiap titik loncatan.

Personalisasi Halaman Pendarahan dan Pengiriman Data Real-Time

Ketika korban akhirnya teperdaya dan mengeklik tautan phishing tersebut, skrip JavaScript pada halaman pendarahan akan secara dinamis membangun halaman login palsu yang dipersonalisasi khusus menggunakan alamat email korban.

Halaman ini bahkan menampilkan tangkapan layar langsung (live screenshot) dari situs web perusahaan korban yang dipasang sebagai latar belakang di balik formulir login guna mengecoh keyakinan target. Selain itu, antarmuka pengguna (UI) dirancang multibahasa untuk menyesuaikan sesi korban dengan lokasi geografis mereka secara akurat.

Dari sisi umpan (lure), kampanye ini tidak terpaku pada satu tema tunggal, melainkan menggunakan beragam konteks bisnis yang meyakinkan, seperti:

Tinjauan dokumen penting (document review)
Notifikasi kedaluwarsa kredensial (credential expiry)
Pengiriman paket logistik (package delivery)
Pemberitahuan pembayaran (payment notification)
Manfaat atau layanan pemerintah (government benefit)
Pesan suara digital (voincident/voicemail lures)

Begitu korban memasukkan kredensial mereka, data tersebut langsung dikirimkan ke saluran Telegram milik operator dalam hitungan detik.

Data yang disedot tidak hanya sebatas kata sandi, tetapi juga mencakup alamat IP korban, lokasi geografis, string peramban (browser string), serta catatan MX terverifikasi milik organisasi korban.

Analisis lebih lanjut menunjukkan bahwa kampanye ini bersifat sangat terarah (targeted) karena alamat email korban disandikan dalam format Base64 dan disembunyikan di dalam hash fragment URL (#).

Bagian ini secara otomatis dipangkas oleh peramban sebelum mengirimkan permintaan apa pun, sehingga tidak terlihat dalam log sisi server maupun sebagian besar pemindai URL standar.

Tren Penyalahgunaan Layanan Cloud dan Infrastruktur Tepercaya

Fenomena penyalahgunaan layanan tepercaya (living off “trusted” land) untuk melancarkan serangan siber terus mengalami eskalasi dari tahun ke tahun.

Berdasarkan laporan tren keamanan global, para peretas semakin sering meninggalkan domain phishing tradisional karena mudah diblokir oleh sistem reputasi domain.

Dengan memanfaatkan platform SaaS, layanan kolaborasi, dan utilitas pengembang (seperti penyimpanan cloud publik atau layanan analitik), penyerang menciptakan “kabut pertahanan” yang menyulitkan analis keamanan untuk membedakan antara aktivitas bisnis yang sah dan lalu lintas eksfiltrasi data.

Hal ini menegaskan bahwa perimeter keamanan modern tidak lagi cukup hanya mengandalkan pemblokiran berbasis domain, melainkan

membutuhkan analisis perilaku mendalam (behavioral analysis) pada tingkat konten dan konteks sesi.

Langkah Mitigasi dan Rekomendasi

Untuk melindungi organisasi dari ancaman kampanye phishing berbasis rantai pengalihan Google ini, para peneliti keamanan menyarankan langkah-langkah mitigasi komprehensif berikut:

Blokir Indikator Kompromi (IOC): Segera terapkan pemblokiran terhadap IOC yang terkait dengan kampanye ini pada tingkat DNS filter, proxy, dan platform SIEM.
Pindai Lalu Lintas Telegram API: Lakukan pemantauan jaringan secara ketat terhadap lalu lintas mencurigakan yang mengarah ke bot API Telegram guna mendeteksi potensi eksfiltrasi data langsung.
Audit dan Paksa Reset Kredensial: Lakukan peninjauan akses serta paksa pengaturan ulang kata sandi bagi pengguna yang terindikasi menerima email umpan dari kampanye ini.
Deteksi Perangkat Lunak Akses Jarak Jauh Ilegal: Lakukan perburuan ancaman (threat hunting) untuk mendeteksi instalasi atau aktivitas aplikasi pemeliharaan jarak jauh yang tidak sah, seperti ScreenConnect.
Waspadai Anomali URL Fragment: Edukasi tim operasional dan pengguna bahwa keberadaan alamat email di dalam URL setelah tanda pagar (#) merupakan indikasi kuat bahwa tautan tersebut telah dipersonalisasi dan ditargetkan secara khusus (pre-targeted).

Baca artikel lainnya: