Pencurian Akses Cloud Berkedok Passkey

Pencurian Akses Cloud Berkedok Passkey – Microsoft membeberkan detail dua kampanye serangan siber masif yang mengeksploitasi infrastruktur pengiriman email pihak ketiga untuk melancarkan penipuan finansial, sekaligus melancarkan rekayasa sosial bertema passkey guna membobol lingkungan komputasi awan (cloud).

Kampanye ini menunjukkan bagaimana aktor ancaman memadukan otomatisasi berbasis kecerdasan buatan (AI) dengan manipulasi psikologis untuk menembus pertahanan organisasi skalaenterprise.

Penipuan Faktur Palsu dan Penyamaran Eksekutif

Kampanye pertama yang terdeteksi melibatkan pengiriman lebih dari satu juta email penipuan antara tanggal 3 hingga 5 Agustus.

Pelaku menyamar sebagai Pejabat Eksekutif Tertinggi (CEO) dari berbagai perusahaan target untuk mengecoh departemen utang usaha (accounts payable) agar menyetujui transfer dana (ACH transfers) untuk pembayaran langganan tahunan layanan ServiceNow.

Pemanfaatan AI Generatif: Peneliti keamanan mendapati bahwa para operator di balik serangan ini menggunakan AI generatif untuk menyusun templat email dan merancang draf pesan yang sangat meyakinkan sesuai profil penerima.
Narasi Berlapis: Tidak sekadar mengandalkan satu umpan, pelaku merangkai penyamaran eksekutif, pencitraan merek vendor, faktur palsu, hingga transkrip percakapan buatan untuk menekan keraguan target.
Domain Tiruan: Beberapa domain pendaftaran palsu yang digunakan untuk melancarkan aksi ini mencakup service-nowinc[.]com dan domainlify[.]net.

Pembajakan Lingkungan Cloud Berkedok Passkey

Kampanye kedua berfokus pada intrusi berbasis cloud yang menargetkan berbagai akun korporat sejak Mei, dimana serangan ini lazimnya diawali dengan rekayasa sosial berorientasi identitas.

Dengan pelaku menghubungi nomor pribadi korban melalui telepon atau pesan singkat dengan mengaku sebagai tim help desk IT internal perusahaan.

Korban digiring untuk segera memperbarui konfigurasi passkey, autentikasi multifaktor (MFA), atau single sign-on (SSO) guna menghindari gangguan akses.

Tautan yang diberikan mengarah ke situs web tiruan yang menyerupai halaman masuk resmi Microsoft melalui teknik adversary-in-the-middle (AitM) atau alur autentikasi kode perangkat (device code).

1. Kelompok di Balik Serangan.

Modus operandi ini menunjukkan irisan kuat dengan kelompok kejahatan siber yang dilacak oleh komunitas keamanan dengan sebutan Cordial Spider, O-UNC-045, PREY-0058, atau UNC6671 (yang dikaitkan dengan aktivitas Storm-3032 dan Storm-3121).

2. Penyalahgunaan Microsoft Graph.

Setelah berhasil masuk, penyerang segera mendaftarkan metode MFA kendali mereka sendiri (seperti nomor telepon atau aplikasi autentikator baru) untuk mengunci akses permanen.

Mereka kemudian memanfaatkan API Microsoft Graph untuk melakukan pengintaian internal secara ekstensif, mengunduh data dalam jumlah besar dari SharePoint dan OneDrive, serta memindai isi kotak surel.

Strategi Mitigasi dan Deteksi Ancaman

Kompleksitas serangan berbasis identitas dan manipulasi API menuntut pendekatan pengamanan yang lebih adaptif dari para pengelola sistem dan infrastruktur jaringan:

1. Evaluasi Perilaku API secara Holistik.

Aktivitas Microsoft Graph yang mencurigakan jarang terlihat berbahaya jika dinilai dari satu panggilan API tunggal. Organisasi harus memantau progres perilaku lintas kejadian (cross-event correlation) alih-alih hanya mengandalkan deteksi titik tunggal.

2. Perketat Kebijakan Autentikasi Modern.

Waspadai pendaftaran perangkat atau metode MFA baru yang dilakukan di luar prosedur standar perusahaan, terutama yang melibatkan nomor telepon eksternal atau aplikasi pihak ketiga yang tidak dikenal.

3. Edukasi Karyawan Terhadap Rekayasa Sosial.

Latih staf perusahaan untuk selalu memverifikasi ulang setiap permintaan mendesak terkait perubahan passkey, kredensial akses, ataupun instruksi transfer keuangan di luar jalur komunikasi resmi.

Baca artikel lainnya: