Service Desk Celah Serangan Account Takeover

Service Desk Celah Serangan Account Takeover – Selama bertahun-tahun, organisasi terus memperkuat keamanan akun untuk mencegah account takeover, yaitu kondisi ketika penyerang berhasil mengambil alih akun pengguna yang sah. Penggunaan Multi-Factor Authentication (MFA) menjadi salah satu lapisan perlindungan penting untuk mengatasi kelemahan autentikasi yang hanya mengandalkan kata sandi.

Selain MFA, organisasi juga mulai menerapkan conditional access dan device trust untuk melakukan pemeriksaan tambahan sebelum pengguna diperbolehkan mengakses sistem atau data sensitif. Mekanisme tersebut dapat mempertimbangkan berbagai faktor, seperti perangkat yang digunakan, lokasi, serta konteks ketika proses login berlangsung.

Namun, semakin kuat mekanisme autentikasi, semakin besar pula insentif bagi penyerang untuk mencari jalur alternatif. Alih-alih menyerang MFA secara langsung, mereka dapat menargetkan proses yang berada di sekitar mekanisme autentikasi, khususnya proses pemulihan akun atau account recovery.

Bayangkan jika penyerang tidak perlu mencuri faktor autentikasi kedua milik korban, tetapi cukup meyakinkan seseorang yang memiliki kewenangan untuk menggantinya. Dalam situasi tersebut, service desk yang selama ini dipandang sebagai fungsi pendukung justru dapat menjadi bagian penting dari batas keamanan identitas organisasi.

MFA Membuat Pengambilalihan Akun Lebih Sulit

MFA memang tidak membuat akun sepenuhnya kebal terhadap serangan, tetapi secara signifikan meningkatkan tingkat kesulitan bagi penyerang.

Ketika kredensial pengguna berhasil dicuri, penyerang masih harus melewati faktor autentikasi kedua. Perlindungan ini semakin kuat ketika organisasi mulai meninggalkan metode yang relatif lebih lemah, seperti SMS, dan beralih ke authenticator app, FIDO security key, serta passkey.

Organisasi juga semakin mengadopsi autentikasi yang tahan terhadap phishing (phishing-resistant authentication). Ditambah dengan conditional access dan device trust, proses autentikasi dapat melakukan pemeriksaan tambahan berdasarkan perangkat, lokasi, dan konteks login.

Karena itu, meningkatnya serangan terhadap proses pemulihan akun bukan berarti MFA gagal. Justru sebaliknya, MFA yang efektif dapat mendorong penyerang mencari cara untuk melewatinya, bukan menyerangnya secara langsung.

Penyerang dapat mencoba mencuri session token, memanfaatkan sesi yang sudah terautentikasi, atau mengeksploitasi proses autentikasi yang berada di luar alur login normal. Salah satu target yang menarik adalah proses pemulihan akun.

Account Recovery Dapat Menjadi Jalur Serangan

Dalam aktivitas sehari-hari, pengguna dapat kehilangan akses ke akun karena berbagai alasan. Misalnya, ponsel diganti atau hilang, security key rusak, nomor telepon berubah, perangkat mengalami kerusakan, atau pengguna lupa kredensial.

Ketika mekanisme pemulihan mandiri tidak dapat digunakan, service desk biasanya menjadi pintu masuk untuk mendapatkan kembali akses ke akun.

Bergantung pada kewenangan yang diberikan, petugas service desk mungkin dapat:

Mereset kata sandi.
Mereset atau mengganti MFA.
Menghapus metode autentikasi yang sudah terdaftar.
Memberikan kredensial sementara.
Menyetujui pendaftaran authenticator baru.
Memulihkan akses pengguna ke sistem.

Semua tindakan tersebut memang dibutuhkan untuk mendukung pengguna. Namun, dari perspektif keamanan, tindakan tersebut juga merupakan operasi sensitif dalam pengelolaan identitas.

Masalah muncul ketika proses verifikasi sebelum melakukan reset jauh lebih lemah dibandingkan autentikasi yang seharusnya dilindungi.

Sebagai contoh, pengguna harus melewati beberapa faktor autentikasi untuk masuk ke akun. Namun, ketika kehilangan akses, cukup menjawab beberapa pertanyaan kepada petugas service desk untuk mengganti faktor-faktor tersebut.

Dalam kondisi seperti ini, jalur pemulihan justru dapat menjadi jalur yang lebih mudah untuk mengambil alih identitas pengguna.

Social Engineering Menargetkan Petugas Service Desk

Risiko tersebut semakin besar karena penyerang tidak selalu membutuhkan teknik teknis yang rumit. Rekayasa sosial (social engineering) dapat digunakan untuk memanipulasi petugas agar percaya bahwa penyerang adalah pengguna yang sah.

Kelompok peretas Scattered Spider menjadi salah satu contoh bagaimana teknik ini dapat digunakan. Dalam sebuah advisory bersama yang diterbitkan CISA, FBI, dan mitra internasional, kelompok tersebut disebut menggunakan penyamaran sebagai karyawan untuk meyakinkan staf IT dan help desk agar melakukan reset kata sandi atau memindahkan MFA ke perangkat yang dikendalikan penyerang.

Menariknya, penyerang tidak selalu langsung melakukan pengambilalihan. Mereka dapat terlebih dahulu melakukan beberapa percobaan atau panggilan untuk memahami bagaimana prosedur reset kata sandi organisasi bekerja. Informasi tersebut kemudian dapat digunakan untuk menyusun pendekatan yang lebih meyakinkan.

Kasus Marks & Spencer (M&S) pada 2025 juga menunjukkan bagaimana serangan berbasis penyamaran dapat berkembang menjadi insiden besar. Scattered Spider dilaporkan menyamar sebagai karyawan untuk memengaruhi kontraktor pihak ketiga agar melakukan reset kata sandi. Setelah memperoleh akses, penyerang kemudian berhasil mengompromikan akun lain dan pada akhirnya menyebarkan ransomware di jaringan perusahaan.

Kasus tersebut menunjukkan bahwa kelemahan pada proses verifikasi identitas dapat menjadi titik awal bagi serangkaian kompromi yang jauh lebih besar.

Verifikasi Identitas Harus Menjadi Bagian dari Service Desk

Untuk menutup celah tersebut, organisasi perlu mengubah cara memandang proses verifikasi pada service desk.

Verifikasi identitas untuk tindakan berisiko tinggi sebaiknya memiliki tingkat keamanan yang sebanding dengan sistem yang hendak dipulihkan. Semakin sensitif tindakan yang dilakukan, misalnya reset password, penggantian MFA, atau pembukaan kembali akun semakin kuat pula proses verifikasinya.

Organisasi juga perlu memastikan bahwa petugas service desk memiliki prosedur yang jelas untuk menghadapi permintaan mencurigakan. Verifikasi tidak seharusnya bergantung sepenuhnya pada intuisi atau kemampuan petugas membaca perilaku penelepon.

Service Desk Adalah Bagian dari Perimeter Keamanan Identitas

Keamanan identitas tidak berhenti ketika pengguna berhasil login. Proses reset, recovery, unlock, dan penggantian faktor autentikasi juga merupakan bagian dari rantai keamanan.

MFA, conditional access, device trust, dan teknologi autentikasi lainnya dapat memberikan perlindungan yang kuat. Namun, apabila proses pemulihan akun dapat dilewati melalui rekayasa sosial, penyerang masih memiliki jalur alternatif untuk mencapai identitas yang dilindungi.

Karena itu, organisasi perlu memperlakukan service desk sebagai bagian dari security boundary, bukan sekadar fungsi dukungan teknis. Dengan memperkuat verifikasi identitas, menerapkan prosedur recovery yang ketat, memberikan pelatihan kepada petugas, dan membatasi tindakan sensitif berdasarkan kewenangan, risiko account takeover melalui social engineering dapat dikurangi secara signifikan.

MFA seharusnya tidak menjadi lapisan keamanan terakhir. Proses untuk mengganti atau memulihkan MFA juga harus mendapatkan perlindungan yang sama kuatnya.

Baca artikel lainnya: