Waspada: bagaimana peretas melewati verifikasi untuk mencuri kredensial — pola umum dan langkah perlindungan.

Menurut laporan neowin, peneliti keamanan Microsoft Defender недавно menemukan kampanye serangan yang menargetkan perusahaan energi. Penyerang menggunakan teknik Adversary-in-the-Middle (AiTM) untuk mencuri kredensial login karyawan dan melewati multi-factor authentication (MFA).

Serangan biasanya dimulai dari “akun nol” (seed account). Pelaku memakai rekayasa sosial untuk mengambil alih satu akun karyawan, lalu memanfaatkannya untuk mengakses mailbox internal lainnya, mengumpulkan kredensial, dan melakukan pergerakan lateral—hingga akhirnya bisa mengakali MFA.

Berikutnya, akun yang sudah dikuasai dipakai untuk mengirim email phishing secara massal yang menyamar sebagai dokumen SharePoint yang dibagikan. Korban yang mengeklik tautan akan dialihkan ke situs palsu yang meminta username dan password. Yang lebih berbahaya, penyerang juga mencuri session cookie—token yang mempertahankan sesi login—sehingga mereka dapat masuk dengan “membawa sesi” meskipun MFA aktif.

Setelah berhasil masuk ke beberapa akun sah, penyerang membuat aturan email untuk menghapus pesan masuk secara otomatis dan menandai kotak masuk sebagai “sudah dibaca” agar korban tidak curiga. Mereka juga menyebarkan serangan ke kontak-kontak dalam buku alamat korban, hingga ratusan email phishing (dilaporkan sampai 600) untuk mendorong penyebaran berantai.

Untuk menutupi jejak, penyerang terus memantau inbox yang sudah dibobol dan menghapus notifikasi bounce serta balasan otomatis “sedang di luar kantor”. Saat penerima mulai curiga dan bertanya, penyerang bahkan dapat menyamar sebagai korban untuk membalas bahwa semuanya normal, lalu menghapus percakapan tersebut.

Microsoft menyarankan organisasi yang terdampak untuk mencabut semua session cookie, menghapus aturan mailbox buatan penyerang, serta memeriksa perubahan MFA yang tidak sah. Microsoft menegaskan bahwa sekadar mengganti password tidak cukup untuk kasus seperti ini.