Pengantar

Passkey dibuat untuk meningkatkan keamanan akun dan mengurangi risiko pencurian password. Namun, teknologi keamanan tersebut kini justru dimanfaatkan sebagai umpan dalam serangan phishing.

Microsoft mengungkap adanya kampanye serangan yang menggunakan tema passkey untuk menipu pengguna. Penyerang menyamar sebagai petugas IT atau helpdesk dan mengatakan bahwa korban perlu memperbarui passkey, MFA, atau pengaturan SSO.

Korban kemudian diarahkan ke halaman login palsu. Jika berhasil, penyerang dapat mengambil alih akun Microsoft cloud dan menggunakannya untuk mencari serta mencuri data organisasi.

Serangan ini menunjukkan bahwa teknologi autentikasi yang kuat tetap dapat disalahgunakan jika pengguna berhasil ditipu.

Apa Itu Passkey?

Passkey merupakan metode autentikasi yang dirancang untuk menjadi alternatif password.

Berbeda dengan password biasa yang harus diketik dan dapat dicuri melalui phishing, passkey menggunakan mekanisme kriptografi dan biasanya terhubung dengan perangkat pengguna.

Secara sederhana:

Password
    ↓
Diketik oleh pengguna
    ↓
Dapat dicuri melalui phishing

Sedangkan:

Passkey
    ↓
Menggunakan kredensial kriptografis
    ↓
Lebih tahan terhadap phishing

Namun, penyerang tidak harus memecahkan teknologi passkey.

Mereka cukup membuat korban percaya bahwa ada masalah dengan passkey dan korban harus melakukan proses autentikasi tertentu.

Hacker Menjadikan Passkey Sebagai Umpan

Serangan biasanya dimulai dengan social engineering.

Penyerang terlebih dahulu mencari informasi mengenai target. Mereka dapat memanfaatkan informasi yang tersedia secara publik untuk mengetahui nama perusahaan, karyawan, jabatan, hingga struktur organisasi.

Setelah itu, korban dihubungi.

Penyerang dapat mengaku sebagai:

“Tim IT perusahaan.”

Mereka kemudian mengatakan bahwa ada masalah dengan akun korban.

Misalnya:

“Passkey Anda perlu diperbarui.”

atau:

“Kami perlu mengaktifkan kembali MFA Anda.”

Korban kemudian diarahkan untuk mengikuti instruksi yang diberikan.

Alurnya menjadi:

Mencari informasi korban
        ↓
Menghubungi korban
        ↓
Mengaku sebagai IT Helpdesk
        ↓
Mengatakan passkey perlu diperbarui
        ↓
Mengirim link
        ↓
Korban membuka website
        ↓
Account Compromise

Website Palsu Dibuat Semirip Mungkin dengan Microsoft

Untuk membuat serangan terlihat meyakinkan, penyerang membuat website yang menyerupai halaman login Microsoft.

Nama domain juga dapat dibuat menggunakan kata-kata seperti:

passkey
secure
login
SSO
account
verification

Tujuannya adalah membuat korban berpikir bahwa mereka sedang mengakses layanan resmi.

Masalahnya, sekilas tampilan halaman tersebut bisa terlihat sangat mirip dengan halaman autentikasi yang biasa digunakan.

Karena itu, pengguna tidak boleh hanya mengandalkan tampilan website.

Periksa juga:

• alamat domain,
• sumber link,
• konteks permintaan,
• dan apakah permintaan tersebut memang datang dari tim IT resmi.

Teknik Adversary-in-the-Middle

Salah satu teknik yang dapat digunakan dalam serangan seperti ini adalah Adversary-in-the-Middle (AitM).

Konsepnya sederhana.

Dalam kondisi normal:

User
  ↓
Microsoft

Dalam serangan:

User
  ↓
Phishing Website
  ↓
Attacker
  ↓
Microsoft

Penyerang berada di tengah proses autentikasi.

Tujuannya adalah mendapatkan informasi autentikasi atau sesi yang dapat digunakan untuk mengakses akun korban.

Dengan demikian, serangan tidak selalu berusaha mencuri password secara langsung.

Penyerang dapat mencoba mencuri session atau authentication material setelah korban berhasil melakukan proses login.

Device Code Phishing

Teknik lain yang perlu diperhatikan adalah device code phishing.

Microsoft menyediakan device code authentication untuk skenario tertentu ketika sebuah perangkat perlu melakukan autentikasi.

Masalahnya, mekanisme tersebut dapat disalahgunakan melalui social engineering.

Gambaran sederhananya:

Attacker
   ↓
Membuat authentication request
   ↓
Memberikan instruksi kepada korban
   ↓
Korban memasukkan kode
   ↓
Microsoft melakukan autentikasi
   ↓
Attacker mendapatkan akses

Korban bisa saja mengira dirinya sedang membantu proses konfigurasi perangkat atau memperbaiki masalah akun.

Padahal, proses tersebut dapat memberikan akses kepada perangkat yang dikendalikan penyerang.

MFA Tidak Selalu Menghentikan Serangan

Banyak orang berpikir bahwa menggunakan MFA berarti akun sudah aman dari phishing.

MFA memang meningkatkan keamanan secara signifikan.

Namun, social engineering dapat menyerang proses autentikasinya.

Misalnya:

Password
   +
MFA
   +
User ditipu
       ↓
Attacker mendapatkan akses

Jadi masalahnya bukan selalu teknologi MFA yang berhasil ditembus.

Masalahnya adalah pengguna diarahkan untuk melakukan tindakan yang sebenarnya menguntungkan penyerang.

Hacker Kemudian Menanamkan Persistence

Setelah berhasil mengambil alih akun, penyerang tidak ingin kehilangan akses.

Salah satu tujuan mereka adalah membuat mekanisme autentikasi tambahan yang mereka kendalikan.

Misalnya:

Compromised Account
        │
        ├── Password
        ├── MFA korban
        │
        └── Authentication method attacker

Dengan begitu, penyerang dapat mencoba mempertahankan akses meskipun aktivitas awal mereka sudah diketahui.

Karena itu, ketika sebuah akun cloud dicurigai telah dikompromikan, administrator tidak cukup hanya mengganti password.

Mereka juga harus memeriksa:

• authentication methods,
• perangkat terdaftar,
• sesi aktif,
• aplikasi yang mendapatkan akses,
• dan perubahan konfigurasi akun.

Setelah Masuk, Hacker Mulai Memetakan Lingkungan

Setelah mendapatkan akses, penyerang biasanya tidak langsung mencuri seluruh data.

Mereka terlebih dahulu melakukan reconnaissance.

Tujuannya adalah memahami:

Siapa pengguna?
Siapa administrator?
Apa saja group?
Aplikasi apa yang digunakan?
File apa yang tersedia?
Di mana data penting berada?

Dalam lingkungan Microsoft 365, aktivitas tersebut dapat melibatkan Microsoft Graph API.

Graph API memang merupakan API resmi Microsoft yang digunakan aplikasi dan administrator untuk mengakses berbagai sumber daya Microsoft 365.

Masalahnya:

Aktivitas yang dilakukan penyerang dapat terlihat seperti aktivitas API yang sah.

Karena itu, tim security harus melihat konteks dan pola aktivitas, bukan hanya satu request API.

Data Microsoft 365 Menjadi Target

Setelah mengetahui struktur lingkungan korban, penyerang dapat mencari data yang bernilai.

Beberapa target yang menarik antara lain:

SharePoint

Penyerang dapat mencari dokumen perusahaan, file proyek, dan informasi internal.

OneDrive

File milik pengguna juga dapat menjadi target.

Exchange Online

Email dapat memberikan banyak informasi penting, termasuk komunikasi internal, dokumen yang dikirim melalui attachment, dan informasi mengenai organisasi.

Dengan demikian, kompromi satu akun dapat berkembang menjadi masalah yang lebih besar.

Penyerang Berusaha Menghindari Deteksi

Penyerang tidak selalu mencuri data dalam jumlah besar sekaligus.

Mereka dapat melakukan aktivitas secara bertahap agar terlihat seperti aktivitas pengguna normal.

Misalnya:

Hari 1
Login

Hari 1
Reconnaissance

Hari 2
Mengakses beberapa file

Hari 2
Mengakses mailbox

Hari 3
Mengambil data

Jika setiap aktivitas dilihat secara terpisah, mungkin tidak terlihat terlalu mencurigakan.

Tetapi jika semuanya digabungkan:

Login aneh
   ↓
Device baru
   ↓
Authentication method baru
   ↓
Graph enumeration
   ↓
SharePoint access
   ↓
Mailbox access
   ↓
Data download

maka pola serangannya menjadi lebih jelas.

Mengapa Serangan Ini Berbahaya?

Ada beberapa alasan.

Pertama, serangan dimulai dari manusia

Tidak perlu vulnerability teknis yang rumit jika korban dapat dibuat percaya.

Kedua, akun cloud memiliki akses luas

Satu akun dapat terhubung dengan banyak layanan.

Ketiga, penyerang dapat mempertahankan akses

Jika authentication method tambahan berhasil dibuat, akses dapat bertahan lebih lama.

Keempat, data berada di cloud

Setelah akun berhasil diambil alih, penyerang tidak perlu berada di dalam jaringan kantor secara fisik untuk mengakses data tertentu.

Cara Mencegah Passkey Phishing

Pengguna memiliki peran penting dalam mencegah serangan seperti ini.

Jangan langsung percaya panggilan dari IT

Jika seseorang menghubungi Anda dan meminta perubahan MFA atau passkey secara tiba-tiba, verifikasi terlebih dahulu.

Gunakan nomor atau kanal komunikasi resmi perusahaan.

Jangan sembarang membuka link

Link yang dikirim melalui SMS atau pesan tidak terduga perlu diperiksa sebelum dibuka.

Periksa domain

Jangan hanya melihat logo Microsoft.

Periksa alamat website di browser.

Jangan mengikuti instruksi autentikasi yang tidak Anda mulai

Jika tiba-tiba muncul permintaan login atau authentication request yang tidak Anda harapkan, jangan langsung menyetujuinya.

Apa yang Harus Dilakukan Administrator?

Administrator Microsoft 365 perlu melakukan monitoring terhadap aktivitas identity.

Beberapa hal yang perlu diperhatikan:

New device
New authentication method
Unusual sign-in
Unusual IP address
Unusual location
Device-code authentication
Suspicious Graph API activity
Unusual SharePoint access
Unusual OneDrive download
Unusual mailbox activity

Lebih baik lagi jika aktivitas tersebut dikorelasikan dalam SIEM.

Misalnya:

Risky Login
     +
New MFA Method
     +
New Device
     +
Graph Enumeration
     +
Large File Access

Jika beberapa indikator tersebut terjadi dalam waktu berdekatan, alert dapat dinaikkan menjadi prioritas tinggi.

Identity Kini Menjadi Bagian Penting dari Security Perimeter

Serangan seperti ini menunjukkan perubahan besar dalam keamanan modern.

Dulu organisasi sangat fokus pada:

Firewall
   ↓
Network
   ↓
Server

Sekarang modelnya semakin bergeser:

Identity
   ↓
Authentication
   ↓
Cloud Services
   ↓
Data

Jika identitas pengguna berhasil diambil alih, penyerang dapat mengakses berbagai layanan yang memang tersedia bagi akun tersebut.

Karena itu, keamanan identity menjadi sama pentingnya dengan keamanan network dan endpoint.

Kesimpulan

Passkey merupakan teknologi yang dirancang untuk meningkatkan keamanan dan mengurangi ketergantungan pada password.

Namun, kasus phishing berbasis passkey menunjukkan bahwa teknologi keamanan tidak dapat berdiri sendiri.

Penyerang dapat menggunakan nama passkey, MFA, atau SSO sebagai alasan untuk melakukan social engineering. Setelah korban mengikuti instruksi, penyerang dapat mengambil alih akun cloud, menambahkan metode autentikasi mereka sendiri, melakukan reconnaissance, dan mencari data penting di layanan seperti SharePoint, OneDrive, dan Exchange Online.

Pelajaran terpentingnya adalah:

Hacker tidak selalu harus membobol sistem keamanan. Terkadang mereka cukup membuat pengguna melakukan tindakan yang membuka jalan bagi mereka.

Karena itu, keamanan modern membutuhkan kombinasi antara teknologi autentikasi yang kuat, edukasi pengguna, monitoring identity, dan deteksi berdasarkan pola perilaku.