Phishing dengan alarm Passkey palsu mencuri data perusahaan dari Microsoft 365
Microsoft mengungkapkan dua gelombang penipuan yang sedang berlangsung, di mana penyerang menyamar sebagai petugas dukungan IT perusahaan untuk mendapatkan akses ke akun Microsoft 365.
Para penyerang terlebih dahulu meneliti karyawan dan struktur perusahaan, seringkali melalui media sosial, lalu menghubungi karyawan via telepon atau pesan, kadang-kadang melalui SMS ke ponsel pribadi.
Mereka mengklaim bahwa Passkey, autentikasi multi-faktor, atau pengaturan Single-Sign-On harus segera diperbarui, jika tidak, akses akan hilang, dan mengarahkan korban ke halaman login Microsoft palsu.
Di halaman tersebut, korban entah memasukkan kredensial akses mereka yang kemudian dicuri, atau memasukkan kode yang disediakan oleh penyerang di halaman Microsoft asli, sehingga penyerang mendapatkan akses tanpa perlu verifikasi multi-faktor lagi.
Menurut Microsoft, kelompok di balik serangan ini melakukan persiapan besar-besaran dan secara sengaja mengumpulkan informasi tentang karyawan sebelum melakukan serangan.
Setelah berhasil mendapatkan akses, Microsoft mengamati bahwa penyerang dalam hitungan menit mencari aplikasi internal, SharePoint, Outlook, dan aplikasi bisnis, dan kadang-kadang tetap aktif selama satu jam untuk meninjau file sensitif.
Karena akses dilakukan melalui Single Sign-On, akses tersebut juga dapat meluas ke layanan terhubung seperti Salesforce, Google Workspace, Dropbox, atau Slack, yang secara signifikan memperluas kemungkinan pencurian data.
MENGAPA INI PENTING
Para penyerang memanfaatkan kepercayaan terhadap fitur keamanan seperti Passkey untuk mendorong karyawan memberikan kredensial akses, sehingga mereka dapat mengakses data perusahaan jauh melampaui satu akun.
YANG BISA ANDA LAKUKAN SEKARANG
- Selalu lacak kembali permintaan IT sendiri Jangan menelpon kembali nomor yang dikirimkan bersama permintaan IT, tetapi gunakan nomor telepon resmi internal atau kontak IT perusahaan yang sudah Anda kenal.
- Jangan memasukkan kode asing Jika seseorang meminta Anda memasukkan kode di halaman login Microsoft yang tidak Anda minta sendiri, jangan memasukkannya dan segera hubungi departemen IT Anda.
- Periksa alamat halaman login dengan seksama Sebelum memasukkan kredensial akses, perhatikan alamat situs web di browser dengan seksama dan waspadai tambahan yang tidak biasa seperti 'passkeyhelpdesk' atau kombinasi kata serupa.
- Laporkan segera pesan mencurigakan Laporkan SMS, panggilan telepon, atau email yang mengklaim adanya masalah Passkey atau SSO langsung ke tim IT atau keamanan Anda, meskipun Anda tidak meresponsnya.