Peretas Bajak DNS Wi-Fi Hotel untuk Curi Akun Microsoft 365
Peretas dilaporkan membajak konfigurasi DNS pada perangkat Wi-Fi di hotel, pusat konferensi, dan lokasi publik lain untuk mengarahkan pengguna ke halaman login Microsoft 365 palsu. Teknik ini menargetkan karyawan yang sedang bepergian dan terhubung ke jaringan tamu, tanpa perlu mengirim email phishing atau menginfeksi perangkat korban secara langsung.
Kampanye tersebut telah berlangsung setidaknya sejak Juni 2026. Infrastruktur Wi-Fi yang dikompromikan ditemukan di beberapa kota di Amerika Serikat, serta wilayah lain seperti India dan Arab Saudi. Korban potensial berasal dari berbagai sektor, termasuk layanan keuangan, jasa profesional, hukum, kesehatan, energi, dan ritel.
Karena perangkat gateway Wi-Fi melayani banyak pengguna sekaligus, satu kompromi pada perangkat tersebut dapat memberi penyerang kemampuan untuk memanipulasi traffic seluruh tamu yang terhubung. Dalam konteks acara bisnis atau perjalanan kerja, akses ke akun Microsoft 365 dapat membuka jalan ke email, dokumen internal, komunikasi perusahaan, dan data sensitif lain.
DNS Gateway Jadi Titik Serangan
Serangan ini berawal dari kompromi pada gateway Wi-Fi atau perangkat captive portal yang digunakan untuk mengelola koneksi tamu. Metode akses awal belum dipastikan, tetapi skenario yang dinilai masuk akal mencakup eksploitasi interface manajemen yang terekspos, seperti SSH, SNMP, atau panel admin web, ditambah kredensial administrator yang lemah atau digunakan ulang.
Setelah memperoleh akses administrator, penyerang dapat mengubah konfigurasi DNS pada gateway. Akibatnya, permintaan pengguna ke domain Microsoft yang sah dapat dibalas dengan alamat IP milik infrastruktur penyerang. Dari sisi pengguna, prosesnya terlihat seperti koneksi biasa ke internet hotel, padahal resolusi domain sudah dimanipulasi sebelum mencapai tujuan sebenarnya.
Beberapa domain yang digunakan untuk meniru layanan Microsoft antara lain m365-owa[.]com, owa-ms365[.]com, ms365-device[.]com, dan ms365-live[.]com. Domain-domain tersebut dikaitkan dengan infrastruktur yang digunakan untuk membuat halaman login palsu atau alur otorisasi Microsoft 365 yang tampak meyakinkan.
Bisa Melewati Perlindungan MFA
Dalam sebagian kasus, penyerang tidak hanya mengandalkan halaman phishing tradisional. Mereka juga menyalahgunakan device-code authentication flow Microsoft, yaitu mekanisme OAuth yang biasa dipakai untuk login pada perangkat dengan kemampuan input terbatas.
Pada skenario ini, pengguna diarahkan ke halaman yang terlihat seperti proses otorisasi Microsoft 365. Ketika pengguna menyetujui prompt tersebut, yang sebenarnya terjadi adalah pemberian otorisasi untuk sesi yang dimulai oleh penyerang. Microsoft kemudian menerbitkan token OAuth yang valid untuk client penyerang, sehingga akses dapat dianggap sudah memenuhi MFA tanpa harus mencuri kode MFA atau password secara langsung.
Teknik ini berbahaya karena menggeser titik kompromi dari perangkat korban ke infrastruktur jaringan yang dipercaya pengguna. Karyawan dapat mengetik alamat login secara manual dan tetap diarahkan ke sistem penyerang apabila gateway tempat mereka terhubung telah dimanipulasi.
WPAD Ikut Dicoba dalam Sebagian Kasus
Selain DNS poisoning, peneliti juga melihat upaya penyalahgunaan Web Proxy Auto-Discovery atau WPAD pada sekitar sepertiga kasus yang dianalisis. WPAD adalah fitur yang memungkinkan sistem, terutama Windows, mengambil konfigurasi proxy secara otomatis ketika tersambung ke jaringan baru.
Jika berhasil, penyerang dapat membuat perangkat mengambil file proxy auto-configuration atau PAC berbahaya. Dampaknya, traffic dari aplikasi Windows, browser, dan komponen autentikasi dapat diarahkan melalui proxy yang dikendalikan penyerang. Keberhasilan teknik ini belum dapat dikonfirmasi dalam semua kasus, tetapi upaya tersebut menunjukkan adanya jalur sekunder untuk memperluas permukaan serangan.
Kemiripan dengan Aktivitas APT28
Rangkaian taktik dalam kampanye ini dinilai memiliki kemiripan dengan aktivitas router-based yang sebelumnya dikaitkan dengan APT28, kelompok yang juga dikenal sebagai Fancy Bear atau Forest Blizzard. Aktivitas terdahulu tersebut menyasar router SOHO dan menggunakan manipulasi DNS untuk mencuri login Microsoft serta token OAuth.
Meski begitu, kampanye terbaru ini belum secara langsung diatribusikan ke APT28. Perbedaannya terlihat pada target perangkat yang lebih fokus ke captive portal hotel dan pusat konferensi, serta infrastruktur attacker yang tidak sejajar dengan kampanye sebelumnya. Penilaian saat ini lebih mengarah pada penggunaan tradecraft serupa daripada atribusi teknis yang pasti.
Cara Mengurangi Risiko
Mitigasi utama untuk organisasi adalah menerapkan always-on VPN dengan konfigurasi full-tunnel pada perangkat perusahaan. Dengan pendekatan ini, seluruh traffic termasuk DNS melewati jaringan perusahaan sebelum menyentuh gateway Wi-Fi publik, sehingga peluang manipulasi DNS oleh gateway hotel dapat ditekan secara signifikan.
Organisasi juga disarankan menonaktifkan WPAD jika tidak diperlukan, membatasi penggunaan device-code authentication flow di Microsoft Entra ID, serta memantau log autentikasi dan proxy untuk aktivitas dari host yang tidak dikenal. Penggunaan encrypted DNS dalam mode strict juga dapat membantu, selama tidak mengizinkan fallback ke DNS plaintext.
Bagi pengguna akhir, kewaspadaan tetap penting ketika memakai Wi-Fi hotel, bandara, ruang konferensi, atau jaringan publik lain. Namun, insiden ini menunjukkan bahwa edukasi pengguna saja tidak cukup, karena serangan terjadi pada lapisan jaringan yang sering kali berada di luar kendali langsung pengguna.
Sumber: ReliaQuest
