Serangan Phishing Bertema Passkey Curi Data Microsoft 365

Microsoft memperingatkan adanya kampanye phishing bertema passkey dan single sign-on (SSO) yang digunakan sejumlah kelompok ancaman untuk mengambil alih akun perusahaan dan mencuri data dari layanan Microsoft 365.

Aktivitas tersebut telah diamati sejak Mei 2026 dan dikaitkan dengan aktor ancaman yang berada dalam ekosistem kelompok pemerasan, termasuk ShinyHunters dan Helix.

Serangan dimulai dengan riset mendalam terhadap organisasi dan karyawan yang menjadi target. Pelaku kemudian menghubungi korban melalui telepon atau pesan dengan menyamar sebagai tim IT perusahaan.

Korban diberi tahu bahwa mereka harus segera memperbarui konfigurasi passkey, multi-factor authentication (MFA), atau SSO agar tidak kehilangan akses ke sistem perusahaan.

Passkey Hanya Dijadikan Umpan Phishing

Meski kampanye tersebut menggunakan passkey sebagai tema utama, Microsoft menjelaskan bahwa penyerang sebenarnya tidak mencoba mendaftarkan passkey milik mereka sendiri.

Sebaliknya, passkey digunakan sebagai umpan untuk mengarahkan korban ke dua teknik utama, yaitu adversary-in-the-middle (AiTM) phishing dan device-code phishing.

Pada serangan AiTM, korban diarahkan ke halaman login palsu yang dibuat menyerupai halaman Microsoft. Ketika korban memasukkan credential, penyerang dapat menangkap credential dan session token yang valid.

Sementara pada device-code phishing, korban diarahkan menggunakan halaman autentikasi Microsoft yang sebenarnya. Mereka diminta memasukkan kode yang diberikan penyerang dan tanpa menyadarinya memberikan otorisasi kepada aplikasi OAuth yang dikendalikan pelaku.

Metode kedua menjadi sangat berbahaya karena korban dapat merasa sedang melakukan proses login Microsoft yang sah.

Pelaku Melakukan Riset Sebelum Menargetkan Karyawan

Microsoft mengatakan aktor ancaman melakukan riset ekstensif sebelum melancarkan serangan.

Informasi mengenai karyawan dan struktur organisasi dikumpulkan dari sumber publik, termasuk jejaring sosial dan platform profil profesional.

Setelah mendapatkan informasi yang cukup, penyerang mendaftarkan domain phishing yang menggabungkan nama perusahaan target dengan istilah seperti:

• Passkey
• SSO
• Key synchronization
• Account setup
• Identity verification

Beberapa domain yang diamati Microsoft antara lain passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com, oktasession[.]com, keysyncos[.]com, dan oskeysync[.]com.

Untuk membuat halaman phishing terlihat lebih meyakinkan, nama perusahaan korban sering ditempatkan sebagai subdomain. Dengan demikian, alamat seperti nama-perusahaan.secure-passkey[.]com dapat terlihat sekilas seperti portal resmi perusahaan.

Microsoft mengaitkan aktivitas initial access ini dengan beberapa aktor, termasuk Storm-3121 dan Storm-3032.

Storm-3121 dikaitkan dengan ShinyHunters dan kelompok pemerasan Falcon, sedangkan Storm-3032 diyakini berhubungan dengan anggota kelompok BlackFile yang kini beroperasi dengan nama Helix.

Aktivitas tersebut juga memiliki kemiripan dengan kampanye yang sebelumnya didokumentasikan Google Threat Intelligence sebagai cluster UNC6671.

Setelah Akun Dibobol, Penyerang Memetakan Microsoft 365

Penelitian Microsoft menunjukkan bahwa kompromi akun hanyalah tahap awal.

Dalam salah satu insiden, Microsoft menemukan login mencurigakan dari perangkat yang tidak dikelola ke layanan Microsoft 365 yang muncul dalam log Entra sebagai OfficeHome.

Setelah MFA berhasil dilewati dan session yang valid terbentuk, penyerang mulai memeriksa resource apa saja yang dapat diakses akun tersebut.

Hanya dalam beberapa menit, pelaku mengakses berbagai layanan, termasuk:

• My Apps untuk melihat aplikasi yang tersedia bagi akun
• My Profile untuk memperoleh informasi organisasi
• Microsoft Approval Management
• Interface pengelolaan akun
• My Sign-Ins
• SharePoint Online
• Outlook Web
• Layanan kolaborasi dan pencarian Microsoft 365
• Aplikasi bisnis internal
• Authentication flow yang berkaitan dengan virtual desktop

Sesi tersebut tetap aktif selama sekitar satu jam ketika penyerang melakukan pemetaan terhadap file sensitif dan aplikasi internal.

Device-Code Phishing Bisa Membuka Akses ke Banyak Layanan

Dalam serangan lain, korban diyakinkan untuk memasukkan kode yang diberikan penyerang ke halaman autentikasi Microsoft yang sah.

Proses tersebut menghasilkan authentication token untuk OAuth application yang dikendalikan penyerang.

Dengan token tersebut, pelaku dapat mengakses akun korban tanpa harus melewati tantangan MFA tambahan.

Dampaknya juga tidak terbatas pada Microsoft 365. Jika akun perusahaan terhubung dengan aplikasi melalui SSO, penyerang berpotensi mendapatkan akses ke berbagai layanan yang terhubung, seperti Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk, dan Atlassian.

Artinya, satu akun yang berhasil dikompromikan dapat menjadi pintu masuk menuju ekosistem cloud perusahaan yang jauh lebih luas.

Penyerang Menambahkan MFA Milik Mereka Sendiri

Dalam beberapa kasus, penyerang tidak hanya mengambil alih session yang sedang aktif, tetapi juga berusaha mempertahankan akses.

Microsoft menemukan bahwa pelaku mendaftarkan metode autentikasi baru yang mereka kendalikan ke identitas korban, termasuk:

• Nomor telepon baru
• Aplikasi authenticator
• Software-based one-time password token

Dengan cara ini, penyerang dapat memenuhi permintaan MFA pada login berikutnya tanpa membutuhkan bantuan korban.

Namun, Microsoft mencatat bahwa persistence tersebut tidak akan bertahan jika credential dan session korban di-reset secara menyeluruh.

Microsoft Graph Digunakan untuk Reconnaissance

Setelah mendapatkan akses, pelaku menggunakan Microsoft Graph untuk memetakan lingkungan cloud korban.

Request yang diamati Microsoft digunakan untuk mencari informasi seperti:

• Organisasi, lisensi, dan layanan yang aktif
• User, group, dan keanggotaan group
• Directory role dan akun privileged
• Authentication method yang terdaftar
• Application dan service principal
• OAuth permission dan application role assignment
• SharePoint site, document library, folder, dan file
• Resource OneDrive
• Folder email, pesan, dan attachment

Aktivitas semacam /users, /groups, atau /sites sebenarnya cukup umum dalam lingkungan enterprise sehingga belum tentu langsung dianggap mencurigakan.

Namun, pola menjadi lebih berbahaya ketika satu akun, aplikasi, atau access token berpindah dengan cepat dari satu resource ke resource lainnya, memeriksa privilege dan pengaturan autentikasi, lalu mulai mengakses email, attachment, dan dokumen.

Data Microsoft 365 Dicuri Secara Bertahap

Setelah tahap reconnaissance selesai, penyerang mulai mengumpulkan data dari layanan Microsoft 365.

Microsoft mengamati aktivitas akses dan download dalam jumlah besar terhadap SharePoint Online dan OneDrive for Business. Dalam beberapa insiden, serangan juga meluas ke Exchange Online melalui akses berbasis REST API terhadap konten email.

Aktivitas tersebut menghasilkan banyak event FileAccessed dan FileDownloaded, yang menunjukkan bahwa penyerang secara sistematis mengambil dokumen dan data organisasi yang tersimpan di cloud.

Microsoft juga menemukan indikasi otomatisasi. Salah satu user agent yang diamati dalam aktivitas akses SharePoint dan OneDrive adalah python-httpx.

Menariknya, pelaku tampaknya tidak melakukan pencurian data secara terburu-buru.

Alih-alih mengunduh seluruh data dalam waktu singkat, aktivitas eksfiltrasi dapat berlangsung selama beberapa jam hingga beberapa hari. Penyerang membatasi akses hingga kurang dari sekitar 1.000 file atau email per jam dalam beberapa kasus untuk membuat aktivitas terlihat lebih mirip dengan penggunaan normal.

Teknik tersebut membuat deteksi berdasarkan lonjakan trafik semata menjadi lebih sulit.

Microsoft Bagikan Langkah Mitigasi

Microsoft merekomendasikan administrator memantau kombinasi beberapa indikator, terutama:

1. Login mencurigakan dari perangkat atau lokasi yang tidak biasa.
2. Pendaftaran MFA baru yang tidak dilakukan pengguna.
3. Aktivitas reconnaissance melalui Microsoft Graph.
4. Akses tidak biasa ke SharePoint dan OneDrive.
5. Akses atau download email dan attachment dalam jumlah mencurigakan.

Jika akun telah dipastikan terkompromi, administrator disarankan segera mencabut session dan token aktif, melakukan reset credential, menghapus authentication method atau mailbox rule yang ditambahkan penyerang, kemudian meminta pengguna melakukan registrasi ulang metode autentikasi.

Microsoft juga merekomendasikan penggunaan phishing-resistant MFA, membatasi akses resource cloud sensitif hanya dari perangkat yang dikelola perusahaan, serta menonaktifkan device-code authentication apabila fitur tersebut tidak diperlukan.

Kampanye ini menunjukkan bahwa passkey sendiri bukanlah target utama penyerang. Justru, popularitas passkey dan meningkatnya penggunaan SSO dimanfaatkan sebagai tema social engineering untuk membuat korban percaya bahwa mereka sedang mengikuti prosedur keamanan resmi.

Bagi perusahaan, perlindungan terhadap serangan semacam ini tidak cukup hanya dengan mengandalkan MFA. Pemantauan terhadap pendaftaran authentication method baru, penggunaan OAuth, aktivitas Microsoft Graph, serta pola akses data cloud juga menjadi bagian penting untuk mendeteksi kompromi lebih awal.

Sumber: Microsoft