Penjahat siber telah menemukan cara baru untuk melewati filter email dan pemblokir spam: mereka menelepon karyawan langsung melalui Microsoft Teams. Kampanye terbaru yang terkait dengan ransomware Chaos menunjukkan bahwa para penyerang menggunakan voice phishing, atau “vishing,” di dalam Teams untuk menipu pekerja agar menyerahkan akses jaringan, yang pada akhirnya mengarah pada penyebaran ransomware di seluruh sistem perusahaan.

Ini bukan sekadar cerita phishing email biasa. Ini adalah tanda bahwa penyerang dengan sengaja menargetkan platform kolaborasi yang kini dipercaya oleh jutaan karyawan secara default, dan hal ini memaksa pemikiran ulang tentang cara organisasi melatih staf untuk mengenali rekayasa sosial.

Bagaimana Serangan Vishing Microsoft Teams Bekerja

Tidak seperti phishing tradisional yang mengandalkan tautan atau lampiran berbahaya yang tersimpan di kotak masuk, gaya serangan ini menggunakan kontak suara langsung. Penyerang menghubungi karyawan melalui Microsoft Teams, sering kali menyamar sebagai dukungan TI internal atau vendor tepercaya, dan menggunakan panggilan tersebut untuk membangun urgensi dan kredibilitas. Karena interaksi terjadi di dalam platform yang sudah digunakan karyawan setiap hari untuk permintaan pekerjaan yang sah, hambatan psikologis yang biasanya membuat orang curiga terhadap email yang tidak diminta menjadi hilang.

Setelah kepercayaan terbangun, tujuan penyerang sangat jelas: membuat target mengambil tindakan yang memberikan akses jarak jauh, baik itu menyetujui permintaan login, menginstal alat akses jarak jauh, atau membagikan kredensial dengan kedok tiket dukungan. Dari sana, penyerang mendapatkan pijakan di dalam jaringan perusahaan, yang menjadi persiapan untuk muatan ransomware.

Pendekatan ini mencerminkan tren yang lebih luas di mana penyerang mengeksploitasi lingkungan Microsoft 365 daripada menyerang kerentanan perangkat lunak secara langsung. Ini menggemakan taktik yang terlihat dalam kampanye Storm-2949 yang menargetkan pengaturan ulang kata sandi Microsoft 365, di mana aktor ancaman memanipulasi alur kerja cloud tepercaya alih-alih hanya mengandalkan malware untuk membobol organisasi.

Mengapa Voice Phishing Melewati Pelatihan Keamanan Tradisional

Sebagian besar program kesadaran keamanan perusahaan dibangun di sekitar email: jangan klik tautan yang tidak dikenal, periksa alamat pengirim, arahkan kursor sebelum percaya. Voice phishing menghindari hampir semua pelatihan tersebut karena tidak ada email yang harus diteliti, tidak ada domain palsu yang jelas, dan tidak ada pesan statis yang dapat diteruskan karyawan secara diam-diam ke tim keamanan untuk ditinjau.

Panggilan telepon atau Teams secara langsung juga menimbulkan tekanan sosial yang tidak dimiliki email. Suara yang tenang dan profesional yang mengaku dari dukungan TI, terutama yang menyebutkan istilah internal yang nyata atau peristiwa perusahaan baru-baru ini, dapat mendorong karyawan untuk segera patuh sebelum mereka sempat berpikir kritis. Kombinasi platform tepercaya, tekanan waktu nyata, dan persiapan karyawan yang terbatas itulah yang membuat vishing menjadi titik masuk yang menarik bagi operator ransomware.

Yang Dilakukan Ransomware Chaos Begitu Berada di Dalam Jaringan

Setelah penyerang menggunakan panggilan vishing untuk mendapatkan akses, tahap berikutnya adalah menyebarkan ransomware Chaos. Seperti keluarga ransomware lainnya, Chaos dirancang untuk bergerak melalui jaringan yang telah disusupi, mengenkripsi file dan sistem, serta menyandera data tersebut hingga tebusan dibayarkan. Kerusakan tidak terbatas pada satu mesin; operator ransomware biasanya mencoba menyebar seluas mungkin di dalam jaringan sebelum memicu enkripsi, guna memaksimalkan tekanan pada organisasi korban untuk membayar.

Yang membuat kampanye ini menonjol adalah metode penyampaiannya, bukan ransomware itu sendiri. Dengan mendapatkan akses yang terlihat sah melalui saluran komunikasi tepercaya, penyerang berpotensi melewati beberapa lapis pertahanan teknis yang biasanya akan mendeteksi unduhan mencurigakan atau upaya login yang tidak biasa.

Pertahanan bagi Pekerja Jarak Jauh dan Hibrida: MFA, VPN, dan Verifikasi Suara

Bagi organisasi dengan tim yang tersebar atau hibrida, serangan semacam ini menjadi pengingat bahwa verifikasi identitas perlu diperluas melampaui email dan layar login. Beberapa langkah praktis dapat mengurangi risiko secara berarti:

  • Mewajibkan autentikasi multi-faktor (MFA) untuk semua akses jarak jauh dan sistem sensitif, serta melatih karyawan untuk tidak pernah menyetujui permintaan MFA yang tidak mereka mulai sendiri.
  • Menetapkan kebijakan yang jelas di seluruh perusahaan untuk memverifikasi permintaan dukungan TI, seperti mewajibkan karyawan untuk menelepon kembali nomor internal yang dikenal, alih-alih memercayai panggilan atau pesan Teams yang masuk.
  • Menggunakan VPN bersama kontrol akses yang ketat sehingga meskipun kredensial disusupi, pergerakan lateral di seluruh jaringan lebih sulit dilakukan.
  • Memperluas pelatihan kesadaran phishing untuk mencakup rekayasa sosial berbasis suara dan obrolan, bukan hanya email.

Apa Artinya Bagi Anda

Jika Anda bekerja dalam peran hibrida atau jarak jauh dan menggunakan Microsoft Teams secara rutin, perlakukan panggilan atau pesan tak terduga dari “dukungan TI” dengan skeptisisme yang sama seperti yang Anda terapkan pada email mencurigakan. Departemen TI yang sah jarang menghubungi secara tiba-tiba melalui platform obrolan meminta Anda menginstal perangkat lunak atau menyetujui permintaan akses saat itu juga. Jika ragu, tutup telepon, verifikasi melalui saluran resmi, dan segera laporkan interaksi tersebut kepada tim keamanan Anda.

Poin-Poin Penting

Meningkatnya serangan ransomware vishing Microsoft Teams menunjukkan bahwa penjahat siber beradaptasi lebih cepat daripada banyak program pelatihan perusahaan. Seiring alat kolaborasi menjadi garis depan baru rekayasa sosial, organisasi perlu memperbarui pertahanan mereka sesuai: perkuat kebijakan MFA, resmikan prosedur verifikasi TI, dan pastikan karyawan memahami bahwa kepercayaan pada sebuah platform tidak sama dengan kepercayaan pada setiap orang yang menggunakannya. Tetap waspada terhadap permintaan suara dan obrolan yang tidak diminta, betapapun meyakinkannya suara itu, tetap menjadi salah satu cara paling sederhana dan efektif untuk menghentikan serangan ransomware sebelum dimulai.