Microsoft Menandai Kampanye Serangan Wi-Fi Palsu Baru
Microsoft mengeluarkan peringatan pada 31 Juli tentang kelompok peretas bernama Storm-2945, yang oleh perusahaan diidentifikasi sebagai subkelompok dari Midnight Blizzard, aktor ancaman terkait Rusia dengan sejarah panjang operasi siber yang berpihak pada negara. Menurut Microsoft, Storm-2945 saat ini menjalankan kampanye serangan yang menggunakan halaman login Wi-Fi palsu untuk menargetkan pelancong bisnis di seluruh dunia.
Sementara pengungkapan Microsoft masih terus berkembang, detail intinya jelas: para penyerang mengeksploitasi momen ketika pelancong terhubung ke jaringan Wi-Fi publik atau hotel, menggunakan portal login yang menipu untuk mengompromikan perangkat atau mencuri kredensial. Ini bukan kali pertama Microsoft mengaitkan penyusupan dengan kelompok terkait Rusia; perusahaan itu juga melacak serangan ransomware di stadion es Thialf pada kelompok ancaman yang berbeda, menegaskan betapa seringnya tim intelijen ancaman Microsoft kini secara terbuka menyebutkan dan melacak aktor-aktor ini.
Bagaimana Serangan Login Wi-Fi Palsu Biasanya Terjadi
Halaman login Wi-Fi palsu, kadang disebut serangan "evil twin" atau portal captive yang berbahaya, mengandalkan trik sederhana: mereka meniru layar masuk yang sah yang diharapkan pelancong lihat di lounge bandara, hotel, atau tempat konferensi. Alih-alih terhubung ke jaringan asli, perangkat korban bergabung ke jaringan yang dikendalikan oleh penyerang, atau dialihkan melalui portal palsu yang dirancang agar terlihat identik dengan yang asli.
Dari sana, penyerang dapat memanen kredensial login yang dimasukkan di halaman palsu, mencegat lalu lintas tanpa enkripsi, atau mencoba mendorong perangkat lunak berbahaya ke perangkat yang terhubung. Karena pelancong bisnis sering harus segera terhubung ke internet untuk mengecek surel atau bergabung dalam panggilan, portal palsu ini dirancang untuk menyatu dan tidak menimbulkan kecurigaan. Taktik ini tidak memerlukan malware canggih atau kerentanan perangkat lunak; ia mengeksploitasi kepercayaan pada proses yang lazim dan sehari-hari.
Ini adalah salah satu alasan mengapa kelompok ancaman yang terkait dengan operasi yang disponsori negara, seperti kelompok di balik Midnight Blizzard, terus menginvestasikan pendekatan ini. Biayanya rendah, dapat diskalakan, dan efektif terhadap populasi, pelancong bisnis, yang sering berpindah-pindah di antara jaringan yang tidak tepercaya dan memiliki akses berharga ke sistem perusahaan, komunikasi internal, atau proyek sensitif.
Mengapa Pelancong Bisnis Menjadi Target Utama
Pelancong bisnis adalah target yang menarik karena beberapa alasan. Mereka sering terhubung ke jaringan yang tidak mereka kontrol dan tidak dapat diverifikasi, mereka kerap mengelola beberapa perangkat dan akun sekaligus, dan mereka mungkin berada di bawah tekanan waktu yang membuat mereka kurang cermat memeriksa halaman login dengan teliti. Bagi kelompok terkait Rusia yang berfokus pada spionase atau pengumpulan intelijen, mengompromikan seorang eksekutif, diplomat, atau peneliti yang sedang bepergian dapat menyediakan pijakan ke jaringan organisasi yang lebih luas, meskipun perangkat awal yang dikompromikan bukan target akhir.
Kampanye ini juga mencerminkan tren yang lebih luas: aktor ancaman semakin menyukai metode akses awal yang sepenuhnya mengelak dari pertahanan jaringan tradisional. Alih-alih mengeksploitasi kelemahan pada perangkat lunak perusahaan atau klien VPN, seperti yang terlihat dalam kasus kerentanan IKE yang memengaruhi layanan VPN Windows, serangan seperti ini menargetkan keputusan manusia untuk mengklik "sambungkan" pada jaringan asing. Ini menjadikan kesadaran dan higiene operasional dasar sama pentingnya dengan penambalan teknis.
Apa Artinya bagi Anda
Jika Anda bepergian untuk bekerja, bahkan sesekali, peringatan ini adalah pengingat bahwa jaringan Wi-Fi publik, terutama di bandara, hotel, dan pusat konferensi, harus diperlakukan sebagai sesuatu yang secara bawaan tidak tepercaya. Anda tidak perlu menjadi eksekutif terkenal untuk tersapu dalam kampanye semacam ini; penyerang yang menebar jaring lebar di suatu tempat dapat mengompromikan siapa saja yang terhubung, lalu memilah siapa yang bernilai setelahnya.
Kabar baiknya adalah bahwa pertahanan terhadap serangan semacam ini bersifat langsung dan tidak memerlukan alat keamanan khusus. Memverifikasi nama jaringan langsung dengan staf tempat, menghindari jaringan yang meminta informasi pribadi yang tidak lazim saat login, dan menggunakan VPN bereputasi baik untuk mengenkripsi lalu lintas Anda di jaringan publik apa pun adalah langkah-langkah praktis yang secara signifikan mengurangi risiko. Organisasi yang secara rutin mengirim karyawan dalam perjalanan bisnis juga sebaiknya mempertimbangkan untuk memperkuat panduan keamanan Wi-Fi dasar sebagai bagian dari pelatihan keamanan rutin, karena rekayasa sosial semacam ini tidak bergantung pada perangkat lunak kedaluwarsa atau sistem yang tidak ditambal.
Hal yang Dapat Segera Dilakukan
Sebelum perjalanan bisnis Anda berikutnya, konfirmasikan nama jaringan Wi-Fi resmi dengan staf hotel atau acara alih-alih memercayai apa pun yang muncul di daftar Wi-Fi perangkat Anda. Hindari memasukkan kredensial sensitif pada halaman portal captive yang terlihat sedikit tidak dikenal, dan pertimbangkan untuk menggunakan VPN secara bawaan setiap kali Anda terhubung ke jaringan yang tidak Anda kontrol. Jika organisasi Anda memiliki kebijakan keamanan perjalanan, tinjau kembali sebelum Anda pergi, dan segera laporkan apa pun yang mencurigakan kepada tim IT atau keamanan Anda. Peringatan Microsoft tentang Storm-2945 adalah pengingat yang berguna bahwa bahkan serangan Wi-Fi palsu yang rutin dapat menjadi langkah awal dari penyusupan yang jauh lebih besar, dan beberapa menit kehati-hatian di layar login dapat mencegahnya.
