Klaster ancaman yang baru diidentifikasi bernama PREY-0058 menargetkan akun Microsoft 365 perusahaan melalui kombinasi rekayasa sosial kuno dan pencurian token modern. Menurut penelitian yang diliput oleh The Hacker News, kelompok ini menggunakan panggilan vishing (voice phishing) ke help desk yang dikombinasikan dengan pencurian token sesi adversary-in-the-middle (AitM) untuk membobol Microsoft 365 dan platform SaaS lainnya, kemudian memeras korban atas data yang dicuri. Kampanye ini menjadi pengingat bahwa bahkan multi-factor authentication (MFA) yang dikonfigurasi dengan baik pun dapat dikalahkan ketika penyerang menyasar manusia dan proses di sekitarnya, bukan layar login itu sendiri.
Apa Itu PREY-0058 dan Cara Kerja Penipuan Help Desk
PREY-0058 adalah sebutan untuk klaster serangan ini, dan metodenya berpusat pada peniruan staf TI. Alih-alih mengirim email phishing dan berharap seseorang mengklik tautan, para penyerang dilaporkan melakukan panggilan telepon ke karyawan, eksekutif, atau help desk TI, dengan menyamar sebagai staf dukungan teknis yang sah. Ini adalah vishing: rekayasa sosial berbasis suara yang dirancang untuk membangun kepercayaan dengan cepat dan menekan target agar bertindak sebelum sempat memverifikasi siapa yang sebenarnya mereka ajak bicara.
Tujuan dari panggilan ini biasanya adalah membujuk target untuk mereset kata sandi, menyetujui prompt login, atau menyerahkan kode satu kali. Karena permintaan tersebut tampak berasal dari sumber TI internal, permintaan itu lolos dari naluri yang telah dikembangkan banyak karyawan terhadap email mencurigakan. Vishing mengeksploitasi celah yang tidak dapat ditutup oleh alat keamanan email: panggilan telepon terasa personal dan mendesak dengan cara yang tidak dimiliki pesan di kotak masuk.
Bagaimana Serangan Adversary-in-the-Middle Melewati MFA
Yang membuat PREY-0058 sangat efektif adalah bagian kedua dari strateginya: pencurian token adversary-in-the-middle. Dalam serangan AitM, pelaku ancaman tidak hanya mencuri nama pengguna dan kata sandi. Sebaliknya, mereka menyisipkan diri di antara korban dan layanan login asli, sering kali menggunakan halaman autentikasi palsu yang meyakinkan. Ketika korban masuk dan menyelesaikan langkah MFA, proxy penyerang menangkap token sesi yang dihasilkan, yaitu data yang membuktikan bahwa pengguna telah terautentikasi.
Ini penting karena token sesi yang dicuri memungkinkan penyerang melewati proses login sepenuhnya. Mereka tidak perlu menebak kata sandi atau menipu seseorang untuk menyetujui notifikasi push untuk kedua kalinya. Mereka cukup menggunakan kembali token yang ditangkap untuk mengakses Microsoft 365 seolah-olah mereka adalah pengguna yang sah, lengkap dengan MFA. Ini adalah teknik yang telah digunakan terhadap lingkungan Microsoft 365 sebelumnya, tetapi menggabungkannya dengan panggilan vishing langsung untuk mendapatkan akses awal atau mereset kredensial menambahkan lapisan manipulasi manusia yang sulit ditangkap oleh pertahanan teknis saja.
Siapa yang Menjadi Target dan Data Apa yang Berisiko
Pelaporan tentang PREY-0058 menunjukkan kampanye ini berfokus pada pencurian data dari Microsoft 365 dan layanan SaaS lainnya, dengan tujuan akhir pemerasan daripada sekadar pengambilalihan akun untuk spam atau penipuan. Pola ini—mendapatkan akses, mengeksfiltrasi file atau komunikasi sensitif, kemudian menuntut pembayaran untuk mencegah kebocoran—mencerminkan pergeseran yang lebih luas dalam kejahatan siber menuju pencurian data dan pemerasan daripada enkripsi ransomware tradisional. Eksekutif dan karyawan bernilai tinggi lainnya tampaknya menjadi fokus, kemungkinan karena kotak masuk dan penyimpanan cloud mereka berisi jenis informasi finansial, hukum, atau strategis sensitif yang dapat menjadi alat negosiasi yang efektif dalam upaya pemerasan.
Ini sejalan dengan tren yang lebih besar yang didokumentasikan di seluruh industri: rekayasa sosial, yang semakin diperkuat oleh taktik peniruan yang meyakinkan, melampaui pertahanan yang ada di banyak organisasi. Sebuah survei terbaru tentang phishing AI dan deepfake menemukan bahwa mayoritas pemimpin bisnis merasa percaya diri dengan postur keamanan mereka bahkan ketika serangan peniruan berbasis suara dan berbantuan AI terus berhasil. PREY-0058 adalah contoh nyata dari kesenjangan antara kepercayaan diri dan kesiapan tersebut.
Apa Artinya Ini Bagi Anda
Jika organisasi Anda mengandalkan Microsoft 365, kampanye ini adalah sinyal untuk melihat melampaui kekuatan kata sandi dan tingkat pendaftaran MFA. Penyerang telah beradaptasi dengan dunia di mana MFA adalah standar, dan mereka kini menargetkan proses verifikasi di sekitarnya, termasuk help desk, reset kata sandi, dan permintaan dukungan berbasis telepon. Karyawan, terutama eksekutif dan staf TI, perlu tahu bahwa panggilan telepon yang mengaku dari dukungan internal tidak otomatis dapat dipercaya hanya karena terdengar resmi.
Langkah Praktis untuk Melindungi Akun Perusahaan
Organisasi dapat mengurangi paparan mereka terhadap serangan seperti PREY-0058 dengan beberapa perubahan konkret. Help desk harus menggunakan prosedur verifikasi identitas yang ketat untuk setiap permintaan reset kata sandi atau pendaftaran ulang MFA, idealnya memerlukan panggilan balik ke nomor yang diketahui atau verifikasi melalui saluran terpisah yang telah ditetapkan sebelumnya, bukan sekadar mempercayai kata-kata penelepon. Tim keamanan juga harus mempertimbangkan metode autentikasi yang tahan phishing, seperti kunci keamanan perangkat keras, yang jauh lebih sulit dicegat oleh proxy AitM daripada kode satu kali atau persetujuan push. Pemantauan penggunaan token sesi yang anomali, seperti login dari lokasi tak terduga segera setelah interaksi help desk, dapat membantu menangkap intrusi sebelum data dieksfiltrasi. Terakhir, pelatihan rutin yang secara khusus mencakup skenario vishing, bukan hanya phishing email, memberi karyawan panduan untuk diikuti ketika sebuah panggilan terasa mencurigakan.
Pelajaran yang lebih luas dari PREY-0058 adalah bahwa serangan vishing Microsoft 365 berhasil dengan mengeksploitasi celah kepercayaan dan proses, bukan kerentanan teknis pada platform itu sendiri. Selama penyerang terus menggabungkan rekayasa sosial dengan pencurian token teknis, pertahanan berlapis yang memperhitungkan perilaku manusia bukan lagi pilihan. Luangkan beberapa menit minggu ini untuk meninjau kebijakan verifikasi help desk organisasi Anda dan pastikan tim Anda tahu seperti apa permintaan TI yang sah sebenarnya.
