Voice Phishing Menemukan Titik Lemah Baru: Ponsel Pribadi Anda

Gelombang serangan baru menunjukkan mengapa garis antara perangkat pribadi dan profesional menjadi semakin penting. Menurut laporan tentang temuan intelijen ancaman Microsoft, kelompok yang dilacak sebagai Storm-3032 dan Storm-3121 menelepon dan mengirim pesan teks kepada karyawan di ponsel pribadi mereka, menyamar sebagai staf helpdesk IT internal. Setelah karyawan diyakinkan bahwa panggilan tersebut sah, penyerang memandu mereka melalui langkah-langkah yang memberikan akses ke akun Microsoft 365 perusahaan, sering kali mengeksploitasi pengaturan bring-your-own-device (BYOD) di mana ponsel pribadi juga digunakan untuk masuk ke email kerja, Teams, dan SharePoint.

Yang membuat kampanye ini menonjol bukan hanya taktik voice phishing itu sendiri. Tetapi apa yang terjadi setelah akses awal diperoleh. Kelompok-kelompok ini dilaporkan berfungsi sebagai broker akses awal: mereka masuk ke dalam jaringan, menggunakan Graph API milik Microsoft untuk mensurvei data dan sistem apa yang tersedia, dan kemudian mengidentifikasi korban mana yang cukup berharga untuk dijual atau diserahkan. Dari sana, akses tersebut diteruskan ke kelompok pemerasan, termasuk ShinyHunters, nama yang semakin dikenal dalam kasus pencurian data dan pemerasan.

Mengapa BYOD Membuat Serangan Ini Begitu Efektif

Perangkat pribadi berada di luar perimeter keamanan yang dibangun sebagian besar perusahaan di sekitar perangkat keras perusahaan. Laptop kerja mungkin memiliki deteksi endpoint, izin aplikasi yang dibatasi, dan konfigurasi yang dikelola IT. Ponsel pribadi yang digunakan untuk memeriksa email atau bergabung dalam panggilan Teams biasanya tidak memiliki semua itu. Ini juga merupakan perangkat yang paling mungkin dijawab oleh karyawan tanpa berpikir dua kali, karena ini adalah ponsel yang sama yang digunakan keluarga dan teman mereka.

Kesenjangan kepercayaan itulah yang dieksploitasi oleh voice phishing (kadang disebut vishing). Penyerang tidak perlu memecahkan enkripsi atau menemukan celah perangkat lunak. Mereka membutuhkan karyawan yang percaya bahwa orang di telepon benar-benar dari IT dan berusaha membantu, bukan merugikan. Laporan menunjukkan bahwa penyerang juga menyalahgunakan fitur kolaborasi yang sah, seperti akses eksternal di Microsoft Teams, untuk menyatu dengan komunikasi bisnis normal alih-alih memicu tanda bahaya yang jelas.

Pola ini mencerminkan tren yang lebih luas di berbagai industri. Dalam serangan ransomware Jack Henry, penyerang juga menggunakan panggilan telepon alih-alih eksploitasi teknis untuk mendapatkan pijakan, menegaskan bahwa rekayasa sosial berbasis suara telah menjadi titik masuk yang disukai justru karena menghindari pertahanan teknis tradisional.

Sudut Pandang Graph API: Mengubah Akses Menjadi Intelijen

Setelah berada di dalam akun, penyerang dilaporkan menggunakan Graph API milik Microsoft, alat sah yang digunakan pengembang untuk berinteraksi dengan data Microsoft 365, untuk memetakan lingkungan organisasi. Ini memungkinkan mereka dengan cepat mengidentifikasi kotak surat, file, atau akun pengguna mana yang paling berharga, secara efektif melakukan pengintaian menggunakan infrastruktur target sendiri. Alih-alih mengeksfiltrasi data sendiri dalam setiap kasus, broker akses awal tampaknya menyerahkan pijakan bernilai tinggi kepada kelompok pemerasan seperti ShinyHunters, yang berspesialisasi dalam memonetisasi akses curian melalui pencurian data dan tuntutan pemerasan.

Pembagian kerja ini, satu kelompok membobol dan kelompok lain meraup keuntungan, mencerminkan apa yang telah terlihat dalam kasus pelanggaran terkini lainnya. Dalam kebocoran data Napoleon Perdis, catatan pelanggan yang dicuri dibocorkan dan diklaim oleh aktor ancaman yang beroperasi secara independen dari siapa pun yang mungkin awalnya mengakses data tersebut, menggambarkan bagaimana akses yang dikompromikan dan kebocoran data publik sering kali ditangani oleh pihak yang sepenuhnya terpisah.

Apa Artinya Ini Bagi Anda

Jika pemberi kerja Anda mengizinkan akses BYOD ke Microsoft 365, Teams, atau email perusahaan, Anda adalah titik masuk potensial untuk serangan semacam ini, terlepas dari jabatan atau departemen Anda. Risiko utamanya bukanlah celah dalam perangkat lunak Microsoft. Ini adalah asumsi bahwa penelepon yang mengaku sebagai "dukungan IT" adalah siapa yang mereka katakan. Karyawan harus skeptis terhadap panggilan atau pesan teks tak terduga yang meminta mereka mengatur ulang kredensial, menyetujui prompt login, atau menginstal apa pun, bahkan jika penelepon terdengar berpengetahuan tentang sistem internal atau menggunakan nama karyawan asli.

Organisasi juga harus meninjau kembali bagaimana perangkat BYOD diverifikasi dan dipantau, karena ponsel pribadi dengan akses ke layanan cloud perusahaan dapat menjadi jalur langsung ke data sensitif tanpa pernah menyentuh laptop milik perusahaan.

Langkah-Langkah yang Dapat Diambil

  • Verifikasi setiap kontak helpdesk IT melalui saluran internal yang diketahui sebelum mengambil tindakan, jangan pernah melalui nomor atau metode yang diberikan penelepon.
  • Aktifkan autentikasi multi-faktor yang memerlukan lebih dari sekadar ketukan persetujuan sederhana, karena kelelahan MFA dan rekayasa sosial sering kali berjalan beriringan.
  • Tanyakan kepada pemberi kerja Anda tentang kebijakan keamanan BYOD, termasuk apakah perangkat pribadi yang mengakses Microsoft 365 tunduk pada aturan akses kondisional atau pemeriksaan kepatuhan perangkat.
  • Laporkan panggilan atau pesan teks mencurigakan yang mengaku dari IT segera, bahkan jika Anda tidak menindaklanjutinya, agar tim keamanan dapat melacak kampanye yang lebih luas.

Kampanye voice phishing seperti ini berhasil karena mereka menargetkan kepercayaan manusia alih-alih kerentanan perangkat lunak. Tetap berhati-hati terhadap panggilan tak terduga dan mengonfirmasi permintaan melalui saluran resmi tetap menjadi salah satu pertahanan paling sederhana dan paling efektif yang tersedia.