Memanipulasi informasi branding tenant
Di Microsoft Entra ID, setiap tenant memiliki kolom branding seperti nama organisasi. Peneliti menemukan pelaku menaruh teks penipuan di bagian ini—misalnya pemberitahuan pembelian palsu atau instruksi untuk menelepon "dukungan" tertentu.
Memicu notifikasi sistem Microsoft
Penyerang kemudian menjalankan proses resmi, misalnya menambahkan metode login email atau pemulihan akun. Alih‑alih menggunakan alamat mereka sendiri, mereka memasukkan email target.
Microsoft mengirim email otomatis
Sistem notifikasi Microsoft lalu mengirim email ke alamat korban. Karena template email memuat nama organisasi atau informasi branding tenant, teks penipuan yang dimasukkan penyerang ikut muncul di dalam email tersebut.
Dengan kata lain, penipu menyisipkan pesan phishing ke dalam template notifikasi asli milik Microsoft.
Peneliti juga menemukan beberapa teknik tambahan agar email lebih meyakinkan dan sulit terdeteksi filter spam.
• Manipulasi baris subjek – Pesan penipuan yang panjang dimasukkan ke kolom branding sehingga teks scam mendominasi judul atau preview email.
• Penggantian karakter (homoglyph) – Karakter yang mirip secara visual digunakan untuk menghindari sistem deteksi berbasis kata kunci.
• Penyamaran nomor telepon – Angka diganti dengan huruf atau simbol agar tidak mudah dikenali filter spam.
Teknik‑teknik ini membantu pesan lolos pemindaian otomatis namun tetap terbaca jelas oleh manusia.
Yang membuat kampanye ini berbahaya adalah emailnya bukan sekadar spoofing.
Karena pesan dikirim langsung oleh sistem Microsoft, email tersebut dapat lolos pemeriksaan autentikasi standar seperti SPF, DKIM, dan DMARC—mekanisme yang biasanya dipakai server email untuk memverifikasi pengirim.
Selain itu, penerima melihat alamat pengirim yang sudah dikenal sebagai alamat resmi untuk notifikasi keamanan Microsoft. Hal ini membuat banyak orang lebih mudah mempercayai isi pesan meskipun sebenarnya mencurigakan.
Investigasi dari jurnalis dan peneliti keamanan menunjukkan penyalahgunaan ini sudah berlangsung selama berbulan‑bulan.
Laporan yang muncul mencatat beberapa hal berikut:
• Banyak email phishing dikirim dari alamat notifikasi Microsoft yang sama ke berbagai inbox.
• Tema penipuan meliputi pemberitahuan pembelian palsu, masalah penagihan, hingga permintaan segera menghubungi dukungan teknis.
• Penyerang menggunakan banyak tenant Microsoft 365 sekali pakai dalam pola "burn‑and‑churn"—membuat tenant baru, mengirim spam, lalu meninggalkannya.
Kelompok anti‑spam juga menyoroti bahwa tingkat kustomisasi pada sistem notifikasi otomatis dapat menjadi celah penyalahgunaan jika tidak memiliki pengamanan yang cukup.
Perlu dicatat, pada saat laporan tersebut dipublikasikan, Microsoft belum mengonfirmasi secara publik penyebab teknis pasti dari penyalahgunaan ini.
Karena alamat pengirim bisa saja asli, pengguna tidak bisa hanya mengandalkan kolom “From”. Perhatikan konteks isi pesan.
Tanda‑tanda yang perlu diwaspadai:
• Peringatan pembelian atau transaksi yang tidak pernah Anda lakukan
• Pesan yang mendesak Anda segera menelepon nomor tertentu
• Permintaan klik tautan untuk menyelesaikan masalah tagihan
• Kode verifikasi untuk aktivitas yang tidak Anda minta
Jika situasinya tidak sesuai dengan aktivitas Anda, anggap email tersebut mencurigakan.
Jika menerima notifikasi Microsoft yang mencurigakan:
• Jangan klik tautan atau menelepon nomor yang ada di email.
• Buka layanan Microsoft secara manual dengan mengetik alamat situs resmi di browser.
• Periksa aktivitas akun langsung dari dashboard akun Anda.
• Tandai email sebagai phishing atau laporkan ke tim keamanan jika menggunakan email kantor.
• Jika sempat berinteraksi dengan email tersebut, segera ubah kata sandi Microsoft dan cek riwayat login.
Kasus ini menunjukkan tren baru dalam kejahatan siber: penyerang tidak selalu membuat sistem palsu. Sebaliknya, mereka menyalahgunakan platform tepercaya sehingga pesan penipuan terlihat datang dari sumber yang sah.
Comments
0 comments