Microsoft Teams Ajang Penipuan IT Support

Microsoft Teams Ajang Penipuan IT Support – Penyerang siber memanfaatkan fitur percakapan eksternal Microsoft Teams untuk menyamar sebagai tim dukungan teknologi informasi (IT Support).

Dengan menggabungkan serangan email bombing dan rekayasa sosial (social engineering), mereka berusaha membuat karyawan panik, lalu membujuk korban memberikan akses jarak jauh ke komputer mereka.

Dalam laporan yang dipublikasikan pada Senin, peneliti mengungkap pola serangan berulang yang ditemukan dalam lebih dari 400 insiden. Pada sejumlah kasus, rangkaian serangan dapat mencapai tahap eksekusi muatan berbahaya (payload) dalam waktu kurang dari 15 menit setelah interaksi dengan korban dimulai.

Temuan ini menunjukkan bagaimana fitur kolaborasi yang sah dapat disalahgunakan untuk membuka jalan bagi serangan siber, terutama ketika penyerang berhasil mengeksploitasi kepercayaan karyawan terhadap pihak yang mengaku sebagai petugas IT internal.

Bagaimana Modus Serangannya?

Serangan ini memadukan beberapa teknik untuk mengelabui korban. Berikut tahapan yang umum ditemukan.

1. Membanjiri kotak masuk dengan email

Penyerang mengirimkan email dalam jumlah besar ke alamat korban, misalnya melalui langganan atau buletin yang tidak diinginkan. Teknik ini dikenal sebagai email bombing atau mail bombing.

Banjir email membuat kotak masuk dipenuhi pesan sehingga korban merasa terganggu, kebingungan, atau khawatir ada masalah pada akun mereka. Situasi tersebut kemudian dimanfaatkan untuk menciptakan kesan bahwa korban membutuhkan bantuan teknis segera.

2. Menyamar sebagai petugas IT melalui Teams

Ketika korban sedang menghadapi banjir email, penyerang menghubungi mereka melalui percakapan satu lawan satu di Microsoft Teams. Pelaku menggunakan nama tampilan seperti “IT Support (Internal)” atau “IT Service Desk” agar terlihat sebagai bagian dari perusahaan.

Meskipun nama tersebut mencantumkan kata “Internal”, Teams dapat tetap menampilkan label yang menunjukkan bahwa pengirim berasal dari pihak eksternal. Karena itu, nama tampilan saja tidak dapat dijadikan bukti bahwa seseorang benar-benar bekerja untuk perusahaan.

3. Membujuk korban memberikan akses jarak jauh

Penyerang menawarkan bantuan untuk mengatasi masalah email, lalu meminta korban menjalankan aplikasi akses jarak jauh. Alat yang disebut meliputi:

Quick Assist.
AnyDesk.
ScreenConnect.
Atera.
Zoho Assist.
NetSupport.
Dan LogMeIn.

Aplikasi tersebut merupakan perangkat yang sah dan dapat digunakan untuk keperluan dukungan teknis. Namun, jika akses diberikan kepada orang yang tidak terverifikasi, aplikasi yang sama dapat dimanfaatkan untuk mengendalikan komputer korban.

4. Menjalankan aktivitas berbahaya

Setelah memperoleh akses, penyerang dapat menjalankan perintah untuk mengumpulkan informasi sistem, mengeksekusi kode berbahaya, mencuri kredensial, atau memetakan lingkungan jaringan.

Dalam sejumlah rangkaian serangan, pelaku juga menggunakan PowerShell untuk menjalankan muatan berbahaya, membangun komunikasi dengan server kendali (command-and-control), dan mencoba berpindah ke sistem lain. Aktivitas lanjutan dapat mencakup penyalahgunaan Kerberos untuk memperoleh kredensial atau meningkatkan akses.

Pada tahap berikutnya, penyerang dapat memasang perangkat akses jarak jauh tambahan. Saluran akses kedua ini berpotensi mempertahankan kendali meskipun perangkat atau komponen serangan awal sudah dibersihkan.

Serangan Terorganisasi dengan Pola Berulang

Kampanye ini memperlihatkan kesamaan infrastruktur, nama tampilan, alat akses jarak jauh, dan domain yang digunakan untuk mengirimkan muatan berbahaya. Pola tersebut mengindikasikan bahwa aktivitas yang diamati bukan sekadar penipuan yang berdiri sendiri.

Peneliti menyebut sekitar 15% kasus yang ditanganinya berkembang melampaui tahap awal hingga menyebabkan kompromi yang berhasil. Meski persentase tersebut tidak berarti seluruh serangan memiliki tingkat keberhasilan yang sama, angka itu menunjukkan bahwa taktik ini tetap berisiko ketika diterapkan dalam skala besar.

Peneliti belum dapat memastikan siapa pelaku di balik seluruh gelombang serangan tersebut. Aktivitas yang dikaitkan dengan kelompok Black Basta disebut sebagai salah satu kontributor penting dalam penyalahgunaan percakapan Teams, tetapi hal itu bukan berarti semua insiden berasal dari kelompok tersebut.

Penyerang juga dilaporkan beralih dari penggunaan akun uji coba atau tenant sementara pada domain onmicrosoft.com ke domain yang mereka kendalikan sendiri. Sekitar separuh kasus yang melibatkan domain berbayar dalam pengamatan Arctic Wolf menggunakan ekstensi .top.

Cara Melindungi Diri dan Perusahaan

Untuk mengurangi risiko serangan serupa, karyawan dan pengelola sistem perlu menerapkan langkah pencegahan berikut.

Bagi karyawan:

Verifikasi identitas pengirim. Jangan langsung mempercayai akun yang menggunakan nama “IT Support” atau “Internal”. Periksa label eksternal di Teams dan konfirmasikan identitas petugas melalui saluran komunikasi resmi perusahaan.
Jangan memberikan akses jarak jauh kepada orang yang belum terverifikasi. Jangan menjalankan Quick Assist, AnyDesk, atau aplikasi sejenis hanya karena seseorang mengaku sebagai petugas IT.
Waspadai pesan yang mendesak. Banjir email yang diikuti tawaran bantuan melalui Teams bisa menjadi bagian dari skenario rekayasa sosial.
Laporkan aktivitas mencurigakan. Gunakan fitur pelaporan di Teams jika tersedia, atau segera hubungi tim keamanan informasi perusahaan.
Jika terlanjur memberikan akses, segera bertindak. Hubungi tim IT atau keamanan, putuskan koneksi perangkat sesuai prosedur perusahaan, dan jangan mencoba menghapus bukti atau menangani insiden sendiri tanpa arahan.

Bagi pengelola TI dan keamanan:

Batasi percakapan eksternal melalui kebijakan Teams, termasuk dengan menerapkan daftar organisasi eksternal tepercaya (allowlist) jika sesuai kebutuhan bisnis.

Tinjau pengaturan yang mengizinkan pengguna eksternal atau akun Teams konsumen memulai percakapan. Batasi akses yang tidak diperlukan dan evaluasi federasi dengan tenant uji coba.
Pantau pembuatan percakapan satu lawan satu dengan pihak eksternal. Arctic Wolf menyoroti peristiwa telemetri ChatCreated sebagai salah satu titik deteksi yang dapat digunakan untuk membangun peringatan.
Terapkan kontrol terhadap penggunaan aplikasi akses jarak jauh, termasuk pembatasan alat yang tidak disetujui dan pencatatan sesi dukungan.
Pantau eksekusi PowerShell, pengumpulan informasi sistem, komunikasi ke domain mencurigakan, serta upaya akses ke kredensial dan perpindahan antarsistem.
Latih karyawan untuk mengenali penyamaran petugas IT, memahami label pengirim eksternal, dan mengetahui prosedur resmi untuk meminta bantuan.

Nilai Kepercayaan

Penyalahgunaan Microsoft Teams menunjukkan bahwa serangan siber tidak selalu dimulai dengan malware atau eksploitasi kerentanan. Penyerang dapat memanfaatkan gangguan yang tampak sepele, seperti banjir email, untuk membangun tekanan psikologis sebelum meminta akses ke perangkat korban.

Karena itu, kepercayaan tidak boleh diberikan hanya berdasarkan nama akun atau penggunaan aplikasi yang dikenal. Verifikasi identitas, pembatasan akses eksternal, pemantauan aktivitas, dan edukasi karyawan perlu berjalan bersama agar fitur kolaborasi tetap aman digunakan.

Baca artikel lainnya: