Waspada Skyw4lker: Kampanye Phishing "Kode Perangkat" Incar Akun Microsoft 365 Perusahaan AS

Kampanye phishing modern kini tidak lagi bergantung pada pencurian kredensial tradisional. Penyerang mulai menyalahgunakan layanan cloud yang sah, mekanisme otentikasi, dan alur kerja bisnis tepercaya untuk mendapatkan akses ke akun perusahaan dengan meninggalkan jejak yang lebih sedikit.

Analisis dari ANY.RUN terhadap kampanye bernama Skyw4lker menunjukkan bagaimana hal ini bekerja dalam praktiknya. Kampanye ini menyasar organisasi di Amerika Serikat, khususnya sektor manufaktur, teknologi, dan perawatan kesehatan. Mereka menggunakan dokumen bertema bisnis, infrastruktur yang dihosting Google, dan alur otentikasi Microsoft untuk memfasilitasi peretasan akun.

Skala Serangan Phishing di Amerika Serikat

Menurut data dari Pusat Pengaduan Kejahatan Internet FBI, terdapat 193.407 pengaduan terkait phishing dan spoofing pada tahun 2024. Angka ini menjadikannya salah satu kategori kejahatan internet yang paling sering dilaporkan. Pada tahun 2025, FBI mencatat lebih dari 1 juta pengaduan kejahatan internet dengan total kerugian mencapai $20,9 miliar, naik 26% dibandingkan tahun sebelumnya.

Para penyerang juga beradaptasi dengan organisasi yang telah berinvestasi besar dalam keamanan identitas dan MFA (Otentikasi Multi-Faktor). Phishing kode perangkat (device code phishing) adalah salah satu taktik baru yang mereka gunakan.

Bagaimana Skyw4lker Menggunakan Otentikasi Sah untuk Merampok Akun

Alih-alih mengumpulkan kredensial melalui halaman login palsu, penyerang dapat memulai alur otorisasi perangkat yang sah dan meyakinkan korban untuk menyelesaikannya. Token otentikasi yang dihasilkan kemudian dapat memberikan akses ke sumber daya yang tersedia untuk akun yang disusupi.

Kampanye Skyw4lker dimulai dengan umpan yang dirancang agar menyerupai korespondensi bisnis biasa. Para korban menerima dokumen yang dilindungi kata sandi yang disajikan sebagai kontrak atau proposal layanan. Skenario ini sangat masuk akal di lingkungan kerja di mana karyawan rutin bertukar perjanjian vendor dan dokumen pengadaan.

Dari dokumen tersebut, korban diarahkan ke halaman yang dihosting di sites.google.com, yang akhirnya mengarah ke alur otentikasi Microsoft. Penyerang tidak perlu mereproduksi tampilan login Microsoft secara sempurna. Otentikasinya sendiri sah; yang menipu adalah bujukan agar korban menyelesaikan permintaan autentikasi yang dimulai oleh penyerang.

Setelah proses selesai, penyerang bisa mendapatkan akses ke token Microsoft 365. Hal ini membuat serangan sulit dideteksi melalui telemetri identitas saja. Organisasi mungkin melihat peristiwa otentikasi yang valid tanpa segera melihat konteks berbahaya yang menyebabkannya.

Infrastruktur di Balik Halaman Phishing Skyw4lker

Analisis ANY.RUN mengidentifikasi adanya JavaScript yang diobfuskasi dan backend PHP yang digunakan untuk membuat sesi korban, mengumpulkan informasi seperti alamat IP dan geolokasi, serta berulang kali melakukan polling ke backend sambil menunggu proses otentikasi selesai.

Pemeriksaan statis terhadap dokumen asli mungkin bisa mengungkap URL awal, tetapi tidak bisa sepenuhnya menjelaskan apa yang terjadi setelah korban berinteraksi dengan halaman. Perilaku berbahaya muncul dari kombinasi aktivitas browser, eksekusi JavaScript, komunikasi backend, pengalihan, dan otentikasi. Itulah sebabnya analisis perilaku (behavioral analysis) menjadi sangat penting.

Pelajaran untuk Organisasi di Indonesia

Meskipun kampanye Skyw4lker menyasar organisasi di Amerika Serikat, taktik yang digunakan sangat relevan untuk diwaspadai oleh perusahaan di Indonesia. Beberapa langkah mitigasi yang bisa diterapkan:

• Verifikasi Permintaan Otentikasi: Jika menerima email yang meminta Anda menyelesaikan proses login atau memasukkan kode perangkat, pastikan itu benar-benar berasal dari sistem perusahaan Anda.
• Waspadai Dokumen Tak Terduga: Jangan sembarangan membuka dokumen yang dilindungi kata sandi dari pengirim tak dikenal, meskipun terlihat seperti kontrak bisnis.
• Aktifkan Pelaporan Phishing: Pastikan karyawan memiliki saluran yang mudah untuk melaporkan email mencurigakan ke tim IT.
• Gunakan Solusi Keamanan Berbasis Perilaku: Alat keamanan tradisional mungkin tidak cukup. Diperlukan solusi yang bisa menganalisis perilaku mencurigakan, bukan hanya mencocokkan tanda tangan malware.

Catatan Akhir

Skyw4lker menunjukkan mengapa pertahanan phishing modern memerlukan visibilitas di luar umpan awal atau halaman login. Dengan menggabungkan analisis sandbox interaktif, intelijen ancaman, dan investigasi kontekstual, tim keamanan dapat bergerak lebih cepat dari artefak mencurigakan menjadi intelijen yang bisa ditindaklanjuti. Bagi organisasi di Indonesia, pelajaran utamanya adalah: jangan pernah menganggap remeh email yang terlihat biasa. Klik yang ceroboh bisa menjadi pintu masuk bagi peretas untuk menguasai seluruh ekosistem digital perusahaan.