Passkey Malah Jadi Umpan Phishing? Hacker Bidik Akun Microsoft 365 dengan Cara Baru

Passkey selama ini dikenal sebagai salah satu cara login yang lebih aman dibanding password tradisional. Tetapi ada sisi lain yang perlu diperhatikan: nama dan konsep passkey kini justru dimanfaatkan sebagai umpan phishing.

Microsoft mengungkap kampanye serangan terhadap akun cloud yang menggunakan social engineering bertema passkey. Pelaku menyamar sebagai tim IT perusahaan, menghubungi karyawan melalui telepon atau pesan, lalu mengatakan bahwa pengguna harus memperbarui passkey, MFA, atau SSO agar akun tetap bisa digunakan.

Masalahnya, tujuan sebenarnya bukan membantu korban mengatur passkey.

Korban justru diarahkan menuju halaman login palsu atau alur autentikasi tertentu yang akhirnya dapat memberikan akses kepada penyerang.

Passkey Tidak Diretas, Penggunanya yang Dibidik

Ini bagian yang penting supaya tidak salah memahami kasusnya.

Serangan tersebut bukan berarti teknologi passkey tiba-tiba berhasil dibobol. Penyerang lebih banyak mengeksploitasi kepercayaan pengguna terhadap sistem autentikasi modern.

Korban diberi alasan yang terdengar masuk akal: ada perubahan keamanan, passkey harus diperbarui, akun akan mengalami gangguan, atau konfigurasi SSO perlu diperbaiki.

Karena istilah tersebut memang berkaitan dengan keamanan akun, korban bisa saja menganggap permintaan tersebut sebagai prosedur resmi dari perusahaan.

Padahal, tautan atau instruksi yang diberikan penyerang dapat mengarahkan korban ke infrastruktur phishing.

Modusnya Dimulai dari “Telepon dari IT”

Microsoft menemukan bahwa salah satu pola serangan dimulai ketika pelaku menghubungi nomor pribadi karyawan dan mengaku sebagai staf help desk perusahaan.

Pelaku kemudian menciptakan rasa urgensi.

Misalnya, korban diberitahu bahwa passkey, MFA, atau SSO harus segera diperbarui supaya tidak kehilangan akses ke layanan perusahaan.

Setelah korban percaya, pelaku mengirimkan tautan melalui SMS atau mengarahkan korban ke situs yang dibuat menyerupai halaman login Microsoft.

Di sinilah serangan mulai berbahaya.

Hacker Memakai Phishing AiTM dan Device Code

Salah satu teknik yang digunakan adalah Adversary-in-the-Middle (AiTM). Secara sederhana, penyerang menempatkan infrastruktur mereka di antara pengguna dan layanan autentikasi sehingga informasi autentikasi atau token sesi dapat dimanfaatkan.

Pola lainnya menggunakan device-code authentication.

Dalam skenario ini, korban dapat diarahkan untuk memasukkan kode tertentu pada halaman autentikasi Microsoft yang sebenarnya. Tanpa menyadarinya, korban bisa saja memberikan persetujuan kepada perangkat atau klien yang dikendalikan penyerang.

Artinya, korban tidak selalu perlu memberikan password secara langsung agar serangan berhasil.

Microsoft menyebut salah satu kasus yang diamati berhasil memberikan penyerang token sesi yang kemudian digunakan untuk mengakses sumber daya yang diizinkan oleh akun korban. 2

Yang Lebih Berbahaya: Hacker Menambahkan Metode MFA Sendiri

Mendapatkan akses awal ternyata bukan akhir dari serangan.

Setelah berhasil masuk, penyerang berusaha membuat akses tersebut bertahan lebih lama dengan mendaftarkan metode autentikasi yang berada di bawah kendali mereka.

Metode tersebut dapat berupa nomor telepon, aplikasi authenticator, atau token OTP berbasis software.

Dengan cara ini, penyerang tidak harus terus bergantung pada korban untuk mempertahankan akses.

Inilah salah satu bagian paling berbahaya dari serangan tersebut. Sebuah akun yang awalnya hanya terkena phishing dapat berubah menjadi akses persisten ke lingkungan cloud perusahaan.

Setelah Masuk, Apa yang Dicari?

Ketika sudah memiliki akses, penyerang dapat melakukan reconnaissance terhadap lingkungan Microsoft 365.

Microsoft menemukan aktivitas yang mencakup penggunaan Microsoft Graph untuk memetakan pengguna, grup, izin, resource, serta berbagai data yang dapat diakses oleh akun yang sudah dikompromikan.

Penyerang juga diamati mengakses SharePoint dan OneDrive dalam volume tinggi serta mengumpulkan informasi dari mailbox.

Jika data yang tersedia cukup besar, proses pengumpulan dapat berlangsung selama berjam-jam hingga beberapa hari.

Dengan kata lain, tujuan serangan bukan sekadar mengambil alih akun email.

Akun tersebut bisa dijadikan pintu masuk menuju berbagai data perusahaan yang terhubung ke identitas Microsoft 365.

Kenapa Modus Ini Sulit Dikenali?

Masalah utamanya adalah aktivitas awal terlihat sangat normal.

Karyawan menerima telepon. Kemudian mendapatkan SMS. Setelah itu membuka halaman login dan melakukan autentikasi.

Dari sudut pandang korban, semuanya terlihat seperti prosedur IT biasa.

Microsoft bahkan mencatat bahwa sebagian aktivitas awal dapat terjadi melalui perangkat pribadi yang tidak terhubung ke sistem keamanan endpoint perusahaan. Akibatnya, jejak teknis dari interaksi pertama bisa lebih sulit ditemukan. 3

Penyerang juga melakukan riset sebelum menghubungi korban. Informasi tentang struktur organisasi dan karyawan dapat dikumpulkan dari sumber publik seperti media sosial dan profil profesional.

Passkey Tetap Penting, Tapi Jangan Percaya pada “Permintaan Passkey” Sembarangan

Menariknya, kasus ini justru menunjukkan mengapa pengguna perlu memahami perbedaan antara keamanan teknologi dan keamanan perilaku.

Passkey tetap dirancang untuk memberikan perlindungan yang kuat terhadap berbagai bentuk pencurian kredensial. Tetapi teknologi keamanan tidak dapat sepenuhnya mencegah seseorang mengikuti instruksi berbahaya yang diberikan oleh penipu.

Karena itu, menggunakan passkey bukan berarti kita boleh berhenti waspada.

Kalau kamu ingin memahami bagaimana password manager modern mulai mendukung passkey dan mengapa teknologi ini semakin penting, kamu bisa membaca panduan password manager terbaik 2026 di FairusMajid.com.

Cara Mengenali Modus Phishing Bertema Passkey

Ada beberapa tanda yang patut dicurigai.

• Ada seseorang mengaku dari IT dan meminta kamu memperbarui passkey secara mendadak.
• Kamu diminta membuka tautan login melalui SMS pribadi.
• Alamat website terlihat mirip dengan layanan resmi tetapi menggunakan domain yang tidak dikenal.
• Pelaku menciptakan rasa panik dengan mengatakan akun akan segera diblokir.
• Kamu diminta memasukkan kode autentikasi yang sebenarnya tidak kamu mulai sendiri.
• Ada permintaan untuk menambahkan nomor telepon atau metode MFA baru.

Kalau menemukan situasi seperti ini, jangan mengikuti instruksi hanya karena orang tersebut mengaku sebagai petugas IT.

Jangan Pernah Menganggap MFA sebagai “Tombol Aman”

MFA memang sangat penting, tetapi implementasinya tetap harus diperhatikan.

Jika pengguna memberikan persetujuan kepada autentikasi yang sebenarnya dimulai oleh penyerang, lapisan keamanan tersebut dapat dimanfaatkan sebagai bagian dari serangan.

Karena itu, perusahaan perlu memperhatikan bukan hanya password atau MFA yang digunakan, tetapi juga siapa yang mendaftarkan metode autentikasi, dari perangkat mana, kapan dilakukan, dan apakah aktivitas tersebut sesuai kebiasaan pengguna.

Perusahaan Perlu Memeriksa Metode Autentikasi yang Terdaftar

Salah satu langkah penting bagi administrator Microsoft 365 adalah memeriksa metode autentikasi yang terdaftar pada akun pengguna.

Jika tiba-tiba muncul nomor telepon, authenticator, atau metode MFA baru yang tidak dikenali, kondisi tersebut layak diperiksa lebih lanjut.

Administrator juga perlu memperhatikan aktivitas login yang tidak biasa, perubahan autentikasi, akses Microsoft Graph dalam jumlah besar, serta aktivitas download dari SharePoint dan OneDrive.

Microsoft menekankan bahwa aktivitas Graph API tidak selalu terlihat berbahaya jika hanya diperiksa dari satu permintaan. Karena itu, pola aktivitas secara keseluruhan perlu dianalisis. 4

Pengguna Biasa Juga Perlu Lebih Waspada

Modus seperti ini memang banyak dibahas dalam konteks perusahaan, tetapi prinsip perlindungannya tetap relevan untuk pengguna biasa.

Jangan mudah percaya pada pesan yang meminta kamu memperbarui keamanan akun melalui tautan yang dikirim orang lain.

Kalau mendapatkan pemberitahuan keamanan, buka aplikasi atau website resmi secara manual. Jangan menggunakan link yang diberikan melalui SMS, email, atau pesan dari orang yang tidak kamu pastikan identitasnya.

Dan jika kamu menggunakan banyak password atau passkey, pastikan semuanya dikelola dengan cara yang aman. Bahkan proses memindahkan kredensial antar-password manager kini mulai dibuat lebih aman dan praktis, seperti yang dibahas dalam artikel transfer password dan passkey tanpa file CSV di Android.

Phishing Kini Tidak Selalu Bicara soal Password

Inilah pelajaran paling menarik dari kampanye terbaru tersebut.

Dulu, phishing sering terlihat sederhana: masukkan username dan password di halaman palsu.

Sekarang tekniknya semakin berorientasi pada identitas dan alur autentikasi.

Penyerang tidak selalu perlu meminta password secara terang-terangan. Mereka bisa membuat korban mengikuti proses autentikasi yang sebenarnya memberikan akses kepada pihak lain.

Karena itu, keamanan digital modern bukan hanya soal membuat password panjang atau mengaktifkan MFA.

Kita juga perlu memahami apa yang sebenarnya sedang kita setujui ketika melakukan proses login.

Kesimpulan

Serangan passkey phishing yang diungkap Microsoft menjadi pengingat bahwa teknologi keamanan yang lebih modern tetap bisa dimanfaatkan sebagai bagian dari social engineering.

Passkey bukan berarti berhasil diretas. Justru penyerang menggunakan nama dan proses yang berkaitan dengan passkey untuk membangun kepercayaan korban, kemudian mengarahkan mereka menuju phishing AiTM atau device-code authentication.

Setelah mendapatkan akses, penyerang dapat mencoba menambahkan metode MFA mereka sendiri, melakukan reconnaissance terhadap lingkungan Microsoft 365, mengakses mailbox, serta mengunduh data dari layanan cloud seperti SharePoint dan OneDrive.

Buat pengguna, aturan sederhananya tetap sama: jangan pernah melakukan perubahan keamanan akun berdasarkan instruksi dari orang yang tiba-tiba menghubungi kamu.

Jika memang ada masalah dengan akun, buka layanan resminya secara langsung dan lakukan pengecekan dari sana.

Di era passkey dan MFA, keamanan bukan lagi sekadar soal menjaga password. Menjaga agar kita tidak memberikan persetujuan autentikasi kepada orang yang salah juga sama pentingnya.