Waspada! Hacker Kini Gunakan Halaman Login Asli Microsoft untuk Menipu Korban

Ketika korban menekan tombol "Accept" atau "Allow", aplikasi milik pelaku memperoleh token akses yang sah.

Dengan token tersebut, pelaku dapat mengakses berbagai layanan Microsoft, seperti:

• Email Outlook
• Microsoft Teams
• OneDrive
• SharePoint
• Kalender
• Dokumen dan file perusahaan

Karena izin diberikan langsung oleh pengguna, pelaku tidak perlu mengetahui password sama sekali.

Kenapa MFA Tidak Bisa Menghentikan Serangan Ini?

Banyak orang menganggap Multi-Factor Authentication (MFA) sebagai perlindungan terbaik terhadap pembajakan akun.

Namun, teknik consent phishing bekerja dengan cara berbeda.

MFA memang berhasil melindungi proses login. Akan tetapi, setelah pengguna berhasil masuk dan secara sukarela memberikan izin kepada aplikasi, sistem akan menerbitkan token akses yang sah.

Artinya, pelaku tidak pernah melewati perlindungan MFA. Mereka hanya memanfaatkan akses yang telah diberikan oleh pengguna sendiri.

Inilah alasan mengapa metode tersebut dinilai jauh lebih berbahaya dibanding phishing konvensional.

Kenali Ciri-ciri Consent Phishing

Meski menggunakan halaman login resmi Microsoft, masih ada beberapa tanda yang dapat diperhatikan.

Beberapa di antaranya meliputi:

• Email mendesak yang meminta tindakan segera.
• Mengatasnamakan HR atau administrator perusahaan.
• Meminta pengguna menyetujui izin aplikasi.
• Muncul permintaan akses ke email, file, kalender, atau Teams yang sebenarnya tidak diperlukan.
• Nama aplikasi yang tidak dikenal.

Apabila muncul layar permintaan izin, pengguna sebaiknya membaca seluruh daftar akses yang diminta sebelum menekan tombol "Accept".