Gelombang phishing tidak lagi sekadar mengandalkan email generik dengan tata bahasa buruk. Dalam beberapa pekan terakhir, peneliti keamanan mengamati kampanye phishing yang jauh lebih adaptif: umpan dibuat dalam banyak variasi, domain dan halaman dikustomisasi cepat, serta infrastruktur cloud dipakai untuk mempercepat skala serangan. Pola ini menandai fase baru serangan siber, ketika pelaku memanfaatkan alat berbasis AI untuk membuat jebakan yang lebih meyakinkan dan lebih sulit diblokir.

Salah satu temuan yang paling mengkhawatirkan datang dari riset Huntress pada Maret 2026. Mereka mendokumentasikan ratusan organisasi yang terdampak oleh kampanye phishing yang menargetkan akun Microsoft cloud. Serangan ini tidak hanya mengandalkan tautan login palsu biasa, tetapi juga mengeksploitasi device code flow, yaitu mekanisme autentikasi Microsoft yang semula dirancang untuk perangkat seperti smart TV, printer, atau terminal dengan input terbatas.

Mengapa kampanye ini penting?

Alasan utamanya sederhana: pelaku tidak perlu mencuri password secara langsung. Mereka cukup memancing korban agar menyelesaikan proses otorisasi yang tampak sah. Jika korban terjebak, penyerang bisa memperoleh token akses OAuth yang berlaku lama. Dalam praktiknya, akses seperti ini bisa bertahan hingga sekitar 90 hari, tergantung kebijakan tenant, tanpa perlu mengetahui kata sandi korban dan dalam beberapa skenario bisa menghindari hambatan MFA tradisional.

Ini membuat serangan lebih berbahaya dibanding phishing klasik. Banyak organisasi sudah melatih karyawan untuk menghindari halaman login palsu. Namun ketika yang muncul adalah alur otorisasi yang terasa “resmi”, korban sering tidak sadar bahwa mereka sedang memberikan izin akses ke pihak yang salah.

Bagaimana modusnya bekerja?

Secara umum, kampanye ini berjalan dalam beberapa tahap:

1. Korban menerima email atau pesan dengan konteks yang tampak relevan, misalnya notifikasi dokumen, permintaan akses file, atau ajakan memindai QR code.
2. Umpan dibuat bervariasi sehingga tidak mudah dikenali oleh filter email. Di sinilah AI berperan: pelaku dapat menghasilkan banyak template berbeda dalam waktu singkat.
3. Korban diarahkan ke alur autentikasi yang memanfaatkan device code flow. Karena domain, teks, dan tampilan sering terlihat meyakinkan, korban menganggap proses itu normal.
4. Setelah korban menyetujui otorisasi, token akses jatuh ke tangan penyerang. Akses ini kemudian bisa dipakai untuk membaca email, memetakan kontak, atau melanjutkan penipuan internal.

Yang membuat kampanye ini efektif bukan hanya teknologinya, tetapi juga kombinasi antara rekayasa sosial, otomatisasi, dan infrastruktur cloud yang murah serta mudah diputar ulang. Peneliti juga menyoroti bahwa beberapa serangan menggunakan QR code, file-share lure, dan variasi domain yang terus berubah. Kombinasi itu membuat deteksi berbasis pola statis menjadi jauh kurang efektif.

Peran AI: bukan “super malware”, tapi pengganda skala

Dalam banyak diskusi publik, AI sering dibayangkan sebagai mesin serangan canggih yang sepenuhnya otomatis. Realitas di lapangan justru lebih pragmatis. Pelaku menggunakan AI sebagai pengganda skala: untuk menulis copy phishing yang lebih natural, membuat variasi subjek email, menyesuaikan konteks industri target, dan mempercepat produksi halaman atau domain penipuan.

Artinya, ancaman terbesar saat ini bukan selalu serangan paling teknis, melainkan serangan yang cukup bagus, cukup cepat, dan dikirim dalam volume besar. Bahkan kelompok yang sebelumnya tidak terlalu canggih pun sekarang bisa menaikkan efektivitas operasinya dengan biaya relatif rendah.

Ini selaras dengan tren yang juga terlihat pada serangan social engineering lain. Jika sebelumnya fokus utama ada pada OTP dan tautan login palsu, kini targetnya bergeser ke token, sesi, dan persetujuan akses. Bagi pengguna awam, semua itu tampak seperti proses login biasa. Karena itu, edukasi keamanan juga harus ikut berubah.

Siapa yang paling berisiko?

Berdasarkan sektor korban yang terungkap dalam riset tersebut, risiko tidak terbatas pada perusahaan teknologi. Korban mencakup organisasi di bidang konstruksi, firma hukum, nirlaba, properti, manufaktur, keuangan, asuransi, layanan kesehatan, pemerintahan, hingga keselamatan publik. Dengan kata lain, siapa pun yang mengandalkan Microsoft 365 untuk email dan kolaborasi berpotensi menjadi sasaran.

Risiko meningkat jika organisasi:

• belum membatasi device code flow atau otorisasi aplikasi tertentu,
• masih terlalu bergantung pada kesadaran pengguna tanpa kontrol teknis tambahan,
• tidak memantau login berbasis token atau aktivitas OAuth yang mencurigakan,
• membiarkan akses eksternal dan trial cloud berjalan tanpa verifikasi tambahan.

Apa yang harus dilakukan organisasi sekarang?

Langkah paling penting adalah memperlakukan persetujuan akses dan token sebagai permukaan serangan utama, bukan sekadar pelengkap autentikasi. Jika organisasi hanya fokus pada password reset dan MFA, celah seperti ini bisa terlewat.

Checklist mitigasi

• Tinjau apakah device code flow memang diperlukan. Jika tidak, batasi atau nonaktifkan untuk kelompok pengguna tertentu.
• Perketat Conditional Access di Microsoft Entra agar login berisiko tinggi dan pola otorisasi anomali bisa diblokir.
• Audit aplikasi dan sesi OAuth secara rutin, terutama token yang aktif lebih lama dari kebutuhan bisnis normal.
• Aktifkan pemantauan terhadap domain, IP, dan pola login yang berkaitan dengan layanan cloud yang sering disalahgunakan.
• Latih karyawan untuk curiga bukan hanya pada halaman login palsu, tetapi juga pada permintaan “masukkan kode”, “scan QR”, atau “approve device”.
• Batasi hak akses akun agar kompromi satu identitas tidak langsung membuka akses luas ke email, file, dan admin panel.
• Siapkan prosedur respons cepat: cabut token aktif, paksa re-authentication, reset sesi, dan telusuri aktivitas inbox rules atau forwarding mencurigakan.

Pelajaran untuk pengguna individu

Bagi pengguna individu, prinsip dasarnya tetap sama: jangan menyetujui proses autentikasi yang tidak Anda mulai sendiri. Jika tiba-tiba diminta memasukkan kode perangkat, memindai QR untuk “membuka dokumen”, atau menyetujui login yang terasa mendesak, berhenti sejenak dan verifikasi lewat jalur lain. Serangan modern semakin sering menyamarkan tindakan berbahaya sebagai langkah administrasi biasa.

Kalau Anda ingin memahami bagaimana manipulasi psikologis tetap menjadi inti banyak pembajakan akun, baca juga panduan kami tentang cara hacker membajak akun WhatsApp dan Signal dengan social engineering. Modusnya berbeda, tetapi pola eksploitasi manusia tetap sama: panik, terburu-buru, lalu memberi akses sebelum berpikir.

Kesimpulan

Kampanye phishing berbasis AI yang menargetkan akun Microsoft menunjukkan arah ancaman siber 2026: lebih cepat, lebih bervariasi, dan lebih licin dibanding generasi phishing sebelumnya. AI tidak harus menghasilkan serangan revolusioner untuk menjadi berbahaya. Cukup dengan mempercepat produksi umpan, mempersonalisasi pesan, dan memperluas skala operasi, pelaku sudah mendapatkan keuntungan besar.

Bagi organisasi di Indonesia, ini saat yang tepat untuk mengevaluasi ulang kontrol identitas, kebijakan OAuth, dan pelatihan keamanan pengguna. Fokusnya bukan lagi hanya melindungi password, tetapi juga mengamankan persetujuan akses, token, dan alur autentikasi yang tampak sah.