Mengenal Ancaman VENOM: Platform Phishing yang Mampu Menembus MFA
Selama bertahun-tahun, organisasi mengandalkan Multi-Factor Authentication (MFA) sebagai benteng utama pertahanan siber. Namun, saat ini, VENOM muncul sebagai ancaman baru yang mampu menembus perlindungan tersebut. Sebagai platform phishing-as-a-service (PhaaS), VENOM tidak hanya mencuri kredensial, tetapi juga mengambil alih akses jangka panjang akun Microsoft 365.
Serangan ini secara khusus menyasar eksekutif perusahaan seperti CEO, CFO, dan pimpinan tinggi lainnya. Oleh karena itu, memahami cara kerja VENOM sangat krusial bagi setiap tim keamanan IT perusahaan. Mari kita bedah lebih dalam mengenai risiko dan langkah mitigasinya dalam artikel ini.
Mengapa VENOM Menargetkan Eksekutif Perusahaan?
Tidak seperti serangan phishing massal yang menyebar secara acak, VENOM menggunakan pendekatan yang sangat terarah. Pelaku ancaman memilih target berdasarkan jabatan dan peran strategis mereka dalam organisasi.
Target utama VENOM adalah individu yang memiliki akses luas ke informasi keuangan, data rahasia perusahaan, dan proses pengambilan keputusan. Namun, pelaku lebih mengutamakan kualitas target daripada jumlah korban. Dengan mengompromikan satu akun eksekutif, penyerang bisa melancarkan penipuan bisnis bernilai tinggi atau mengakses komunikasi internal perusahaan yang sangat sensitif.
Modus Operandi: Mengelabui Korban dengan Email yang Sah
Serangan VENOM biasanya dimulai melalui email yang sangat meyakinkan. Email tersebut sering kali meniru notifikasi berbagi dokumen dari Microsoft SharePoint. Pesan-pesan ini sering menggunakan tema laporan keuangan atau dokumen rapat direksi yang mendesak untuk ditinjau segera.
Dalam email tersebut, pelaku menyisipkan QR code yang mendorong korban untuk memindai kode tersebut. Teknik ini dikenal dengan sebutan quishing atau QR phishing. Mengapa mereka menggunakan metode ini? Berikut adalah keuntungannya bagi penyerang:
- Menghindari deteksi URL oleh sistem email gateway.
- Memindahkan korban dari pengawasan keamanan komputer perusahaan ke perangkat seluler pribadi.
- Sering luput dari analisis filter keamanan tradisional.
Bagaimana VENOM Berhasil Menembus MFA?
Kekuatan utama VENOM terletak pada kemampuannya mengeksploitasi proses autentikasi Microsoft yang sah. Terdapat dua metode utama yang mereka gunakan secara efektif dalam kampanye ini.
1. Adversary-in-the-Middle (AiTM)
Dalam metode ini, penyerang membuat halaman login palsu yang terlihat identik dengan portal Microsoft resmi. Saat korban memasukkan kredensial dan kode MFA, sistem VENOM akan meneruskan informasi tersebut secara real-time ke server asli. Korban merasa proses login berjalan normal, padahal pelaku sudah mendapatkan token autentikasi yang mereka perlukan.
2. Penyalahgunaan Device Code Flow
Metode kedua memanfaatkan fitur Device Code Flow milik Microsoft. Fitur ini dirancang untuk memudahkan autentikasi pada perangkat tanpa browser lengkap. Selanjutnya, penyerang menipu korban agar memberikan otorisasi pada perangkat tersebut, yang kemudian memberikan token akses permanen kepada penyerang.
Akses Tetap Bertahan Setelah Penggantian Password
Salah satu aspek yang paling mengkhawatirkan dari VENOM adalah kegigihannya. Meskipun korban telah mengganti kata sandi, penyerang sering kali masih memiliki akses melalui refresh token yang diperoleh sebelumnya. Di sisi lain, organisasi mungkin menganggap akun sudah aman setelah kata sandi diubah, namun kenyataannya akses tetap aktif.
Untuk memutus akses sepenuhnya, organisasi wajib melakukan pencabutan sesi dan token autentikasi secara eksplisit melalui sistem identitas Microsoft Entra ID. Tanpa tindakan ini, ancaman tetap ada di dalam sistem perusahaan.
Mitigasi Strategis Terhadap Ancaman VENOM
Menghadapi ancaman sekelas VENOM membutuhkan pendekatan berlapis. Berikut adalah langkah mitigasi yang harus segera dilakukan oleh departemen IT:
- Tingkatkan standar MFA: Beralihlah ke metode yang tahan phishing seperti FIDO2 atau passkey.
- Batasi fitur Device Code Flow: Nonaktifkan fitur ini jika tidak diperlukan dalam operasional perusahaan.
- Berikan Edukasi Khusus: Lakukan pelatihan keamanan siber yang disesuaikan bagi para eksekutif sebagai target utama serangan.
- Implementasikan Conditional Access: Gunakan kebijakan akses berbasis konteks, lokasi, dan perangkat untuk membatasi ruang gerak pelaku.
Kesimpulan
VENOM membuktikan bahwa phishing modern kini telah berevolusi menjadi sangat canggih dan sulit dideteksi. Dengan memanfaatkan sistem autentikasi sah, mereka mampu menembus perlindungan MFA standar. Oleh karena itu, keamanan perusahaan kini tidak bisa lagi hanya mengandalkan kata sandi atau MFA tradisional saja.
Organisasi perlu menggabungkan pemantauan identitas yang ketat, keamanan berbasis perilaku, dan edukasi pengguna untuk menghadapi ancaman ini. Tetap waspada adalah kunci utama dalam mempertahankan integritas data perusahaan di era serangan siber yang semakin dinamis.
Abnormal Indonesia merupakan bagian dari PT. iLogo Infralogy Indonesia, yang bertindak sebagai partner resmi Abnormal. Selain itu, kami juga berperan sebagai penyedia layanan (vendor) sekaligus distributor berbagai produk Infrastruktur IT dan Cybersecurity terbaik di Indonesia.