Bayangkan staf Anda sedang panik karena kotak masuk email tiba-tiba dibanjiri ratusan email pendaftaran newsletter dalam beberapa menit. Tak lama kemudian muncul pesan chat di Microsoft Teams dari akun bernama "IT Support (Internal)" yang menawarkan bantuan. Terasa seperti kebetulan yang menolong. Padahal, itulah pintu masuk serangan yang berujung pada pencurian data dan ransomware.

Arctic Wolf Labs melaporkan pola serangan yang berulang di ratusan kasus: pelaku membuat tenant Microsoft 365 baru, memakai nama tampilan bernama "IT Support", "Help Desk", atau "IT Service Desk", lalu menghubungi korban lewat fitur chat eksternal Teams. Karena bukan celah perangkat lunak, tidak ada antivirus yang berbunyi. Yang dieksploitasi adalah kepercayaan karyawan.

Anatomi serangan: dari banjir email ke ransomware

Urutannya hampir selalu sama. Pertama, korban dihujani email sampah (mail bombing) agar merasa ada masalah pada akunnya. Kedua, pesan Teams datang dari tenant asing dengan nama yang meyakinkan, kadang menyertakan nama instansi korban di nama tampilan. Ketiga, pelaku melakukan vishing — menelepon atau memandu lewat chat — dan meminta korban memasang alat remote access resmi seperti Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport, atau LogMeIn.

Setelah mendapat kendali, pelaku melakukan pemetaan jaringan, memasang backdoor GoGRPC, bergerak ke domain controller, mengekstrak data sensitif, lalu menjatuhkan biner ransomware. Sophos mengaitkan sebagian kampanye ini dengan penyebaran Chaos ransomware.

Menurut Arctic Wolf, sekitar 30–40 persen kasus memakai domain bawaan *.onmicrosoft.com — domain cadangan yang otomatis dibuat Microsoft saat tenant baru dibentuk — dengan nama seperti helpdeskteam365.onmicrosoft.com atau itendpoint365.onmicrosoft.com agar terlihat seperti infrastruktur TI resmi. Dari domain berbayar yang mereka temukan, sekitar 50 persen memakai TLD .top, sekitar 40 persen .com.

Pada salah satu kasus, pelaku menyuruh korban menjalankan perintah PowerShell untuk mengunduh installer MSI dari Azure Blob Storage. Installer itu menjalankan skrip PowerShell yang mengekstrak implan Python, lalu melakukan kueri LDAP ke Active Directory untuk mengambil daftar seluruh komputer dan pengguna, dan mengirimkannya ke server luar. Pelaku sengaja tidak menempelkan URL di chat Teams — karena tautan akan dipindai Safe Links — melainkan menavigasi sendiri saat sesi remote berlangsung.

Ciri-ciri yang wajib langsung dicurigai

• Chat Teams dari domain eksternal yang mengaku "IT Support Internal" atau "Help Desk", terutama bila disertai desakan segera.
• Email sampah membludak beberapa menit sebelum chat masuk — ini bagian dari skenario, bukan gangguan biasa.
• Permintaan memasang aplikasi remote access, menjalankan perintah PowerShell, atau mengizinkan "pengecekan cepat".
• Nama domain pengirim berakhiran .onmicrosoft.com atau TLD murah seperti .top yang tidak dikenal.
• Ajakan memindahkan percakapan ke WhatsApp/telepon pribadi agar tidak terekam.

Aturan sederhananya: tim TI tidak pernah menghubungi pengguna lebih dulu lewat chat eksternal untuk urusan akun. Verifikasi selalu lewat nomor telepon internal yang sudah diketahui, bukan nomor yang dikirim di chat.

Cara menutup celah di Microsoft Teams

Langkah berikut dilakukan admin Microsoft 365, cukup sekali, dan langsung mempersempit jalur masuk:

1. Buka admin.teams.microsoft.com, masuk ke Users > External access.
2. Matikan opsi People in my organization can communicate with unmanaged Teams accounts. Ini menutup chat dari akun Teams yang tidak dikelola organisasi — modus yang paling sering dipakai.
3. Jika instansi masih perlu berkomunikasi dengan mitra, gunakan opsi Allow only specific external domains dan daftarkan hanya domain mitra resmi.
4. Untuk kelompok pengguna berisiko (misalnya bagian keuangan atau operator desa), buat external access policy khusus di tab Policies dengan setelan Block all external domains.
5. Aktifkan Allow my security team to manage blocked domains agar tim keamanan bisa menambah domain jahat dari portal Microsoft Defender tanpa menunggu admin Teams.
6. Lewat PowerShell Teams, setelan yang sama bisa dikunci massal: Set-CsTenantFederationConfiguration -EnableTeamsConsumerAccess $false -EnableTeamsConsumerInbound $false.

Kunci juga jalur remote access dan identitas

• Buat daftar putih (allowlist) aplikasi remote access yang boleh terpasang. Aplikasi RMM di luar daftar sebaiknya diblokir lewat AppLocker atau kebijakan aplikasi lainnya.
• Wajibkan MFA untuk semua akun Microsoft 365, terutama akun admin. Aktifkan peringatan untuk login dari lokasi atau perangkat baru.
• Pantau pembuatan tenant dan domain baru yang menyerupai nama instansi Anda. Domain tiruan bisa dilaporkan ke Microsoft.
• Matikan akun dan lisensi yang tidak terpakai. Setiap akun aktif adalah pintu yang bisa dibuka pelaku.
• Simpan cadangan data secara offline/terpisah dan uji proses pemulihannya, karena ransomware hanya "berhasil" bila cadangan ikut terenkripsi.

Kalau staf sudah terlanjur mengikuti instruksi

Putuskan koneksi jaringan komputer tersebut, jangan matikan paksa sebelum bukti forensik diambil bila ada tim keamanan. Copot aplikasi remote access yang tidak dikenal, ganti kata sandi akun terkait dan cabut sesi aktif (revoke sessions), periksa apakah ada akun atau perangkat baru di Active Directory, lalu lapor ke tim TI/internal audit. Pulihkan dari cadangan yang bersih dan pantau jaringan beberapa hari setelahnya.

Serangan ini tidak rumit secara teknis, tetapi sulit ditolak karena menyamar sebagai orang dalam yang menolong. Sosialisasi singkat ke staf — "tidak ada IT support yang menghubungi lewat chat eksternal" — plus pengetatan setelan external access di atas sudah menutup sebagian besar kasus.

Sumber: The Hacker News — Attackers Use Microsoft Teams IT Support Scams to Deploy Malware and Ransomware; Arctic Wolf Labs; Microsoft Learn — Manage external meetings and chat in Teams; The Hacker News — TWINLOOT Abuses SharePoint and Teams.