Trend Micro mengungkap kampanye tech support scam berskala besar yang mengirim lebih dari 13 juta email ke pengguna di Jepang selama 165 hari, dengan 94% ditujukan ke domain .jp dan kini mulai menyasar individu di lingkungan perkantoran.
APA YANG TERJADI?
Kampanye ini beroperasi sejak pertengahan Desember 2025 hingga Mei 2026, dengan rata-rata 81.000 email per hari. Volume puncak terjadi pada Februari 2026 ketika 4,45 juta email dikirimkan dalam satu bulan. Lebih dari 240.000 alamat IP di seluruh dunia digunakan untuk pengiriman, dengan sebagian besar berasal dari perangkat MikroTik dan IoT yang dikompromikan. Lebih dari 33.000 situs landing page palsu dibangun menggunakan Microsoft Azure Blob Storage dan dibuang secara berkala untuk menghindari deteksi.
DETAIL TEKNIS
Penyerang menggunakan social engineering dengan beberapa tema: peringatan keamanan palsu, konten dewasa, impersonasi organisasi (termasuk lembaga pajak dan e-commerce), serta sejak Mei 2026 mulai muncul email yang menyasar karyawan dengan subjek terkait tinjauan kinerja (performance review), revisi gaji, audit keamanan internal, dan pemberitahuan sertifikat hadiah digital. Lebih dari 90% alamat pengirim adalah palsu, sering kali meniru alamat penerima atau layanan legitim. Infrastruktur pengiriman menunjukkan karakteristik kompromi perangkat IoT, terutama MikroTik dengan port 2000 yang terbuka ke internet. Situs alert palsu dihosting di Azure Blob Storage dengan HTTPS, memanfaatkan layanan cloud legitim. Dari 4.721 situs yang diamati dalam tiga bulan, hanya 11 nomor telepon berbeda yang digunakan, menunjukkan pola penggunaan ulang yang dapat dimanfaatkan untuk mitigasi.
DAMPAK TERHADAP INDONESIA
Meskipun kampanye ini berfokus pada Jepang, model serangan tech support scam telah lama menjadi ancaman global yang juga mengincar pengguna Indonesia. Menurut data BSSN dan laporan kejahatan siber nasional, modus penipuan dukungan teknis berbasis akses jarak jauh dan social engineering termasuk ancaman dengan kerugian finansial signifikan di kalangan pengguna lokal. Dengan tingkat penetrasi internet Indonesia yang tinggi dan kebiasaan masyarakat yang masih rentan terhadap umpan klik serta pesan mendesak, pola serupa dapat dengan mudah direplikasi menggunakan Bahasa Indonesia. Perluasan target ke lingkungan korporat pada Mei 2026 menunjukkan evolusi ancaman ini dari konsumen individu menuju organisasi, yang berpotensi menyebabkan kerugian lebih besar bagi perusahaan-perusahaan Indonesia yang infrastruktur email dan kesadaran keamanannya masih bervariasi. UU Pelindungan Data Pribadi mengharuskan perlindungan data pribadi, namun banyak organisasi kecil dan menengah belum menerapkan SPF, DKIM, dan DMARC secara konsisten.
REKOMENDASI MITIGASI
Pengguna harus menghindari mengklik tautan dalam email tidak diminta, menutup jendela peringatan palsu tanpa berinteraksi, dan memverifikasi melalui saluran resmi. Organisasi harus menguatkan autentikasi pengirim email dengan SPF, DKIM, dan DMARC; menerapkan gerbang keamanan email berlapis; membatasi penggunaan perangkat lunak akses jarak jauh tidak sah seperti AnyDesk, TeamViewer, RustDesk, dan UltraViewer melalui kontrol aplikasi; memantau panggilan internasional keluar di sistem PBX; serta melakukan pelatihan kesadaran keamanan secara rutin. Individu dapat memanfaatkan produk keamanan dengan kemampuan pemblokiran situs scam dan nomor telepon penipuan.
Analisa Retasan
Kampanye ini menunjukkan evolusi signifikan dalam ekosistem tech support scam yang selama ini identik dengan malvertising. Pergeseran ke saluran email dengan skala 13 juta pesan dalam 165 hari mengindikasikan industri kriminal siber telah mengoptimalkan infrastruktur spam mereka melalui botnet IoT, terutama perangkat MikroTik yang rentan. Teknik disposable hosting di Azure Blob Storage menunjukkan penyalahgunaan layanan cloud legitim semakin menjadi standar, sehingga mempersulit deteksi berbasis reputasi domain. Munculnya workplace-themed lures pada Mei 2026 adalah titik balik yang serius, karena menandakan transisi dari target konsumen individu menuju korporat dengan potensi keuntungan finansial lebih besar. Pola ini mengingatkan pada evolusi ransomware dari individu ke perburuan target besar (big-game hunting), di mana penyerang menyadari bahwa korporat memiliki asuransi dan anggaran yang lebih besar, meskipun mekanisme penyerangan di sini adalah pengendalian jarak jauh terhadap perangkat, bukan enkripsi data.
Dalam konteks Indonesia, ancaman serupa sangat relevan mengingat masih banyaknya organisasi yang mengabaikan segmentasi jaringan, tidak mengaktifkan DMARC, dan kurangnya visibilitas terhadap perangkat lunak akses jarak jauh yang dijalankan di endpoint. Jika pola umpan bertema tempat kerja ini diadopsi oleh aktor ancaman dengan target geografis Indonesia, dampaknya bisa jauh lebih parah karena rendahnya kematangan kesadaran keamanan siber di banyak sektor usaha. Pembelajaran dari Jepang harus menjadi peringatan dini: deteksi email gateway saja tidak cukup jika karyawan tidak dilatih mengenali subjek seperti tinjauan kinerja atau revisi gaji sebagai vektor potensial.
Secara taktis, konsentrasi pengiriman pada jam 09.00 hingga 21.00 JST menunjukkan penyerang memahami perilaku korban dan mengoptimalkan waktu kontak. Pendekatan serupa dengan memanfaatkan zona waktu Indonesia serta jam kerja kantor lokal dapat meningkatkan tingkat keberhasilan serangan secara dramatis. Oleh karena itu, kombinasi antara hardening teknis di perimeter email dan pelatihan berkelanjutan bagi pengguna akhir merupakan satu-satunya pertahanan yang efektif melawan model ancaman yang menggabungkan volume, personalisasi, dan penyalahgunaan infrastruktur legitim.
Sumber: Trend Micro
