Trend Micro membongkar teknik Device Code Phishing yang menyalahgunakan OAuth 2.0 device authorization grant, sebuah fitur legitim yang dirancang untuk perangkat dengan kemampuan input terbatas, untuk membypass MFA dan mengambil alih akun Microsoft 365 korban.
APA YANG TERJADI?
Serangan dimulai ketika penyerang meminta kode device-code dari Microsoft Authentication Broker. Kode tersebut kemudian disampaikan kepada korban melalui email spear-phishing yang tampak seperti percakapan bisnis normal, sering kali menyamar sebagai mitra dari firma hukum. Korban dibawa ke halaman Google Sites yang tepercaya, lalu dialihkan melalui open redirect di situs yang telah dikompromikan, dan akhirnya tiba di halaman lure yang menampilkan kode verifikasi palsu. Korban diminta memasukkan kode tersebut ke microsoft.com/devicelogin, yang merupakan halaman autentikasi Microsoft yang asli dan sepenuhnya legitim. Karena korban melakukan sign-in pada domain Microsoft yang sebenarnya, MFA pun terverifikasi secara legitim, namun session token diterbitkan untuk server penyerang, bukan untuk perangkat korban.
DETAIL TEKNIS
Teknik ini merupakan evolusi dari adversary-in-the-middle (AiTM) phishing. Perbedaan utamanya adalah tidak ada situs login palsu yang perlu dibangun atau dihosting. Korban berinteraksi langsung dengan infrastruktur Microsoft yang asli. Setelah approval, penyerang menerima refresh token yang durable, kemudian mendaftarkan perangkat rogue, mengakses mailbox Microsoft 365 Outlook, dan membuat inbox rules tersembunyi untuk menyembunyikan aktivitas serta mengirimkan gelombang phishing berikutnya ke ratusan penerima eksternal. Indikator deteksi meliputi: device-code sign-in yang seharusnya jarang terjadi, registrasi perangkat baru dalam jumlah banyak dari IP tidak dikenal, perubahan mailbox rule yang mencurigakan, dan sign-in dari lokasi yang tidak biasa. Trend Micro memberikan query XDR Data Explorer untuk mendeteksi event autentikasi dengan protocol deviceCode dan registrasi perangkat baru melalui Device Registration Service.
DAMPAK TERHADAP INDONESIA
Adopsi Microsoft 365 dan layanan cloud enterprise di Indonesia terus meningkat, termasuk di sektor pemerintahan, BUMN, dan korporat. Namun, banyak organisasi masih mengandalkan MFA berbasis SMS atau push notification yang dapat di-bypass dengan teknik semacam ini. Kesadaran tentang social engineering yang menggunakan kode verifikasi masih rendah, terutama di lingkungan di mana permintaan verifikasi dari IT support atau mitra bisnis sering kali tidak dipertanyakan. UU PDP mengamanatkan perlindungan data pribadi, namun kelemahan teknis pada layer identitas sering kali menjadi celah yang tidak terdeteksi oleh audit kepatuhan konvensional. Penyerang yang menargetkan korporat Indonesia dapat dengan mudah meniru gaya komunikasi bisnis lokal untuk membuat lure lebih meyakinkan.
REKOMENDASI MITIGASI
Organisasi harus memblokir OAuth device-code authentication flow melalui Conditional Access policy di mana tidak secara eksplisit dibutuhkan. Terapkan phishing-resistant MFA seperti FIDO2 atau certificate-based authentication. Batasi registrasi perangkat hanya untuk perangkat managed dan compliant, serta turunkan limit perangkat per pengguna. Pantau event Microsoft Entra ID untuk device-code sign-in yang berhasil dan registrasi perangkat baru yang dikorelasikan dengan lokasi yang tidak biasa. Edukasi pengguna untuk tidak memasukkan kode verifikasi dari sumber tidak diminta, bahkan jika halaman yang dituju adalah microsoft.com. Implementasikan Continuous Access Evaluation (CAE) dan token protection untuk mencabut sesi secara otomatis ketika risiko meningkat.
Analisa Retasan
Device Code Phishing adalah serangan yang elegan karena mengeksploitasi kepercayaan inheren yang dimiliki pengguna terhadap domain Microsoft yang asli. Tidak seperti phishing tradisional di mana ada visual cue yang salah pada halaman login palsu, serangan ini tidak memiliki indikator visual negatif sama sekali bagi korban. Korban melihat microsoft.com/devicelogin, memasukkan kode yang diberikan, melakukan sign-in dengan MFA, dan semuanya tampak normal. Ini adalah serangan pada layer trust assumption: device yang meminta kode dan orang yang menyetujuinya diasumsikan berada di lokasi yang sama, namun penyerang memisahkan kedua entitas tersebut. Teknik ini juga mengingatkan pada QR code phishing pada aplikasi perbankan mobile, di mana kode legitim disalahgunakan untuk otorisasi transaksi berbahaya. Dalam konteks enterprise, serangan ini sangat berbahaya karena refresh token yang diperoleh memberikan durable access yang dapat digunakan untuk registrasi perangkat, pembuatan inbox rules, dan lateral movement melalui email compromise.
Dari perspektif teknis, serangan ini menghindari deteksi endpoint tradisional karena tidak ada malware yang dieksekusi di mesin korban. Semua aktivitas berada di layer identitas cloud, yang sering kali kurang dipantau oleh SOC yang masih fokus pada indikator kompromi endpoint. Inbox rules yang dibuat untuk memindahkan email ke folder tersembunyi atau menandai email sebagai read adalah teknik anti-forensik yang efektif untuk menghindari deteksi oleh korban. Korelasi antara device-code sign-in dan registrasi perangkat baru dari IP asing harus menjadi detection logic prioritas di setiap SIEM yang terintegrasi dengan Microsoft Entra ID. Trend Micro telah menyediakan query XDR yang tepat untuk ini, dan defender Indonesia harus mengadaptasikannya ke platform SIEM/SOAR yang mereka gunakan.
Implikasi untuk Indonesia sangat konkret: dengan migrasi besar-besaran ke cloud dan Microsoft 365, attack surface telah bergeser dari jaringan on-premise ke layer identitas. Banyak organisasi Indonesia yang baru-baru ini mengadopsi cloud masih membawa mindset defensif yang berorientasi pada perimeter network, sementara perimeter baru berada di identitas pengguna. Tanpa visibility ke sign-in logs, device registration events, dan mailbox rule changes, organisasi secara efektif beroperasi dalam kegelapan terhadap teknik semacam ini. Serangan ini juga menunjukkan bahwa MFA saja tidak cukup; MFA harus dikombinasikan dengan device compliance, location-based policies, dan behavioral analytics untuk memberikan perlindungan yang berarti. Jika tidak, kita akan terus melihat kasus business email compromise (BEC) dengan skala kerugian yang meningkat di Indonesia.
Sumber: Trend Micro
