Kampanye phishing yang menargetkan pemain Call of Duty Mobile telah ditemukan menawarkan poin permainan gratis palsu untuk mencuri kredensial login dan mem-bypass two-factor authentication. Serangan ini menggunakan real-time credential relay untuk menangkap kode 2FA sebelum kedaluwarsa, memberikan penyerang akses penuh ke akun korban.
APA YANG TERJADI?
Malwarebytes melaporkan kampanye phishing yang menyasar pemain Call of Duty Mobile, sebuah game yang telah diunduh sekitar 489 juta kali di seluruh dunia dan menghasilkan sekitar 1,8 miliar dolar dalam pembelian dalam aplikasi sepanjang masa. Penipuan ini meniru situs resmi Call of Duty Mobile dan menawarkan 10.800 poin gratis sebagai iming-iming. Korban diminta untuk login dengan alamat email dan kata sandi mereka untuk mengklaim poin tersebut, lalu dialihkan ke halaman kedua yang meminta kode two-factor authentication mereka.
Situs tersebut tidak memiliki koneksi ke Activision sama sekali. Tujuan utamanya adalah mencuri detail login yang diperlukan untuk mengambil alih akun. Akun Activision yang dicuri bernilai lebih dari sekadar mata uang dalam game. Banyak pemain menghubungkan akun Activision mereka ke Xbox, PlayStation, atau Battle.net, yang berarti login yang dicuri dapat memperlihatkan metode pembayaran tersimpan, riwayat pembelian, dan akun gaming lain yang terhubung.
DETAIL TEKNIS
Serangan ini menggunakan teknik yang dikenal sebagai real-time credential relay. Alih-alih menyimpan username dan kata sandi yang dicuri untuk digunakan nanti, situs phishing langsung mengirimkan kredensial ke halaman login Activision yang asli. Tindakan ini dapat memicu kode 2FA yang sah, yang kemudian halaman kedua penipuan dirancang untuk menangkap sebelum kedaluwarsa. Korban pada akhirnya menyerahkan segala sesuatu yang diperlukan untuk mengakses akun mereka yang sebenarnya: kata sandi dan kode sekali pakai yang seharusnya menjaga penyerang tetap terlarang. Terdapat tanda-tanda peringatan pada halaman palsu, termasuk penggunaan frasa “GET FREE POINT” alih-alih “GET FREE POINTS,” instruksi dengan pilihan kata yang canggung, dan widget live chat yang tampaknya hanya ada untuk membuat situs terlihat lebih meyakinkan.
DAMPAK TERHADAP INDONESIA
Indonesia merupakan salah satu pasar game mobile terbesar di Asia Tenggara dengan jutaan pemain aktif Call of Duty Mobile. Literasi keamanan siber di kalangan gamer, terutama generasi muda, masih rendah, menjadikan mereka target yang sangat rentan bagi kampanye phishing semacam ini. Banyak pemain Indonesia menghubungkan akun game mereka ke dompet digital lokal seperti GoPay, OVO, atau DANA untuk pembelian dalam aplikasi, sehingga pencurian akun game dapat berujung pada pencurian metode pembayaran dan keuangan. Selain itu, akun game yang dicuri sering kali dijual kembali di pasar gelap dengan harga yang menggiurkan, menciptakan ekosonomi cybercrime lokal yang memperburuk masalah. Platform media sosial dan grup komunitas game di Indonesia sering kali menjadi vector penyebaran link phishing palsu semacam ini.
REKOMENDASI MITIGASI
Pemain harus selalu memeriksa address bar sebelum memasukkan kredensial. Promosi resmi tidak meminta pengguna untuk login melalui situs yang tidak familiar. Jangan biarkan timer hitung mundur memaksa Anda bertindak sebelum berpikir. Jika ragu, buka aplikasi Call of Duty Mobile resmi atau kunjungi situs Activision secara langsung alih-alih mengikuti link dari mana pun. Gunakan tools seperti browser guard dan scam detector untuk memblokir situs phishing sebelum dimuat. Jika sudah memasukkan detail, segera ubah password Activision, periksa aktivitas akun, sign out dari semua perangkat, dan tinjau metode pembayaran yang terhubung untuk pembelian tidak sah. Penggunaan authenticator app alih-alih SMS 2FA juga meningkatkan ketahanan terhadap relay attack semacam ini.
Analisa Retasan
Teknik real-time credential relay yang digunakan dalam kampanye Call of Duty Mobile merepresentasikan evolusi phishing dari static credential harvesting ke dynamic session hijacking. Secara teknis, relay attack ini bekerja dengan memanfaatkan latency rendah antara submission form phishing dan otentikasi backend yang sah. Ketika korban memasukkan username dan password pada halaman palsu, backend penyerang segera mengirimkan kredensial tersebut ke endpoint login resmi Activision menggunakan automated browser atau API request. Server autentikasi Activision, yang tidak dapat membedakan antara request yang datang dari browser korban asli versus browser yang dikontrol penyerang, mengirimkan kode 2FA ke perangkat korban. Halaman kedua phishing kemudian menangkap kode tersebut dan menyerahkannya ke session penyerang, menghasilkan token sesi yang valid untuk penyerang. Serangan ini secara efektif menneutralisikan 2FA dengan memanfaatkan arsitektur man-in-the-middle real-time.
Pola ini sangat mirip dengan teknik yang digunakan oleh Evilginx dan Modlishka dalam phishing framework yang lebih canggih, meskipun implementasi pada scam Call of Duty ini tampaknya lebih sederhana namun tetap efektif. Perbedaannya adalah bahwa Evilginx menggunakan reverse proxy untuk meniru seluruh situs target, sedangkan relay attack ini hanya menangkap kredensial dan meneruskannya secara real-time. Keberhasilan teknik ini menunjukkan bahwa 2FA berbasis SMS dan OTP tetap rentan terhadap interception selama periode validitas token, yang umumnya berkisar 30-60 detik. Serangan ini menggarisbawahi bahwa 2FA bukan silver bullet dan harus dipasangkan dengan additional verification seperti device fingerprinting dan behavioral analytics.
Bagi lanskap siber Indonesia, scam game mobile adalah ancaman yang sering diabaikan karena dianggap kurang serius dibandingkan ransomware atau APT. Namun, skala ekonomi dari 489 juta unduhan Call of Duty Mobile secara global berarti bahwa bahkan tingkat konversi phishing yang sangat kecil menghasilkan puluhan ribu korban. Keterbatasan regulasi yang secara spesifik melindungi konsumen digital Indonesia dari penipuan online membuat pemulihan kerugian sangat sulit. Kementerian Kominfo dan BSSN perlu meningkatkan kolaborasi dengan platform game dan penyedia dompet digital untuk membuat mekanisme reporting scam yang terintegrasi dan responsif. Tanpa infrastruktur reporting yang efektif, scam game akan terus berkembang sebagai low-risk, high-reward activity bagi kriminal siber lokal.
Sumber: Malwarebytes
