Penyerang mengubah pengaturan DNS pada perangkat Wi-Fi di hotel dan pusat konferensi untuk mengalihkan pengguna ke halaman login Microsoft 365 palsu. Kampanye ini berlangsung sejak Juni 2026 dan mempengaruhi organisasi di berbagai sektor, termasuk jasa keuangan, layanan profesional, hukum, kesehatan, energi, dan ritel di berbagai kota di Amerika Serikat serta wilayah lain seperti India dan Arab Saudi.
APA YANG TERJADI?
ReliaQuest mengidentifikasi gateway Wi-Fi yang telah dikompromikan di beberapa kota di Amerika Serikat dan wilayah lain di dunia. Karena perangkat tersebut melayani acara korporat, pembajakan akun Microsoft 365 dapat memberikan penyerang akses ke informasi bisnis sensitif, komunikasi, dan dokumen pribadi. Peneliti mengamati traffic ke gateway yang dikompromikan dari organisasi dalam berbagai industri, mengonfirmasi bahwa ini bukan penargetan sektor-spesifik melainkan kampanye yang kemungkinan besar mengejar karyawan yang sedang bepergian ke mana pun mereka terhubung. ReliaQuest memperkirakan aktivitas ini mirip dengan kampanye router-based FrostArmada yang diatribusikan ke grup spionase Rusia APT28 alias Fancy Bear atau Forest Blizzard.
Tidak jelas bagaimana initial access ke perangkat Wi-Fi diperoleh, namun ReliaQuest menyatakan aktor ancaman dapat mengeksploitasi antarmuka manajemen yang lemah terlindungi atau kerentanan. Setelah penyerang mendapatkan akses administrator, mereka dapat memodifikasi pengaturan DNS gateway untuk mengalihkan koneksi ke domain sah ke infrastruktur yang dikendalikan penyerang. ReliaQuest menyatakan bahwa penyerang mendaftarkan setidaknya empat domain untuk menyiapkan portal login Microsoft palsu: m365-owa.com, owa-ms365.com, ms365-device.com, dan ms365-live.com.
DETAIL TEKNIS
Dengan pengaturan DNS yang diubah, pengguna yang mencoba mengakses portal login Microsoft yang sah akan mendarat pada halaman phishing milik penyerang dan memasukkan kredensial mereka. Dalam beberapa kasus, peneliti mengamati aliran otentikasi device-code di mana target dialihkan ke halaman Microsoft palsu dengan prompt. Apa yang tidak dapat dilihat pengguna adalah bahwa menyetujui prompt tersebut mengotorisasi sesi yang dimulai oleh penyerang, menyebabkan token OAuth yang sah dikeluarkan ke klien penyerang. Teknik ini mem-bypass multi-factor authentication tanpa mencuri kredensial apa pun atau menangkap access token. Dalam sekitar sepertiga kasus yang diselidiki, penyerang juga mencoba menyalahgunakan Web Proxy Auto-Discovery dengan merespons pencarian WPAD otomatis Windows dengan file PAC berbahaya yang secara teoritis dapat merutekan traffic dari aplikasi Windows melalui proxy yang dikendalikan penyerang.
ReliaQuest menekankan bahwa menggunakan public DNS server seperti Google 8.8.8.8 tidak mencegah serangan ini, karena gateway memalsukan request plain-text sebelum mencapai resolver yang dimaksud. Rekomendasi perlindungan meliputi penggunaan always-on full-tunnel VPN dan encrypted DNS dalam mode strict, menonaktifkan WPAD, meninjau log untuk aktivitas mencurigakan, dan menonaktifkan device code authentication flow di Microsoft Entra ID jika tidak diperlukan.
DAMPAK TERHADAP INDONESIA
Indonesia adalah negara dengan mobilitas bisnis yang tinggi, di mana karyawan korporat, pejabat pemerintah, dan profesional sering menggunakan Wi-Fi hotel dan bandara selama perjalanan dinas maupun konferensi. Banyak pengguna Indonesia tidak menyadari bahwa Wi-Fi publik, bahkan yang disediakan oleh hotel berbintang, dapat menjadi vector serangan yang berbahaya. Kurangnya kebijakan keamanan perjalanan di sebagian besar organisasi Indonesia berarti bahwa karyawan sering kali terhubung ke jaringan publik tanpa VPN atau verifikasi jaringan. Selain itu, dengan adopsi Microsoft 365 yang luas di kalangan korporasi dan institusi pendidikan Indonesia, pembajakan akun melalui teknik DNS hijacking dan device-code phishing dapat memberikan penyerang akses ke data bisnis rahasia, komunikasi internal, dan dokumen sensitif. Sektor pariwisata dan perhotelan Indonesia yang sedang pulih pasca-pandemi juga menjadi target menarik karena banyaknya pergerakan ekspatriat dan investor asing.
REKOMENDASI MITIGASI
Organisasi harus mewajibkan penggunaan always-on VPN full-tunnel pada semua perangkat kerja saat terhubung ke jaringan publik mana pun. Konfigurasi encrypted DNS dalam mode strict pada endpoint harus diimplementasikan untuk mencegah DNS spoofing oleh gateway berbahaya. Nonaktifkan fitur WPAD pada perangkat Windows enterprise karena fitur ini merupakan vector serangan yang dikenal. Nonaktifkan device code authentication flow di Microsoft Entra ID kecuali secara eksplisit diperlukan untuk use case tertentu. Latih karyawan untuk tidak memasukkan kredensial saat terhubung ke Wi-Fi publik tanpa VPN, dan untuk memverifikasi keaslian domain login Microsoft sebelum memasukkan informasi sensitif. Tim keamanan juga harus memonitor log autentikasi untuk aktivitas device-code yang mencurigakan dan menerapkan conditional access policy yang membatasi autentikasi berdasarkan lokasi geografis dan reputasi jaringan.
Analisa Retasan
Kampanye pembajakan Wi-Fi hotel untuk mencuri akun Microsoft 365 adalah studi kasus klasik dari serangan man-in-the-middle pada infrastruktur publik yang jarang diperhatikan. Secara teknis, modifikasi pengaturan DNS pada Wi-Fi gateway memungkinkan penyerang untuk melakukan redirection tanpa memerlukan kompromize pada endpoint korban sama sekali. Ini adalah serangan infrastructure-level di mana trust model pengguna terhadap jaringan hotel yang disediakan secara gratis dimanfaatkan sepenuhnya. Teknik device-code authentication abuse yang digunakan untuk bypass MFA adalah particularly insidious karena tidak melibatkan pencurian kredensial atau interception token dalam arti tradisional; sebaliknya, penyerang memanfaatkan mekanisme protokol OAuth itu sendiri untuk mendapatkan sesi yang sah dengan persetujuan korban yang tidak sadar.
Secara historis, serangan berbasis DNS di jaringan publik telah lama dikenal, mulai dari captive portal abuse pada awal 2010-an hingga Evil Twin access point attacks. Namun, kombinasi DNS hijacking dengan device-code MFA bypass menaikkan tingkat ancaman secara signifikan. Serangan ini mirip dengan teknik yang digunakan oleh APT28 dalam kampanye FrostArmada, yang juga menargetkan router dan gateway publik. Perbedaannya adalah bahwa kampanye 2026 tidak hanya melakukan credential harvesting melainkan session hijacking melalui abuse protokol autentikasi standar. Fakta bahwa menggunakan public resolver seperti Google DNS tidak melindungi pengguna menunjukkan bahwa serangan ini beroperasi pada layer gateway sebelum request mencapai resolver eksternal, membuat countermeasure berbasis DNS filtering menjadi tidak efektif.
Bagi Indonesia, ancaman ini sangat relevan mengingat infrastruktur Wi-Fi publik di hotel, bandara, dan pusat konferensi sering kali dikelola oleh pihak ketiga dengan praktik keamanan yang tidak transparan. Tidak ada regulasi khusus yang mengatur keamanan jaringan publik di sektor perhotelan, berbeda dengan beberapa yurisdiksi yang mewajibkan logging dan isolasi jaringan. Karyawan Indonesia yang bepergian untuk bisnis, konferensi, atau pelatihan adalah target alami karena mereka sering kali terburu-buru dan mengabaikan peringatan keamanan. Organisasi Indonesia perlu segera menerapkan kebijakan perjalanan yang ketat, termasuk mandatory VPN, device compliance check sebelum perjalanan, dan pelatihan spesifik tentang risiko jaringan publik. Tanpa kebijakan ini, serangan yang dimulai di Wi-Fi hotel luar negeri dapat berkembang menjadi compromize jaringan korporat di dalam negeri melalui credential yang dicuri selama perjalanan dinas.
Sumber: BleepingComputer
