Microsoft Threat Intelligence merilis laporan komprehensif mengenai lanskap ancaman email pada kuartal kedua 2026, yang mencakup April hingga Juni. Laporan ini menunjukkan dampak yang signifikan dari operasi penghentian Tycoon2FA oleh Digital Crimes Unit Microsoft, penurunan phishing berbasis QR code dan CAPTCHA, serta peningkatan dramatis pada ancaman social engineering melalui Microsoft Teams dan voice phishing (vishing).
APA YANG TERJADI?
Microsoft mendeteksi sekitar 7,6 miliar ancaman phishing berbasis email sepanjang kuartal kedua 2026, dengan volume bulanan menurun secara perlahan dari 2,7 miliar pada April menjadi 2,4 miliar pada Juni. Penurunan ini sebagian besar didorong oleh dampak disruption operation terhadap platform phishing-as-a-service (PhaaS) Tycoon2FA pada Maret. Volume phishing yang terkait dengan Tycoon2FA turun 92 persen dari rata-rata pra-disruption. QR code phishing juga mengalami penurunan tiga bulan berturut-turut setelah mencapai puncak 18,7 juta serangan pada Maret. CAPTCHA-gated phishing turun lebih dari 81 persen sejak puncak Maret. Namun, di sisi lain, ancaman berbasis Microsoft Teams menunjukkan pertumbuhan yang mengkhawatirkan, dengan percobaan panggilan malicious (vishing) meningkat hingga hampir sepuluh kali lipat dari baseline pertengahan 2025.
DETAIL TEKNIS
Disruption terhadap Tycoon2FA memaksa platform tersebut keluar dari Cloudflare dan bergantung pada infrastruktur .RU TLD, namun tidak berhasil memulihkan skala operasional sebelumnya. QR code phishing yang sebelumnya didominasi oleh PDF attachment kini bergeser ke DOC/DOCX, mencapai 40 persen pada Juni. CAPTCHA-gated phishing juga mengalami rotasi metode delivery yang cepat: PDF attachment yang mendominasi April dengan 63 persen jatuh ke 22 persen pada Juni, sementara email-embedded URL kembali menjadi metode utama pada Juni dengan 30 persen. Credential phishing tetap mendominasi payload landscape dengan 94-96 persen setiap bulan. Pada kuartal ini juga terjadi lonjakan anomali pada Business Email Compromise (BEC) pada April yang mencapai 9 juta serangan, naik 121 persen dari Maret, namun spike tersebut bersifat sementara. Microsoft Teams threats menunjukkan peningkatan 80 persen pada vishing attempts sejak awal 2026, dengan waktu puncak aktivitas antara 14:00 hingga 20:00 UTC pada hari kerja.
DAMPAK TERHADAP INDONESIA
Indonesia merupakan pasar besar bagi Microsoft 365 dan Teams, dengan jutaan pengguna korporat dan pemerintah yang bergantung pada platform tersebut untuk komunikasi harian. Pertumbuhan Teams-based social engineering sangat relevan karena pengguna di Indonesia cenderung mempercayai notifikasi dan panggilan yang datang dari platform internal perusahaan. Budaya kerja yang mengandalkan WhatsApp dan email tanpa verifikasi tambahan menjadi celah yang bisa dieksploitasi oleh aktor ancaman melalui Teams impersonation. Lonjakan ICS file (calendar invitations) sebesar 277 persen pada Juni juga berbahaya karena undangan kalender diproses secara berbeda dari lampiran email standar dan bisa menyuntikkan link berbahaya ke kalender pengguna tanpa memerlukan klik eksplisit. Banyak organisasi Indonesia yang belum mengaktifkan Safe Links, Safe Attachments, atau Zero-hour auto purge pada Defender for Office 365, meninggalkan gap defensive yang signifikan.
REKOMENDASI MITIGASI
Organisasi harus mengaktifkan Safe Links dan Safe Attachments pada Microsoft Defender for Office 365 untuk memblokir akses ke URL berbahaya dan memindai lampiran secara real-time. Zero-hour auto purge (ZAP) harus diaktifkan untuk mengarantina email berbahaya yang sudah terkirim berdasarkan intelijen ancaman yang diperbarui. Program security awareness harus diperluas untuk mencakup simulasi phishing berbasis Teams dan vishing, bukan hanya email tradisional. Conditional access policies dengan phishing-resistant MFA seperti FIDO keys atau Windows Hello harus diterapkan pada akun yang memiliki privilege tinggi. Network protection pada Microsoft Defender for Endpoint juga harus diaktifkan untuk memblokir koneksi ke domain phishing yang dikenal. Tim SOC harus memantau anomali pada calendar invitations yang tidak diharapkan dan memeriksa attachment ICS sebelum diproses oleh sistem.
Analisa Retasan
Disruption operation terhadap Tycoon2FA menunjukkan bahwa intervensi resmi terhadap infrastruktur PhaaS bisa menghasilkan dampak yang terukur dan signifikan. Penurunan 92 persen volume phishing yang terkait dengan platform tersebut membuktikan bahwa takedown bukan sekadar simbolik, tetapi bisa mengubah dinamika ekosistem ancaman dalam skala besar. Namun, penting untuk menyadari bahwa tidak ada platform pengganti yang muncul dalam skala sebanding, yang mengindikasikan bahwa pasar PhaaS tidak serta-merta berpindah ke alternatif ketika disruption dilakukan dengan tepat. Hal ini sejalan dengan pengalaman takedown terhadap Emotet dan beberapa botnet besar lainnya, di mana periode recovery sering kali lebih lambat dari yang diperkirakan karena customer base tidak secara otomatis bermigrasi ke platform baru.
Perubahan metode delivery pada QR code dan CAPTCHA-gated phishing menunjukkan adaptasi cepat dari aktor ancaman. Rotasi dari PDF ke DOC/DOCX dan kembali ke URL embedded mengkonfirmasi bahwa penyerang terus melakukan A/B testing untuk menemukan format yang paling efektif dalam menghindari deteksi. Lonjakan ICS calendar invitations sebesar 277 persen adalah temuan yang sangat menarik karena memanfaatkan trust model yang berbeda: undangan kalender diproses secara otomatis oleh aplikasi calendar tanpa memerlukan interaksi pengguna yang eksplisit. Hal ini menciptakan vector serangan yang hampir zero-click, mirip dengan teknik yang pernah digunakan pada iCalendar (.ics) exploits pada masa lalu, namun kini diadaptasi untuk ekosistem Microsoft 365 modern.
Bagi Indonesia, pertumbuhan Teams-based threats memerlukan perhatian khusus karena platform ini menjadi backbone komunikasi korporat. Pengguna di Indonesia sering kali kurang waspada terhadap panggilan atau chat yang tampak berasal dari rekan kerja atau departemen IT. Vishing yang meningkat sepuluh kali lipat menunjukkan bahwa aktor ancaman telah mengenali bahwa platform komunikasi internal menawarkan tingkat kepercayaan yang lebih tinggi daripada email eksternal. Penerapan automatic attack disruption pada Microsoft Defender XDR menjadi sangat relevan untuk containment serangan secara real-time, terutama bagi organisasi yang belum memiliki tim SOC 24/7. Tanpa mitigasi yang proaktif, pergeseran ancaman dari email ke Teams akan terus mengkompromisi organisasi yang mengandalkan platform tersebut tanpa lapisan perlindungan tambahan.
Sumber: Microsoft Threat Intelligence
