KALTIMPOST.ID - Penjahat siber punya cara baru untuk mencuri akun perusahaan. Kali ini, mereka memanfaatkan undangan acara palsu yang mengatasnamakan OpenAI, SpaceX, hingga Anthropic dengan iming-iming hadiah layanan kecerdasan buatan (AI) premium secara gratis.
Modus tersebut menyasar karyawan perusahaan yang tertarik mendapatkan akses gratis ke layanan teknologi populer. Korban diarahkan ke situs pendaftaran palsu yang tampilannya dibuat menyerupai halaman resmi perusahaan teknologi.
Berdasarkan laporan BleepingComputer yang dikutip Liputan6, Sabtu (7/11), peneliti keamanan siber Push Security menemukan kampanye phishing tersebut menggunakan dua platform pencurian akun, yaitu Kali365 dan VoidProxy. Keduanya dirancang untuk mengambil informasi login sekaligus mengakali perlindungan autentikasi multifaktor.
Baca Juga: Awas! 15 Ribu Situs Web Terinfeksi Malware, Incar Data Kartu Kredit Pengguna
OpenAI dan SpaceX Jadi Umpan Hadiah Gratis
Dalam temuannya, Push Security mengidentifikasi sejumlah situs yang menawarkan acara eksklusif dengan hadiah menggiurkan.
Salah satu situs mencatut nama OpenAI melalui acara bertajuk ChatGPT for Social & Digital Marketing Teams. Peserta dijanjikan langganan ChatGPT Pro gratis selama tiga bulan.
Sementara itu, situs lain menggunakan nama SpaceX untuk mempromosikan acara Starship Product Briefing yang dijadwalkan berlangsung pada 12 November 2026.
Pengunjung yang mendaftar dijanjikan akses Grok Heavy selama tiga bulan atau sebuah "saham SpaceX".
Peneliti juga menemukan situs yang meniru acara Anthropic dalam kegiatan AWS re 2026. Namun, halaman tersebut sudah tidak aktif saat diperiksa oleh tim Push Security.
Baca Juga: 5 Rekomendasi Tablet Anak 2026, Harga Mulai Rp2 Jutaan dengan Fitur Belajar Berbasis AI
Korban Diminta Login Pakai Akun Kantor
Untuk mendapatkan hadiah, calon peserta diminta melakukan pendaftaran menggunakan akun kerja Microsoft atau Google.
Halaman palsu tersebut menyediakan dua pilihan login, yakni Continue with Microsoft dan Continue with Google.
Pelaku juga memanfaatkan layanan pemendek tautan Google dan Zapier untuk mengarahkan pengunjung menuju situs berbahaya.
Sebelum sampai ke halaman pendaftaran, korban harus melewati pemeriksaan Cloudflare CAPTCHA. Langkah ini diduga digunakan untuk mempersulit sistem keamanan dalam mendeteksi situs phishing secara otomatis.
Menurut Push Security, aktivitas kampanye tersebut terdeteksi dan diblokir pada akhir Oktober 2026.
Baca Juga: Hati-hati Saat Main HP! 5 Kebiasaan Sepele Ini Bisa Bikin Data Pribadi Rentan Disadap
Dua Cara Penjahat Siber Membobol Akun
Kampanye ini menggunakan dua metode berbeda untuk mencuri akses akun Microsoft dan Google. Berikut cara kerjanya:
1. Mencuri akun Microsoft dengan kode autentikasi
Ketika korban memilih login menggunakan Microsoft, sistem Kali365 akan menghasilkan kode autentikasi perangkat.
Korban kemudian diminta menyalin kode tersebut dan memasukkannya ke halaman autentikasi Microsoft yang asli.
Jika permintaan disetujui, pelaku bisa memperoleh token autentikasi untuk mengakses akun Microsoft Entra milik korban.
Teknik ini dikenal sebagai device code phishing. Dengan metode tersebut, pelaku tidak harus meminta korban menyerahkan kata sandi secara langsung.
2. Mencuri akun Google melalui halaman login perantara
Berbeda dengan Microsoft, pilihan login Google memanfaatkan platform VoidProxy dengan teknik adversary-in-the-middle (AiTM).
Dalam metode ini, pelaku menempatkan situs berbahaya sebagai perantara antara korban dan halaman login Google.
Cara tersebut memungkinkan penyerang mencuri kata sandi, respons autentikasi multifaktor, hingga cookie sesi yang digunakan untuk mempertahankan status login.
VoidProxy juga dapat digunakan sebagai tahap lanjutan dalam serangan terhadap akun Microsoft untuk mengambil kata sandi dan cookie sesi.
Informasi yang berhasil dikumpulkan kemudian bisa dimanfaatkan untuk mengambil alih akun yang sebelumnya sudah berhasil masuk.
Push Security Ingatkan Karyawan Lebih Waspada
Push Security mengingatkan karyawan agar tidak sembarangan memasukkan kode autentikasi perangkat Microsoft ke situs yang tidak dikenal.
Undangan acara yang menawarkan hadiah menarik juga perlu diperiksa terlebih dahulu, terutama jika pendaftarannya meminta akses menggunakan akun perusahaan.
Selain itu, perusahaan disarankan membatasi penggunaan autentikasi kode perangkat apabila fitur tersebut tidak dibutuhkan dalam aktivitas kerja.
Peneliti juga merekomendasikan penggunaan metode autentikasi multifaktor yang lebih tahan terhadap phishing, seperti kunci keamanan FIDO2.
Dengan begitu, karyawan dan perusahaan dapat mengurangi risiko pencurian kredensial serta pengambilalihan akun melalui undangan acara palsu.***
Editor : Dwi Puspitarini