Olympic.or.id – Bayangkan, akun kantor Anda tiba-tiba dibajak, padahal Anda tidak pernah memberikan kata sandi kepada siapa pun. Kedengarannya seperti film horor siber, bukan? Namun, Biro Investigasi Federal AS alias FBI secara resmi baru saja mengeluarkan peringatan keras yang membuat pengguna Microsoft 365 di seluruh dunia merinding. Peringatan ini berhubungan langsung dengan gelombang serangan siber mutakhir yang memanfaatkan kecerdasan buatan (AI). Lebih mengerikannya lagi, FBI menjelaskan bahwa metode serangan ini dengan sangat mudah mencuri akses akun tanpa perlu repot-repot mengetahui kata sandi korban secara langsung. Sungguh menakutkan, bukan?
Ancaman Bernama “Kali365” yang Mulai Marak
Dalam pengumuman layanan publik yang dirilis pada 21 Mei 2026, FBI secara resmi menyebut metode serangan tersebut dengan nama sandi “Kali365”. Nama ini langsung menjadi buah bibir di kalangan pakar keamanan siber. Menurut laporan FBI, serangan Kali365 pertama kali terdeteksi oleh radar mereka pada April 2026. Sejak saat itu, mode serangan ini dengan cepat menyebar dan mulai digunakan secara luas melalui platform jahat bernama Phishing-as-a-Service (PhaaS). Jadi, bayangkan saja ada toko online yang menjual perangkat serangan siap pakai, dan itulah PhaaS.
PhaaS, jika dijelaskan secara sederhana, merupakan model bisnis kriminal di mana para peretas menjual atau menyewakan infrastruktur serangan siber kepada pelaku lain yang mungkin kurang paham teknologi. Dengan kata lain, siapa pun bisa membeli “senjata” ini. FBI kemudian mengungkapkan fakta yang lebih mencemaskan: Kali365 memungkinkan pelaku kejahatan untuk dengan mudah mendapatkan token akses Microsoft 365 korban. Lebih parahnya lagi, token ini secara ajaib bisa melewati sistem autentikasi multi-faktor (MFA) yang selama ini kita anggap sebagai benteng terakhir keamanan. Proses pencuriannya pun sangat licik, karena Kali365 memanfaatkan infrastruktur autentikasi resmi milik Microsoft untuk mencuri kredensial pengguna.
Modus Operandi: Dari Email Palsu hingga Pembobolan Akun
Lantas, bagaimana sih cara kerja serangan mengerikan ini? FBI menjelaskan secara detail bahwa semuanya dimulai dari sebuah e-mail palsu (phishing) yang masuk ke inbox Anda. Para pelaku dengan cerdik menyamar sebagai layanan produktivitas cloud populer atau platform berbagi dokumen yang sangat terpercaya. Anda mungkin mengira email itu dari rekan kerja atau atasan, namun nyatanya itu adalah jebakan.
Menurut temuan FBI, platform Kali365 didistribusikan secara terbuka melalui aplikasi percakapan Telegram kepada para calon pelaku serangan siber. Namun, aksi penipuan langsung terhadap korban tetap dilakukan lewat e-mail phishing yang terlihat sangat meyakinkan. Jangan pernah anggap remeh email masuk yang tidak jelas asal-usulnya, karena di dalam email tersebut, korban akan menerima sebuah “kode perangkat” (device code) beserta instruksi manipulatif untuk membuka halaman verifikasi resmi Microsoft.
Korban kemudian diminta memasukkan kode tersebut ke halaman verifikasi milik Microsoft. Nah, karena halaman yang dibuka merupakan situs resmi Microsoft yang sah (bukan palsu), kebanyakan korban dengan santai menganggap proses tersebut aman dan sah. Mereka pun memasukkan kode tanpa curiga. Namun, disinilah tragedi dimulai. Setelah kode berhasil dimasukkan, sistem secara otomatis mengirimkan token autentikasi OAuth milik korban langsung ke server pelaku.
Dengan token ajaib tersebut, para peretas dengan mudah masuk ke akun Microsoft 365 korban melalui perangkat mereka sendiri. Proses ini sangat mulus dan menakutkan karena mereka tidak perlu mengetahui password Anda sama sekali, juga tidak perlu melewati verifikasi MFA tambahan. Sistem keamanan yang sudah kita bangun dengan susah payah menjadi tidak berguna sama sekali. FBI memperingatkan dengan tegas bahwa setelah akses berhasil diperoleh, para pelaku dengan leluasa dapat membuka berbagai layanan Microsoft 365 milik korban, seperti Outlook, Teams, hingga OneDrive. Artinya, semua data hingga dokumen penting perusahaan atau pribadi yang tersimpan di layanan Microsoft 365 berpotensi besar untuk dicuri kapan saja. Kehidupan digital Anda bisa hancur dalam hitungan menit.
Peran AI yang Mempermudah Para Peretas Pemula
Seperti disebutkan di atas, Kali365 dengan berani memanfaatkan teknologi AI untuk mempermudah setiap proses serangan. Bukan rahasia lagi bahwa AI dapat menawarkan berbagai kemudahan jahat, seperti pembuatan email phishing otomatis yang sangat personal, pembuatan template kampanye serangan yang efektif, pelacakan target secara real-time, hingga kemampuan menangkap token OAuth secara instan.
Kemunculan alat secanggih ini dinilai dapat mempermudah pelaku serangan siber yang bahkan tidak memiliki kemampuan teknis tinggi. Sekarang, siapa pun bisa menjadi peretas instan dan melancarkan aksi pencurian data hanya dengan bermodal aplikasi chatting. Kejahatan siber kini semakin demokratis, dan kita harus waspada.
Langkah Perlindungan dari FBI untuk Perusahaan dan Pengguna
Nah, untuk mengurangi risiko serangan yang semakin meluas, FBI memberikan beberapa saran penting. Untuk perusahaan, FBI sangat menyarankan agar segera menerapkan kebijakan pembatasan autentikasi perangkat. Jangan biarkan perangkat asing mengakses sistem internal. Selain itu, perusahaan wajib mengaktifkan kebijakan akses bersyarat atau conditional access policy pada layanan Microsoft 365 mereka. Dua langkah ini menjadi tameng utama saat ini.
Sementara itu, untuk pengguna umum seperti Anda dan saya, FBI mengingatkan kita semua agar lebih berhati-hati terhadap setiap email yang meminta tindakan tertentu atau menyertakan tautan aneh dan kode verifikasi. Jika ada yang meminta Anda memasukkan kode, berhentilah sejenak dan berpikirlah kritis. Pengguna juga disarankan dengan tegas untuk tidak membuka tautan dokumen yang tidak diharapkan kirimannya, serta selalu memastikan keaslian email sebelum memasukkan informasi login atau kode autentikasi. Semua informasi berharga ini telah dirangkum dari laporan resmi Forbes dan FBI. Jangan sampai Anda menjadi korban berikutnya.
Temukan juga berbagai berita terbaru lainnya hanya di Exposenews.id.
