Microsoft Entra ID Dieksploitasi Penipu untuk Sebar Email Phishing

Modus penipuan siber baru memanfaatkan infrastruktur terpercaya kini mengancam para pengguna internet. Dilansir dari Detik iNET, pelaku kejahatan siber dilaporkan berhasil menyalahgunakan alamat email resmi milik Microsoft untuk menyebarkan tautan phishing berbahaya.

Sejumlah laporan di media sosial menunjukkan bahwa korban menerima pesan dari alamat [email protected]. Alamat tersebut sebenarnya merupakan jalur resmi yang biasa dipakai untuk mengirimkan notifikasi penting seperti kode autentikasi dua faktor (2FA).

Surat elektronik palsu ini sekilas sangat meyakinkan karena menggunakan format template standar Microsoft. Kendati demikian, kejanggalan terlihat pada bagian subjek yang mempromosikan situs pihak ketiga atau membahas mengenai Bitcoin.

Subjek pesan juga kerap kali menyematkan nomor telepon ataupun tautan yang sama sekali tidak berkaitan dengan Microsoft. Keberhasilan email palsu ini menembus kotak masuk terjadi karena sistem penyaring spam gagal mendeteksi ancaman dari alamat resmi tersebut.

Meskipun baru ramai dibicarakan di media sosial, celah keamanan ini disinyalir telah dimanfaatkan sejak beberapa bulan lalu. Laporan perusahaan keamanan siber Abnormal pada Januari 2026 mengungkapkan bahwa penipu memanipulasi sistem notifikasi untuk mengelabui target.

Penyalahgunaan ini berawal dari pembuatan akun Microsoft 365 sekali pakai oleh para pelaku kejahatan siber. Mereka kemudian memanfaatkan celah pada konfigurasi Tenant Branding di dalam Microsoft Entra ID.

"Serangan dimulai dengan pelaku kejahatan membuat akun Micrsooft 365 sekali pakai," tulis Abnormal dalam laporannya, seperti dikutip dari Mashable, Jumat (22/5/2026).

"Eksploitasi intinya terletak pada konfigurasi Tenant Branding di dalam Microsoft Entra ID. Penipu mengarah ke Tenant Properties dan memodifikasi kolom 'Nama' untuk memuat pesan peringatan keuangan palsu," sambungnya.

Setelah mengubah kolom nama dengan pesan penipuan, pelaku meminta Microsoft menambahkan alamat email target ke akun mereka. Proses ini memicu sistem Microsoft untuk mengirimkan email kode verifikasi secara otomatis ke korban.

Sistem otomatis Microsoft kemudian menyertakan nama akun penipu yang telah diubah menjadi pesan palsu di dalam baris subjek. Melalui metode tersebut, pesan penipuan tersampaikan langsung melalui sistem pengiriman resmi.

Melihat taktik penjahat siber yang semakin manipulatif, masyarakat diimbau untuk meningkatkan kewaspadaan. Pengguna internet diharapkan tetap memeriksa isi pesan secara teliti walaupun pengirimnya terlihat sebagai institusi yang valid.