Arctic Wolf Labs melaporkan kampanye rekayasa sosial yang memanfaatkan fitur obrolan eksternal Microsoft Teams. Dalam laporan yang terbit 26 Oktober 2026, peneliti Arctic Wolf menganalisis lebih dari 400 insiden. Penyerang mengirim pesan ke karyawan dengan nama tampilan seperti “Help Desk” atau “IT Support”, lalu membujuk korban memasang alat akses jarak jauh. Tidak ada CVE dalam kasus ini, karena serangan bertumpu pada kepercayaan, bukan pada celah perangkat lunak.
Cara kerja serangan
Penyerang membuat atau membeli tenant Microsoft 365 baru dengan nama bertema bantuan teknis. Menurut The Hacker News, sekitar 30 sampai 40 persen kasus memakai domain cadangan *.onmicrosoft.com, sementara belakangan penyerang beralih ke domain berbayar. Dari domain berbayar yang teramati, sekitar separuhnya memakai .top dan sekitar 40 persen memakai .com.
Sebelum pesan Teams datang, korban kadang dibanjiri surel konfirmasi langganan. Banjir surel itu menciptakan rasa mendesak, sehingga tawaran “bantuan” dari staf IT terlihat masuk akal. Setelah korban percaya, penyerang meminta mereka membuka sesi akses jarak jauh lewat alat resmi seperti Quick Assist, AnyDesk, ScreenConnect, atau TeamViewer. Quick Assist paling sering dipakai.
Begitu mendapat akses, pelaku melakukan pengintaian, bergerak ke server domain, mengumpulkan data Active Directory, lalu mencuri data dan menyebar ransomware. Arctic Wolf mengaitkan teknik ini dengan beberapa operasi ransomware, termasuk Black Basta, Cactus, 3AM, dan Chaos. Keterkaitan dengan Chaos merujuk pada pelaporan Sophos tentang kelompok STAC4749. Peneliti juga menemukan backdoor GoGRPC dan alat RMM bernama Level yang dipasang sebagai jalur cadangan.
Trik ini mirip dengan pembajakan sesi yang pernah kami tulis soal Microsoft 365 oleh Huntress: penyerang menyasar manusia dan identitas, bukan mesin.
Langkah yang perlu diambil
Arctic Wolf menyarankan administrator mengganti izin “semua domain eksternal” dengan daftar putih mitra tepercaya, memblokir obrolan dengan akun Teams yang tidak dikelola atau tenant uji coba, serta membatasi alat akses jarak jauh yang tidak disetujui. Permintaan akses jarak jauh sebaiknya diverifikasi lewat jalur lain, misalnya menelepon nomor help desk resmi perusahaan.
Bagi karyawan, aturannya sederhana. Anggap pesan tak terduga dari “IT” di obrolan eksternal sebagai mencurigakan, terutama setelah kotak masuk tiba-tiba penuh surel acak. Jangan pasang aplikasi atau izinkan sesi jarak jauh sebelum identitas penghubung dipastikan. Tim keamanan perlu memantau obrolan eksternal baru dan mengaitkannya dengan telemetri endpoint, identitas, dan surel.
Sumber: Arctic Wolf dan The Hacker News. Gambar: Arctic Wolf.