Biro Investigasi Federal Amerika Serikat (FBI) menerbitkan peringatan baru bagi pengguna Microsoft 365. Peringatan ini terkait serangan siber berbasis kecerdasan buatan (AI) jenis baru.

Kelebihan serangan ini terletak pada kemampuannya membajak akses akun secara langsung. Pelaku dapat menguasai akun korban tanpa harus mengetahui kata sandi.

>>> Kompascom Luncurkan Fitur Apresiasi Spesial untuk Dukungan Finansial Pembaca

Metode Serangan Kali365

FBI menyebut metode peretasan ini dengan nama "Kali365". Ancaman tersebut patut diwaspadai oleh sektor korporasi maupun individu.

Kali365 terdeteksi pertama kali pada April 2026. Saat ini peredarannya meluas secara cepat lewat model bisnis Phishing-as-a-Service (PhaaS).

Sistem PhaaS bekerja dengan menyewakan atau menjual infrastruktur alat peretasan kepada pelaku lain. Platform Kali365 disebarkan melalui aplikasi pesan instan Telegram.

Melalui Kali365, peretas dapat menggasak token akses Microsoft 365 milik pengguna. Metode ini bahkan sanggup menembus pertahanan autentikasi multi-faktor (MFA).

Modus Operandi Pencurian Token OAuth

Operasi kriminal ini memanfaatkan infrastruktur autentikasi resmi Microsoft untuk menjebak korban. Langkah awal serangan dipicu melalui pengiriman email phishing.

Email phishing dirancang agar terlihat seperti layanan produktivitas cloud atau platform berbagi dokumen tepercaya. Di dalam pesan tersebut, korban diberikan sebuah kode perangkat (device code).

Pelaku kemudian menginstruksikan korban untuk mengakses halaman verifikasi resmi Microsoft dan memasukkan kode tersebut. Karena tautan mengarah ke situs resmi, korban biasanya tidak curiga.

>>> Kemenkum Kaji Pembentukan LMK Khusus untuk Pungut Royalti dari Perusahaan AI

Sesaat setelah kode dimasukkan, token autentikasi OAuth milik korban otomatis berpindah ke peretas. Token ini menjadi kunci bagi pelaku untuk menyusup ke akun target.

Dengan token OAuth, pembajak bisa masuk ke akun Microsoft 365 melalui perangkat mereka sendiri. Mereka tidak lagi membutuhkan password atau verifikasi MFA sekunder.