Karyawan perusahaan yang sering bepergian perlu meningkatkan kewaspadaan saat menggunakan jaringan Wi-Fi publik di hotel dan pusat konferensi. Sejak Juni lalu, pelaku ancaman telah berhasil mengompromikan perangkat gateway Wi-Fi captive portal di berbagai lokasi tersebut untuk membajak akun Microsoft 365 pengguna tanpa menyentuh perangkat korban sama sekali.
Menurut tim peneliti ReliaQuest, metode serangan ini memanfaatkan kerentanan pada tingkat jaringan. Pelaku cukup menguasai kredensial admin gateway untuk melakukan DNS poisoning. Dengan demikian, semua permintaan DNS dari perangkat pengguna dialihkan ke infrastruktur milik penyerang, sehingga kredensial Microsoft 365 dapat dicuri secara diam-diam.
Serangan ini mengeksploitasi kepercayaan fundamental perangkat terhadap sistem DNS. Gateway yang telah dikompromikan mampu memberikan alamat IP palsu untuk domain seperti login.microsoftonline.com. Empat domain palsu yang teridentifikasi antara lain m365-owa.com, owa-ms365.com, ms365-device.com, dan ms365-live.com. Kompromi telah ditemukan di beberapa kota di Amerika Serikat, India, dan Arab Saudi, menyasar pengguna dari berbagai sektor termasuk jasa profesional, keuangan, hukum, ritel, kesehatan, dan energi.
Metode ini sangat berbahaya karena beroperasi di bawah asumsi kepercayaan yang biasanya diterapkan pengguna dan perangkat. Tidak ada phishing atau lampiran berbahaya yang dikirim, sehingga deteksi di tingkat endpoint menjadi sangat sulit. Pencegahan di tingkat jaringan menjadi jauh lebih penting daripada upaya deteksi setelah kejadian.
Dalam konteks tren kerja hybrid yang semakin meluas pasca pandemi, karyawan semakin sering mengandalkan jaringan Wi-Fi publik saat bepergian. Hal ini memperluas permukaan serangan bagi organisasi yang belum menerapkan kontrol ketat terhadap koneksi di luar jaringan kantor. Selain itu, serangan gateway-level ini menegaskan bahwa ancaman siber kini tidak lagi terbatas pada perangkat pengguna, melainkan telah bergeser ke infrastruktur jaringan yang dianggap aman.
Penggunaan DNS aman seperti Google atau Cloudflare tidak cukup melindungi, karena lalu lintas DNS tetap melewati gateway yang dikompromikan sebelum mencapai resolver tepercaya. Demikian pula, DNSSEC hanya memberikan autentikasi parsial dan tidak mampu mencegah intersepsi atau pengalihan permintaan. Solusi yang direkomendasikan adalah penerapan full-tunnel VPN yang wajib diaktifkan pada seluruh perangkat korporat sebelum akses internet diizinkan.
Organisasi juga disarankan menerapkan conditional access di Entra ID untuk memblokir alur autentikasi device-code yang jarang diperlukan. Langkah tambahan meliputi pembatasan pengambilan file PAC hanya ke host internal yang disetujui, menonaktifkan WPAD otomatis melalui Group Policy, serta mengaktifkan DNS terenkripsi seperti DoH atau DoT dalam mode ketat. Pelatihan karyawan untuk memverifikasi URL dan sertifikat halaman login juga tetap relevan.
Pencegahan melalui arsitektur zero-trust dan enkripsi lalu lintas end-to-end terbukti lebih efektif daripada mengandalkan deteksi pasca-insiden. Dengan demikian, perusahaan perlu mengevaluasi ulang kebijakan akses jaringan bagi karyawan yang bekerja secara mobile.
