Selama bertahun-tahun, kampanye phishing yang menargetkan institusi finansial dan asuransi beroperasi dengan buku panduan statis: korban dijebak untuk memasukkan nama pengguna dan kata sandi, penyerang memanen kredensial tersebut di basis data, lalu menggunakannya untuk membajak akun di kemudian hari saat ada kesempatan.

Kini, model operasional tersebut secara resmi telah usang. Investigasi intelijen ancaman terbaru mengungkap pendekatan yang jauh lebih instan dan agresif: Pembajakan pada Saat Sesi Aktif (Session-Time Compromise). Alih-alih menimbun data untuk digunakan nanti, penyerang menyinkronkan aktivitas mereka secara real-time dengan korban. Saat korban mencoba masuk ke portal asuransi yang sah, penyerang secara bersamaan melakukan otentikasi di portal asli, menjadikan seluruh proses pembajakan akun selesai hanya dalam satu sesi peramban (browsing session).

Sektor asuransi modern telah menjadi target bernilai tinggi (high-value target). Berbeda dengan perbankan yang berfokus pada transaksi finansial langsung, akun portal asuransi menyimpan data identitas pribadi (PII) yang sangat lengkap—mulai dari dokumen identitas (KTP/Paspor), rekam jejak polis, metode pembayaran, hingga riwayat klaim—yang dapat disalahgunakan untuk penipuan identitas berskala masif.

Baca Juga: Operasi Malvertising "SourTrade" Paksa Peramban Korban Rakit Malware Sendiri via Bun Runtime

1. Keracunan Iklan Mesin Pencari (Ad Poisoning via Google Ads) Penyerang meninggalkan teknik penyebaran lawas seperti email blast atau SMS phishing. Mereka kini membeli ruang iklan bersponsor di Google Ads yang muncul ketika calon korban mencari kata kunci seperti "quotation asuransi mobil", "perpanjangan polis asuransi", atau "bandingkan harga asuransi". Ketika iklan diklik, korban dialihkan ke portal tiruan yang meniru sempurna antarmuka vendor asuransi asli.
2. Infrastruktur Awan Ephemeral Untuk menghindari pendeteksian oleh sistem pemantauan merek (Brand Monitoring) konvensional, penyerang tidak lagi menyewa peladen khusus. Mereka menumpengangkan kampanye pada layanan cloud hosting sah dan gratis seperti GitHub Pages, Netlify, Hostinger, Wix, dan Lovable. Menggunakan domain acak berumur pendek, infrastruktur ini dapat dirotasi dengan sangat cepat begitu terdeteksi.

Investigasi ini mengungkap keberadaan perangkat phishing mutakhir yang belum pernah terdokumentasi sebelumnya, dijuluki InsureOTP Kit. Perangkat ini dirancang khusus untuk beroperasi sebagai platform serangan interaktif berkonsep Adversary-in-the-Middle (AitM).

Karakteristik penentu dari kampanye ini adalah pergeseran dari sekadar pencurian kredensial menuju kompromi sesi seketika. Dalam asumsi Respons Insiden (Incident Response) tradisional, selalu ada jeda waktu antara pencurian data dan eksploitasinya. Dalam serangan InsureOTP Kit, jeda waktu tersebut adalah nol.

Begitu korban menyadari ada kejanggalan pada proses login, penyerang sudah berhasil melewati otentikasi multifaktor (MFA), mengaktifkan sesi yang sah, dan mengambil alih akun. Pendekatan Digital Risk Protection (DRP) lawas yang hanya berfokus pada pemblokiran domain palsu setelah muncul secara daring (takedown) kini terbukti terlambat dan tidak memadai.

Evolusi serangan dari DRP konvensional ke kebutuhan Cyber Threat Intelligence (CTI) yang holistik membuktikan bahwa memiliki portal web yang terlihat aman di permukaan tidak menjamin ketahanan bisnis. Bagi perusahaan B2B, perbankan, dan penyedia asuransi di Indonesia, kampanye ini adalah peringatan keras terkait kelemahan otentikasi perimeter.

Analisis Taktis untuk Eksekutif (C-Level & CISO):

1. Meninggalkan MFA Berbasis SMS/OTP: Serangan InsureOTP Kit mendemonstrasikan bahwa otentikasi dua faktor berbasis SMS OTP atau aplikasi otentikator (sandi sekali pakai) dapat dipintas dengan mudah melalui teknik real-time relay. Korporasi harus segera mengadopsi standar otentikasi tahan phishing (Phishing-Resistant MFA) seperti FIDO2 / WebAuthn (Passkey) yang mengikat sesi login secara kriptografis ke domain asli.
2. Pemantauan Penyalahgunaan Merek di Ekosistem Iklan: Tim Keamanan dan Pemasaran harus bersinergi untuk melakukan pemantauan proaktif terhadap kampanye iklan berbayar (Google Ads) yang menggunakan kata kunci merek dagang perusahaan untuk menyebarkan domain lookalike.
3. Analitik Perilaku Sesi (Session Behavioral Analytics): Pusat Operasi Keamanan (SOC) harus memantau anomali pada saat sesi otentikasi terjadi—seperti ketidakcocokan alamat IP antara sesi permintaan OTP awal dan alamat IP yang pada akhirnya mengirimkan verifikasi token tersebut ke peladen.

Menghadapi sindikat penyerang yang kini beroperasi layaknya platform bisnis dengan otomatisasi real-time, pertahanan korporasi Anda tidak boleh hanya bersifat reaktif. Memahami metodologi penyerang dan menguji ketahanan perimeter sebelum serangan nyata terjadi adalah satu-satunya jaminan kelangsungan operasional.