Lanskap keamanan surel (email) korporasi tengah menghadapi evolusi ancaman yang signifikan. Kampanye serangan siber terbaru yang dikenal sebagai EvilTokens secara aktif mengeksploitasi titik buta (blind spot) pada gerbang keamanan email tradisional.

Menggunakan taktik mutakhir yang dijuluki "Ghost Phishing" (Phishing Hantu), halaman berbahaya disembunyikan sepenuhnya dari pemindai jaringan dan baru akan "hidup" serta mendekripsi dirinya sendiri ketika dibuka di dalam peramban (browser) korban. Bagi jajaran eksekutif keamanan (CISO), risikonya sangat nyata: pemeriksaan URL statis akan meloloskan serangan ini, menempatkan akses Microsoft 365, data sensitif, dan waktu respons insiden organisasi dalam bahaya kritis.

Kampanye EvilTokens tidak mencoba mencuri kata sandi pengguna secara langsung (seperti phishing konvensional). Alih-alih, mereka mengeksploitasi alur otentikasi sah melalui Microsoft Device Code Phishing. Korban dimanipulasi untuk menyelesaikan alur login asli Microsoft, yang secara tanpa sadar memberikan otorisasi akses penuh ke akun mereka kepada aktor ancaman.

Mengapa Serangan Ini Lolos dari Deteksi? Muatan phishing yang sebenarnya tetap tersembunyi selama proses inspeksi jaringan. Kode HTML serangan dienkripsi menggunakan algoritma AES-GCM. Pemindai tautan statis (Static URL Checks) dan kontrol jaringan hanya akan melihat paket data acak yang tampak tidak berbahaya. Halaman phising tersebut baru mendekripsi dirinya sendiri dan merender konten visualnya di dalam Document Object Model (DOM) ketika dieksekusi oleh peramban lokal milik karyawan.

Dampak Kesenjangan Visibilitas:

• Peningkatan jendela paparan (Exposure Window) untuk Pembajakan Akun Microsoft 365.
• Akses ilegal ke email korporat, fail rahasia, dan layanan komputasi awan.
• Peningkatan beban kerja dan biaya operasional bagi analis Pusat Operasi Keamanan (SOC) akibat peringatan yang tidak konklusif.

Berdasarkan data intelijen ancaman dari analisis kotak pasir (sandbox) di lebih dari 15.000 organisasi, aktivitas EvilTokens terpusat di wilayah AS dan Eropa, namun vektor serangannya bersifat agnostik secara geografis dan dapat menargetkan organisasi mana pun yang mengandalkan infrastruktur Microsoft 365.

Kerentanan paparan (Phishing Exposure) tertinggi pada tahun 2026 tercatat pada sektor-sektor strategis berikut:

Satu akun Microsoft 365 yang terkompromi sudah cukup untuk memicu Business Email Compromise (BEC) berskala besar, menyebabkan penipuan finansial, dan memicu biaya respons insiden yang masif.

Untuk mendeteksi Ghost Phishing, tim SOC harus mengubah paradigma investigasi mereka. Pemeriksaan di tingkat jaringan tidak lagi memadai; analis harus melihat data di tingkat peramban (In-Browser Data Inspection).

Langkah-langkah investigasi tingkat lanjut meliputi:

1. Analisis DOM Dinamis: Memantau cuplikan DOM untuk melihat perubahan halaman sesaat setelah dekripsi AES-GCM selesai dan kode pengguna muncul.
2. Pemantauan Permintaan HTTP (Fetch/XHR): Mengungkap komunikasi backend di balik alur kode perangkat, khususnya melacak titik akhir (endpoint) kritis seperti /api/device/start.
3. Otomatisasi Laporan (Tier 1 ke Tier 2): Menyediakan bukti tingkat peramban yang komprehensif bagi analis senior untuk mempercepat proses penahanan (containment) insiden.

Dalam lanskap operasional pemerintahan, BUMN, dan korporasi skala besar, adopsi Microsoft 365 merupakan tulang punggung kolaborasi produktivitas. Kampanye EvilTokens mengekspos kelemahan fundamental dalam postur keamanan perusahaan yang masih bergantung pada solusi Secure Email Gateway (SEG) lawas tanpa kapabilitas inspeksi klien (peramban).

Analisis Taktis untuk Ketahanan Infrastruktur Bisnis:

1. Validasi Otentikasi FIDO2: Mengandalkan MFA berbasis aplikasi (seperti Microsoft Authenticator) atau SMS tidak lagi efektif melawan Device Code Phishing atau skema Adversary-in-the-Middle (AitM). Korporasi wajib menggeser mekanisme otentikasi eksekutif dan admin TI ke kunci keamanan berbasis perangkat keras (FIDO2/WebAuthn).
2. Integrasi EDR dengan Telemetri Peramban: Pusat Operasi Keamanan (SOC) harus memiliki visibilitas langsung ke dalam aktivitas peramban karyawan. Integrasi perlindungan endpoint (EDR) yang memonitor eksekusi script dekripsi mencurigakan di dalam memori peramban adalah satu-satunya cara menghentikan Ghost Phishing secara real-time.
3. Auditor Otorisasi (OAuth Consent): Secara berkala lakukan audit dan pencabutan hak akses (revocation) untuk aplikasi OAuth pihak ketiga yang terhubung ke tenant Microsoft 365 perusahaan, guna memastikan peretas tidak meninggalkan "pintu belakang" yang persisten.

Menghadapi teknik serangan phishing yang tidak lagi meninggalkan jejak di perimeter jaringan, postur pertahanan berbasis Zero-Trust adalah kewajiban absolut. Kesiapan tim SOC Anda dalam merespons ancaman siluman (stealth) menentukan seberapa besar dampak finansial dan reputasi yang akan ditanggung perusahaan.