Adversary-in-the-Middle (AiTM) Phishing

Berbeda dari halaman phishing tradisional yang hanya mencuri nama pengguna dan kata sandi statis, kit AiTM, umumnya dibangun di atas kerangka reverse-proxy bergaya Evilginx, berada di antara korban dan layanan login asli selama seluruh alur autentikasi. Korban mengetikkan kata sandi asli mereka ke halaman yang tampak seperti login Microsoft atau Google biasa, proxy meneruskannya langsung ke situs asli, dan jika akun tersebut mengaktifkan MFA, korban juga menyelesaikan langkah itu secara normal tanpa menyadari bahwa proxy sedang merelainya. Begitu autentikasi berhasil, situs asli menerbitkan session token, dan proxy diam-diam menyalin token tersebut sebelum menyerahkan kotak masuk atau dasbor yang diharapkan korban.

Inilah yang membuat AiTM begitu merugikan: session cookie yang dicuri mewakili sesi yang sudah terautentikasi, sehingga penyerang tidak perlu kata sandi lagi dan tidak perlu menyelesaikan MFA sama sekali, karena korban sudah melakukannya untuk mereka. Dengan cookie tersebut, penyerang dapat membuka kotak surat korban di peramban mereka sendiri, sering kali dari negara yang berbeda, dan hal ini sering kali tidak disadari karena sesi tersebut tampak sah bagi aplikasi. Bagi bank dan lembaga teregulasi lainnya di Indonesia, serangan AiTM terhadap akun Microsoft 365 karyawan atau mitra telah menjadi pemicu umum business email compromise, karena akses ke kotak surat korporat asli jauh lebih meyakinkan dibanding email palsu manapun.

Karena AiTM secara khusus mengalahkan kode sekali pakai dan MFA berbasis push, pertahanan paling efektif adalah autentikasi yang tahan phishing seperti kunci keamanan FIDO2 atau passkey, yang secara kriptografis mengikat proses login ke domain yang sah dan tidak dapat direlai melalui proxy. Kebijakan akses bersyarat yang menandai login dari rentang IP tak dikenal atau perjalanan yang mustahil secara geografis, masa berlaku session token yang pendek, serta evaluasi akses berkelanjutan, semuanya mengurangi jendela waktu yang dimiliki penyerang untuk mengeksploitasi cookie curian. Sama pentingnya, karyawan tetap perlu mengenali domain tiruan yang menjadi andalan kit AiTM, karena seluruh serangan dimulai dari tautan phishing yang meyakinkan.