Adversary In The Middle (AiTM) phishing adalah teknik serangan siber di mana penyerang menempatkan diri di antara korban dan layanan web yang sah (seperti portal login perusahaan atau email) secara real-time. Berbeda dengan phishing konvensional yang hanya mencuri kredensial statis berupa username dan password, serangan AiTM mampu memotong sesi aktif korban dan mencuri token autentikasi atau session cookie, sehingga penyerang dapat melewati pengamanan Autentikasi Dua Faktor (2FA) atau Multi-Factor Authentication (MFA).
Serangan ini biasanya memanfaatkan server proxy reverse tersembunyi (sering kali menggunakan tool open-source seperti Modlishka atau Evilginx) yang berada di antara peramban web korban dan server aplikasi asli. Ketika korban memasukkan kode OTP atau menyetujui verifikasi push notification pada perangkat seluler mereka, penyerang ikut merekam token akses yang sah yang diterbitkan oleh server. Dengan token tersebut, penyerang dapat masuk ke dalam sistem tanpa harus mengetahui kata sandi atau kode verifikasi ulang dalam jangka waktu tertentu.
Mekanisme Kerja Serangan AiTM
Agar dapat memahami bagaimana ancaman ini beroperasi di lapangan, berikut adalah rincian tahapan yang dilalui oleh penyerang saat menjalankan aksi Adversary In The Middle:
| Tahap Serangan | Aktivitas Penyerang | Dampak pada Korban |
|---|---|---|
| 1. Distribusi Tautan | Mengirimkan email phishing yang berisi tautan menuju domain palsu namun mirip aslinya (homograph attack atau domain tiruan). | Korban mengeklik tautan karena mengira berasal dari layanan resmi perusahaan. |
| 2. Interseksi Sesi | Server proxy penyerang meneruskan permintaan login korban ke situs web asli secara real-time. | Tampilan halaman login yang dilihat korban tampak persis seperti aslinya, termasuk sertifikat SSL yang sah. |
| 3. Pencurian Kredensial | Korban memasukkan username dan password pada halaman palsu tersebut. | Kredensial ditangkap oleh proxy penyerang sebelum dikirimkan ke server asli. |
| 4. Bypass 2FA/MFA | Server asli meminta verifikasi 2FA (misal: SMS OTP, Authenticator app, atau push notification). Penyerang meneruskan permintaan ini ke korban. | Korban memberikan izin atau memasukkan kode OTP, yang kemudian diterima oleh server asli melalui perantara penyerang. |
| 5. Ekstraksi Cookie | Server asli mengeluarkan session cookie atau token autentikasi yang sah kepada perantara penyerang. | Penyerang menyimpan token tersebut untuk mengakses akun korban secara langsung tanpa perlu login ulang. |
Perbedaan Phishing Konvensional vs AiTM Phishing
Untuk menghindari salah paham dalam mengenali ancaman keamanan informasi, penting untuk melihat perbandingan mendasar antara metode phishing tradisional dengan metode AiTM modern:
| Parameter | Phishing Konvensional | Adversary In The Middle (AiTM) |
|---|---|---|
| Sasaran Utama | Username dan password statis. | Session cookie dan token autentikasi aktif. |
| Pertahanan MFA | Sering kali gagal ditembus jika MFA aktif berbasis token dinamis. | Berhasil melewati MFA karena mencuri sesi yang sudah terautentikasi. |
| Infrastruktur | Halaman web statis tiruan (fake landing page). | Reverse proxy dinamis yang meneruskan lalu lintas web secara langsung. |
| Tingkat Deteksi | Lebih mudah dideteksi oleh filter email atau pemblokir domain baru. | Sangat sulit dideteksi karena menggunakan domain terenkripsi dan menyerupai lalu lintas sah. |
Mitigasi dan Cara Mencegah Serangan AiTM
Mengingat teknik ini mampu melewati sistem keamanan standar berbasis 2FA, organisasi dan individu memerlukan pendekatan pengamanan tingkat lanjut untuk menutup celah eksploitasi sesi:
- Gunakan Phishing-Resistant MFA: Beralihlah dari metode 2FA berbasis kode OTP atau push notification SMS ke perangkat keras keamanan berbasis kunci kriptografi seperti FIDO2 / WebAuthn (contoh: YubiKey). Kunci keamanan fisik terikat secara kriptografis pada domain yang sah, sehingga tidak dapat ditipu oleh proxy penyerang.
- Implementasikan Conditional Access Policy: Batasi akses login hanya dari perangkat yang dikelola oleh perusahaan (compliant devices) atau jaringan IP terpercaya yang diverifikasi secara ketat.
- Penerapan Token Binding: Gunakan teknologi pengikatan token (token binding) di mana session cookie dikaitkan secara kriptografis dengan perangkat keras atau aplikasi peramban tertentu, sehingga token yang dicuri tidak akan bisa digunakan di perangkat milik penyerang.
- Pelatihan Kesadaran Keamanan (Security Awareness): Latih karyawan untuk selalu memeriksa URL secara teliti dan waspada terhadap keanehan pada proses login, meskipun mereka telah memasukkan kode verifikasi 2FA.