Mekanisme Bypass MFA dalam Serangan Phishing
Serangan phishing yang mampu menembus Multi-Factor Authentication (MFA) umumnya tidak meretas protokol enkripsi, melainkan mencuri sesi pengguna atau memanipulasi proses autentikasi secara real-time. Teknik yang paling dominan saat ini adalah Adversary-in-the-Middle (AitM), di mana penyerang menggunakan proxy terbalik (reverse proxy) untuk menjembatani komunikasi antara korban dan situs asli.
Dalam skenario ini, korban diarahkan ke situs phishing yang terlihat identik dengan situs target (misalnya Microsoft 365). Saat korban memasukkan kredensial dan kode MFA, penyerang menangkap data tersebut secara langsung dan meneruskannya ke situs asli. Setelah autentikasi berhasil, penyerang mencuri session cookie yang memungkinkan mereka mengakses akun tanpa perlu lagi memasukkan kata sandi atau kode MFA.
Metode Utama Bypass MFA
| Metode | Cara Kerja | Tingkat Risiko |
|---|---|---|
| AitM (Reverse Proxy) | Menangkap kredensial & session cookie secara real-time. | Sangat Tinggi |
| MFA Fatigue (Push Bombing) | Mengirim notifikasi push berulang hingga korban tidak sengaja menekan 'Approve'. | Tinggi |
| Session Hijacking | Mencuri token sesi yang sudah aktif dari browser korban. | Tinggi |
| SIM Swapping | Mengambil alih nomor telepon untuk menerima kode SMS OTP. | Sedang |
Analisis Teknis Serangan AitM
Serangan AitM menggunakan alat seperti Evilginx2 atau Modlishka. Prosesnya melibatkan:
- Redirection: Korban mengklik tautan phishing.
- Proxying: Server penyerang bertindak sebagai perantara yang memproyeksikan konten situs asli ke korban.
- Credential Harvesting: Penyerang menangkap username, password, dan kode MFA yang diketik korban.
- Session Token Theft: Setelah login sukses, server asli memberikan session cookie. Penyerang mencuri cookie ini dan mengimpornya ke browser mereka untuk melewati MFA sepenuhnya.
Strategi Mitigasi dan Pertahanan
Untuk melawan serangan bypass MFA, organisasi harus beralih dari metode autentikasi berbasis pengetahuan (SMS/OTP) ke metode berbasis kriptografi yang tahan phishing:
- FIDO2/WebAuthn: Menggunakan kunci keamanan fisik (seperti YubiKey) atau Windows Hello/TouchID. Protokol ini mengikat autentikasi ke domain spesifik, sehingga tidak bisa dipalsukan oleh situs phishing.
- Conditional Access: Menerapkan kebijakan akses berdasarkan lokasi, perangkat yang dikelola (managed device), dan status kepatuhan (compliance).
- Session Lifetime Reduction: Mempersingkat durasi sesi agar token yang dicuri memiliki masa berlaku yang sangat pendek.
- Pendidikan Pengguna: Melatih staf untuk selalu memeriksa URL di bilah alamat browser dan tidak pernah memasukkan kode MFA di situs yang tidak dikenal.
Penting untuk dipahami bahwa MFA berbasis SMS atau aplikasi autentikator standar (TOTP) sudah tidak lagi dianggap aman terhadap serangan phishing modern. Migrasi ke autentikasi berbasis FIDO2 adalah standar emas untuk perlindungan akun di tahun 2024 dan seterusnya.