Undangan Event AI Palsu Incar Login Microsoft dan Google Karyawan

Undangan eksklusif acara OpenAI mendarat di kotak masuk email. Isinya menjanjikan tiga bulan ChatGPT Pro gratis, cukup mendaftar dengan akun kantor. Push Security menemukan halaman registrasi palsu itu mencuri kredensial Microsoft dan Google karyawan.

Laporan baru firma keamanan siber tersebut mengungkap kampanye phishing yang memakai nama OpenAI, SpaceX, dan Anthropic. Push Security mendeteksi dan memblokir kunjungan ke halaman registrasi berbahaya itu di peramban pelanggannya pada akhir Oktober 2026.

Baca juga: Boris Cherny, Insinyur di Balik Claude Code dan Ambisi IPO Anthropic

Yang membuat serangan ini berbahaya: sebagian aksinya bisa melewati pemeriksaan keamanan tambahan yang selama ini diandalkan banyak orang, termasuk autentikasi multifaktor.

Kronologi dan modus undangan event AI palsu

Menurut laporan Push Security, penyerang memanfaatkan tingginya minat karyawan terhadap kecerdasan artifisial. Banyak pekerja ingin tahu bagaimana AI bisa meringankan pekerjaan mereka. Langganan premium gratis jadi umpan yang cukup untuk menarik perhatian.

Salah satu halaman palsu mengiklankan livestream bertema "ChatGPT for Social & Digital Marketing Teams" pada 4 November. Halaman registrasinya menjanjikan tiga bulan ChatGPT Pro bagi peserta. Halaman lain menawarkan briefing SpaceX khusus undangan pada 12 November, dengan pilihan tiga bulan Grok Heavy atau "saham SpaceX".

Peneliti juga menemukan halaman phishing yang mengaku sebagai acara Anthropic di AWS re 2026. Halaman itu sudah tidak aktif saat mereka menyelidiki.

Baca juga: Jensen Huang dan Strategi Nvidia Menjual Chip Amerika ke Pasar Tiongkok

Push Security tidak menuduh OpenAI, SpaceX, atau Anthropic menjalankan acara palsu tersebut. Ketiga perusahaan hanya dijadikan kedok. Sampai berita ini ditulis, Fox News belum menerima tanggapan dari Google, OpenAI, Anthropic, dan SpaceX atas permintaan komentar.

Juru bicara Microsoft memberi pernyataan resmi. "Kami menanggapi laporan aktivitas online berbahaya dengan serius dan terus berupaya membantu melindungi pelanggan dari ancaman yang terus berkembang. Microsoft Defender memiliki deteksi untuk memblokir ancaman yang diidentifikasi dalam laporan tersebut," kata juru bicara itu.

Pola serupa pernah muncul sebelumnya. Laporan Fox News menyebut kampanye lain memakai email tagihan ChatGPT palsu untuk mencuri kredensial login. Insiden ini menambah panjang daftar penipuan yang membonceng nama besar industri AI.

Bagaimana halaman palsu mencuri akun Microsoft dan Google

Penyerang tidak mengirim korban langsung ke situs phishing yang mencolok. Mereka memakai layanan populer untuk menyamarkan tautan. Push Security menemukan kampanye ini melewati tautan pendek yang terkait Google dan Zapier. Serangan terkait sebelumnya bahkan memakai halaman acara Zoom asli dan infrastruktur email GoTo Webinar.

Di halaman tujuan, muncul tantangan keamanan Cloudflare yang meminta pengunjung membuktikan diri manusia. Pemeriksaan itu lazim di situs dagang atau layanan resmi. Namun dalam kampanye ini, tantangan tersebut sekaligus menyulitkan pemindai keamanan otomatis memeriksa halaman berbahaya.

Setelah lolos, pengunjung disuguhi dua tombol familiar: "Continue with Microsoft" dan "Continue with Google". Masing-masing mengarah ke metode pencurian berbeda.

• Jalur Microsoft: situs palsu terhubung ke Kali365, platform phishing-as-a-service yang menghasilkan kode autentikasi perangkat Microsoft. Korban diminta menyalin kode itu dan memasukkannya di situs login Microsoft yang asli.
• Jalur Google: muncul pop-up jendela login Google yang sebenarnya berjalan lewat VoidProxy, layanan perantara antara korban dan layanan autentikasi Google.
• Pencurian cookie sesi: kedua jalur berupaya menangkap kredensial, respons multifaktor tertentu, dan cookie sesi yang bisa dipakai ulang.

Kode perangkat Microsoft itu asli. Prosesnya kerap dipakai saat menghubungkan perangkat streaming ke akun. Masalahnya, permintaan autentikasi dimulai oleh penyerang. Begitu korban memasukkan kode dan menyetujui login, Microsoft bisa menerbitkan token autentikasi untuk sesi milik penyerang.

Token itu berpotensi membuka akses ke layanan Microsoft 365 tanpa perlu kata sandi. Push Security menemukan kampanye ini kemudian mengalihkan pengguna Microsoft ke VoidProxy untuk menangkap kata sandi dan cookie sesi. Dampaknya bisa merembet ke email kantor, dokumen, dan aplikasi kerja lain yang terhubung ke akun tersebut.

Untuk jalur Google, jendela login yang tampak resmi itu berjalan melalui VoidProxy. Saat korban mengetik kredensial, layanan phishing menangkapnya, termasuk sebagian respons autentikasi multifaktor dan cookie sesi. Cookie itu ibarat tiket digital yang membuat situs mengingat bahwa pengguna sudah login. Jika dicuri, sesi yang sudah terautentikasi bisa dipakai ulang tanpa melewati proses login normal.

Dua kit phishing dan bahasa yang menyesuaikan korban

Penyerang menggabungkan dua layanan phishing di halaman registrasi yang sama. Kali365 membidik proses autentikasi perangkat Microsoft, sementara VoidProxy membidik sesi login yang sudah terautentikasi. Situs acara palsu meminjam tampilan merek yang dikenal.

Peneliti menemukan halaman registrasi palsu bisa otomatis menampilkan konten dalam bahasa pengunjung. Cara ini memungkinkan penyerang menyesuaikan kampanye untuk orang di berbagai wilayah tanpa membuat situs baru.

Push Security mengidentifikasi dua kit phishing pembuat halaman palsu itu, yaitu ZoomMock dan MSDRoot. Ada bukti yang mengarah pada operator yang sama untuk kedua kit, meski kaitannya belum terbukti secara konklusif. Peneliti tidak menemukan bukti yang menghubungkan pengembang Kali365 dan VoidProxy. Mereka menduga pelaku kampanye ini adalah pelanggan kedua layanan tersebut.

Hasilnya, serangan bisa tampak kredibel di beberapa titik sekaligus. Tautan pendek memakai layanan yang dikenal. Tantangan keamanan terlihat sah. Bahkan halaman autentikasi Microsoft memang asli. Bagi karyawan yang rutin mengikuti rapat virtual atau webinar industri, keakraban itu justru mempersulit pengenalan scam.

Laporan Push Security tidak memastikan berapa akun yang berhasil dikompromikan. Peneliti juga belum mengonfirmasi metode pengiriman awal untuk setiap undangan dalam kampanye terbaru. Namun pola serupa sudah diulas dalam laporan Push Security yang memetakan infrastruktur berbahaya tersebut.

Dampak bagi perusahaan dan karyawan

Risiko terbesar bukan sekadar satu akun pribadi. Akun kerja yang diambil alih membuka pintu ke email perusahaan, dokumen di Microsoft 365 atau Google Workspace, dan aplikasi kerja lain yang terhubung. Tingkat kerusakan bergantung pada izin dan akses yang melekat pada akun tersebut.

Serangan ini juga mengikis anggapan bahwa autentikasi multifaktor otomatis melindungi dari segala upaya pengambilalihan akun. Dalam kampanye ini, penyerang menargetkan respons multifaktor tertentu dan cookie sesi. Karyawan yang merasa aman karena sudah mengaktifkan MFA bisa jadi korban.

Bagi tim TI, ada pekerjaan tambahan. Microsoft menyarankan pembatasan autentikasi kode perangkat di tempat yang tidak diperlukan. Administrator bisa menerapkannya lewat kebijakan Microsoft Entra Conditional Access setelah meninjau kebutuhan bisnis yang sah.

Perusahaan juga perlu memperkuat perlindungan terhadap sesi terautentikasi agar token yang dicuri tidak bisa dipakai ulang. Tanpa itu, satu klik pada undangan palsu bisa berujung pada insiden keamanan berskala organisasi.

Langkah pencegahan yang bisa diambil

Beberapa kebiasaan sederhana bisa menekan peluang menjadi korban. Verifikasi dulu undangan yang tidak diminta. Buka tab baru dan kunjungi situs resmi organisasi langsung. Jika perlu, hubungi penyelenggara lewat informasi yang diperoleh terpisah dari undangan.

Waspadai iming-iming langganan AI gratis dan hadiah eksklusif. Tawaran bernilai tinggi memang dirancang agar orang bertindak sebelum memeriksa detail. Jika registrasi meminta login akun kerja demi hadiah, pastikan dulu tawaran itu benar.

Jangan pernah memasukkan kode perangkat Microsoft yang tidak diminta. Jika sebuah situs meminta menyalin kode autentikasi lalu memasukkannya di halaman Microsoft, tanyakan apakah proses itu Anda mulai sendiri. Permintaan kode perangkat saat mendaftar webinar semestinya memicu kecurigaan.

Periksa juga lokasi login. Alamat situs dengan merek familiar belum tentu milik perusahaan sah. Tautan pendek bisa menyembunyikan tujuan akhir. Buka Microsoft atau Google langsung lewat bookmark tepercaya atau situs resmi. Ikon gembok dan koneksi HTTPS tidak menjamin situs bisa dipercaya.

Tetap aktifkan autentikasi multifaktor. Untuk perlindungan lebih kuat, pertimbangkan autentikasi yang tahan phishing seperti kunci keamanan FIDO2 atau passkey yang didukung. Jika sudah terlanjur mengklik undangan mencurigakan, tutup halaman tersebut dan segera hubungi tim TI atau keamanan organisasi.

Analisis Redaksi

Kampanye ini menunjukkan bahwa phishing sudah bergeser dari email berantakan penuh salah ketik ke operasi rapi yang meminjam infrastruktur sah. Penyerang memakai tautan pendek Google dan Zapier, tantangan Cloudflare, sampai halaman autentikasi Microsoft yang asli. Setiap lapisan yang biasanya menjadi tanda keamanan justru dibalik menjadi alat penipuan.

Yang paling mengganggu adalah pemakaian kode perangkat Microsoft. Mekanisme itu dirancang untuk kenyamanan, bukan untuk registrasi webinar. Namun penyerang memanfaatkannya karena banyak orang tidak paham bahwa persetujuan login bisa menguntungkan pihak lain. Selama pemahaman ini lemah, autentikasi multifaktor saja tidak cukup.

Ada pula celah kebijakan di tingkat organisasi. Microsoft sendiri menyarankan pembatasan autentikasi kode perangkat yang tidak perlu. Artinya, sebagian risiko bisa ditekan lewat konfigurasi, bukan hanya kesadaran karyawan. Perusahaan yang membiarkan mekanisme itu terbuka lebar mengambil risiko yang sebenarnya bisa dikelola.

Nama besar seperti OpenAI, SpaceX, dan Anthropic dipakai karena gengsinya. Umpan ChatGPT Pro gratis menyasar karyawan yang ingin terlihat melek AI di kantor. Selama rasa ingin tahu itu tidak dibarengi kebiasaan memverifikasi, halaman palsu berikutnya tinggal menunggu giliran.