Ringkasnya: laporan Cisco Talos pada 1 Juli 2026 menunjukkan bagaimana panel phishing-as-a-service bernama ARToken terhubung dengan ekosistem EvilTokens yang menargetkan akun Microsoft 365. Untuk tim IT Indonesia, isu utamanya bukan sekadar email phishing biasa, tetapi pencurian token, penyalahgunaan alur device-code/OAuth, dan potensi akses persisten ke mailbox, SharePoint, serta proses business email compromise.
Kenapa ARToken dan EvilTokens penting untuk pengguna Microsoft 365?
Banyak organisasi sudah mengaktifkan MFA dan merasa lapisan login mereka cukup kuat. Temuan ARToken/EvilTokens menunjukkan bahwa serangan modern tidak selalu mencoba menebak password. Pelaku dapat memanfaatkan alur otorisasi yang sah, social engineering yang meyakinkan, dan halaman SharePoint palsu atau look-alike untuk mendorong korban memberikan akses token.
Cisco Talos melaporkan bahwa panel ARToken memiliki lebih dari 80 endpoint API untuk operasi device-code phishing, akses email, business email compromise, exfiltration SharePoint, dan persistensi melalui Primary Refresh Token. Talos juga menghubungkannya dengan EvilTokens berdasarkan kesamaan API contract, model deployment, pola Cloudflare Workers, dan model operasional multi-tenant phishing-as-a-service.
Pola serangan yang perlu diperhatikan tim IT
Dalam contoh yang dianalisis Talos, lure yang dipakai bukan pesan massal yang generik. Tema email menyerupai urusan invoice/vendor, dikirim ke konteks accounts payable, dan menampilkan link yang tampak seperti tenant SharePoint asli. Masalahnya, tautan yang terlihat dan tautan aktual dapat berbeda: korban merasa membuka dokumen Microsoft 365 yang sah, sementara sebenarnya diarahkan ke tenant atau halaman yang dikendalikan pelaku.
Beberapa sinyal yang relevan untuk security review:
- Email memakai konteks vendor atau invoice yang terasa wajar untuk bagian keuangan atau operasional.
- SPF, DKIM, dan DMARC dapat gagal atau tidak selaras, tetapi display identity tetap terlihat meyakinkan.
- Tujuan link masih memakai domain Microsoft/SharePoint yang tampak bersih reputasinya.
- Serangan berupaya mengambil token atau memanfaatkan alur device-code, bukan hanya mencuri password.
- Setelah akses berhasil, risiko berlanjut ke mailbox, SharePoint, BEC, dan persistensi akun.
Checklist ringan untuk Microsoft 365 security review
Jika organisasi Anda menggunakan Microsoft 365, berikut pemeriksaan praktis yang bisa dilakukan tanpa menunggu insiden:
1. Review Conditional Access dan device-code flow
Pastikan kebijakan Conditional Access tidak hanya mengecek MFA, tetapi juga konteks risiko, device compliance, lokasi, aplikasi, dan sign-in behavior. Untuk organisasi yang tidak membutuhkan device-code flow secara luas, batasi atau monitor penggunaannya.
2. Periksa sign-in log dan token activity
Cari anomali seperti sign-in dari lokasi tidak biasa, user agent tidak lazim, pola consent atau device registration yang mendadak, dan akses mailbox/SharePoint setelah klik dokumen mencurigakan.
3. Perketat proteksi email dan domain authentication
SPF, DKIM, dan DMARC perlu berjalan konsisten. Namun jangan berhenti di sana: lakukan user training untuk membedakan display link, actual link, dan pola invoice/vendor impersonation.
4. Audit SharePoint dan mailbox access
Untuk akun berisiko tinggi seperti finance, HR, procurement, dan admin, pantau sharing link, file download massal, inbox rule mencurigakan, forwarding, dan akses OAuth application yang tidak dikenal.
5. Siapkan respons cepat untuk token compromise
Jika ada indikasi token theft, langkah respons tidak cukup dengan reset password. Tim perlu revoke sessions/refresh tokens, reset MFA method bila perlu, review device registration, cek mailbox rule, dan audit aktivitas SharePoint/OneDrive.
Apa artinya untuk bisnis di Indonesia?
Serangan seperti ARToken/EvilTokens relevan untuk perusahaan yang mengandalkan Microsoft 365 untuk email, dokumen, approval invoice, procurement, dan komunikasi vendor. Jika satu mailbox finance atau procurement diambil alih, dampaknya bisa bergerak dari credential theft ke fraud, invoice manipulation, data exposure, atau lateral movement.
Pendekatan yang disarankan adalah kombinasi identity security, email security, Microsoft 365 hardening, monitoring, dan backup/recovery readiness. Untuk organisasi yang belum punya tim SOC internal, review berkala bersama managed security provider dapat membantu memvalidasi konfigurasi dan menyiapkan playbook respons.
Langkah berikutnya
Mulai dari pemeriksaan ringan: review kebijakan Conditional Access, audit sign-in log 30 hari terakhir, periksa anomali mailbox rule, dan validasi apakah tim finance/procurement memahami risiko link SharePoint palsu atau look-alike.
Jika ingin mulai dari pemeriksaan ringan, gunakan form assessment di halaman layanan atau kanal WhatsApp resmi myBATICloud dan tulis: Review Microsoft 365 security.
Sumber
- Cisco Talos - ARToken: Inside an EvilTokens affiliate panel targeting Microsoft 365
- BleepingComputer - ARToken PhaaS exposes EvilTokens’ Microsoft 365 phishing toolkit
- Help Net Security - The ARToken phishing panel targets Microsoft 365 accounts