Modus penipuan digital kembali berkembang dengan memanfaatkan popularitas kecerdasan buatan atau artificial intelligence (AI). Peneliti keamanan siber mengungkap kampanye phishing yang menyamar sebagai undangan acara dari perusahaan teknologi ternama, termasuk OpenAI, SpaceX, dan Anthropic. Serangan yang terdeteksi pada akhir Oktober 2026 dan diungkap pada 5 November 2026 ini menargetkan akun Google serta Microsoft, terutama akun yang digunakan untuk bekerja. Pelaku menawarkan akses premium AI gratis dan acara eksklusif sebagai umpan. Dengan memanfaatkan TEKNOLOGI phishing modern, penjahat siber bahkan berupaya mengambil alih sesi akun yang telah dilindungi autentikasi multifaktor.
Undangan Acara AI Palsu Menjadi Modus Phishing Terbaru
Popularitas kecerdasan buatan memberikan berbagai peluang bagi kalangan profesional, tetapi juga dimanfaatkan oleh pelaku kejahatan digital untuk melancarkan serangan phishing. Metode penipuan yang terungkap adalah undangan acara AI palsu. Melalui serangan ini, kelompok kriminal mencatut nama OpenAI, SpaceX, dan Anthropic untuk membuat undangan terlihat kredibel. Website acara dibuat mirip dengan layanan resmi. Target serangan tersebut bukan memberikan akses teknologi, melainkan mengarahkan pengguna agar melakukan proses login yang berisiko membahayakan akun.
Aktivitas penipuan tersebut diungkap berdasarkan penelitian perusahaan keamanan siber Push Security yang mengidentifikasi aktivitas pengguna pada website phishing pada akhir Oktober 2026. Temuan keamanan diungkapkan pada 5 November 2026 dan menunjukkan penggunaan dua layanan phishing bernama Kali365 dan VoidProxy. Layanan berbahaya itu mendukung upaya mengambil alih akun Microsoft dan Google melalui teknik autentikasi yang berlainan. Melalui rangkaian penipuan tersebut, calon peserta bisa dialihkan ke proses verifikasi yang disalahgunakan. Ancaman demikian menunjukkan pentingnya pemeriksaan keamanan akun karena tampilan profesional tidak selalu menjamin keamanan.
Hadiah ChatGPT Pro dan Grok Heavy Digunakan sebagai Umpan
Sebagai strategi membangun ketertarikan, penyerang menawarkan akses layanan premium yang menggunakan nama produk kecerdasan buatan. Di antara umpan yang ditemukan adalah undangan tidak resmi menggunakan merek OpenAI dengan judul ChatGPT for Social & Digital Marketing Teams. Halaman tersebut menjanjikan penggunaan layanan premium ChatGPT Pro selama tiga bulan kepada peserta yang mendaftar. Penawaran ini bertujuan mengurangi keraguan calon korban. Di kalangan pengguna teknologi, langganan kecerdasan buatan berbayar berpotensi menimbulkan rasa penasaran. Walaupun promosinya meyakinkan, penawaran yang ditampilkan digunakan sebagai umpan phishing.
Di samping memanfaatkan nama OpenAI, penyerang turut menyiapkan promosi konferensi yang mengatasnamakan SpaceX. Pada halaman yang ditemukan, pengguna diperlihatkan penawaran langganan Grok Heavy gratis tiga bulan atau hadiah yang disebut sebagai saham SpaceX. Analisis tersebut mengungkap halaman acara Anthropic palsu dan menggunakan konteks konferensi AWS re:Invent 2026. Pendekatan penipuan demikian menciptakan kesan kesempatan terbatas untuk meningkatkan kemungkinan korban mengikuti instruksi. Dengan mempertimbangkan ancaman tersebut, undangan yang menawarkan hadiah besar perlu diperiksa melalui informasi acara dari sumber terpercaya sebelum menghubungkan akun pribadi.
Halaman Registrasi Palsu Menyerupai Layanan Resmi
Salah satu alasan modus tersebut sulit dikenali adalah pemanfaatan desain registrasi profesional. Ketika calon korban membuka tautan, pengguna mungkin menemukan pemeriksaan CAPTCHA sebelum membuka halaman acara. Dalam kampanye ini, CAPTCHA dimanfaatkan guna membatasi pemindaian otomatis. Walaupun terlihat sebagai perlindungan, keberadaan CAPTCHA tidak membuktikan bahwa situs aman. Pada kasus ini, desain yang menyerupai website asli sering dimanfaatkan untuk mendorong pengunjung mengikuti instruksi tanpa pemeriksaan lanjutan.
Selain CAPTCHA, penyerang menggunakan layanan pemendek URL dari penyedia internet terpercaya. Melalui rantai distribusi tertentu, pengunjung dialihkan menggunakan redirect yang memanfaatkan infrastruktur Google dan Zapier. Pendekatan distribusi tersebut membuat lebih rumit identifikasi website tujuan. Pada serangan terkait yang pernah diamati, pelaku pernah memanfaatkan infrastruktur email GoTo Webinar. Situasi demikian memperlihatkan bagaimana tautan melalui penyedia resmi tidak menjamin acara benar-benar asli. Agar tidak mudah terkecoh, penerima undangan perlu memastikan identitas penyelenggara sebelum melakukan login.
Teknik Pengambilalihan Akun Memanfaatkan Proses Autentikasi
Pada serangan yang dianalisis, penyerang memanfaatkan dua platform phishing-as-a-service bernama Kali365 dan VoidProxy. Layanan phishing ini memiliki fungsi berbeda dalam mengambil alih sesi pengguna. Apabila pengunjung menekan opsi Continue with Microsoft pada website acara berbahaya, serangan diarahkan menuju mekanisme device code phishing yang menggunakan alur otorisasi perangkat Microsoft. Melalui teknik ini, korban diminta menyetujui proses masuk perangkat tanpa mengetahui bahwa prosesnya dikendalikan penyerang. Jika permintaan disetujui, sistem berbahaya berusaha mengambil otorisasi yang dapat digunakan untuk masuk tanpa harus mengetahui kata sandi korban sejak awal.
Sementara itu, opsi masuk menggunakan akun Google memanfaatkan layanan VoidProxy. Perangkat serangan itu menggunakan pendekatan adversary-in-the-middle atau AiTM yang menempatkan sistem penyerang di antara komunikasi autentikasi akun. Pada proses serangan tersebut, penyerang dapat mengumpulkan informasi autentikasi beserta cookie sesi. Untuk korban yang menggunakan Microsoft, VoidProxy juga dapat digunakan sebagai proses phishing berikutnya setelah proses autentikasi perangkat. Penggunaan dua teknik ini menciptakan peluang pengambilalihan akun terutama jika korban mengikuti seluruh instruksi.
Risiko Pengambilalihan Akun Meski MFA Sudah Diaktifkan
Autentikasi multifaktor merupakan lapisan perlindungan penting untuk mencegah akses tidak sah. Pada proses autentikasi umum, sistem dapat meminta kode tambahan selain kata sandi. Namun demikian, serangan AiTM tertentu berpotensi mengatasi perlindungan MFA tertentu. Dalam serangan VoidProxy, pelaku berupaya memperoleh data sesi setelah verifikasi berhasil. Jika cookie sesi dapat digunakan ulang, akun berpotensi diakses tanpa menjalankan proses verifikasi dari awal.
Masalah keamanan ini sebaiknya diketahui oleh pengelola akun organisasi karena identitas digital perusahaan sering digunakan untuk mengakses aplikasi perusahaan. Apabila penyerang memperoleh akses, pelaku berpotensi membaca percakapan email, menyebarkan undangan berbahaya lanjutan, atau mencoba masuk ke sistem lain. Sebagai langkah perlindungan, penerapan kunci keamanan FIDO2 dapat membantu ketahanan terhadap situs phishing. Tidak kalah penting, pemantauan aktivitas login tetap menjadi langkah penting untuk mendeteksi penyalahgunaan.
Cara Menghindari Undangan AI Palsu dan Melindungi Akun
Langkah pertama untuk mengurangi risiko serangan adalah memeriksa identitas penyelenggara sebelum melakukan pendaftaran. Jika menemukan undangan webinar AI melalui pesan dari pengirim asing, jangan langsung menyetujui autentikasi. Sebaliknya, akses website penyelenggara melalui alamat yang dikenal. Jangan lupa memeriksa URL tempat login karena situs penipuan dapat menyerupai merek resmi. Penggunaan koneksi HTTPS tidak menghilangkan risiko phishing. Hal terpenting adalah memverifikasi domain resmi.
Untuk akun Microsoft, waspadai permintaan memasukkan kode perangkat yang berasal dari acara tidak resmi. Proses verifikasi perangkat dapat disalahgunakan meskipun proses memasukkan kode dilakukan pada situs Microsoft. Jika pengguna terlanjur memberikan kata sandi, laporkan secepatnya kepada tim keamanan perusahaan. Selain itu, lakukan penggantian kredensial melalui layanan terpercaya dan evaluasi aktivitas login terbaru. Ketika penyerang mungkin memperoleh akses autentikasi, administrator perlu meninjau serta mencabut token yang terdampak. Tim keamanan bisa mengevaluasi pembatasan autentikasi device code serta peningkatan sistem autentikasi perusahaan.
Kesimpulan: Waspadai Phishing Berkedok Acara AI
Ditemukannya serangan phishing menggunakan acara teknologi fiktif memperlihatkan bahwa perkembangan kecerdasan buatan menjadi sasaran eksploitasi oleh pelaku penipuan digital. Dengan memanfaatkan halaman registrasi palsu, promosi hadiah premium, serta teknik autentikasi berbahaya, pelaku berupaya akun Google dan Microsoft. Kombinasi Kali365 dan VoidProxy menjadi pengingat bahwa serangan phishing terus berkembang. Karena itu, pemeriksaan undangan secara cermat memiliki peranan penting dalam melindungi informasi.
Dalam menghadapi ancaman serupa, pengguna sebaiknya memeriksa domain sebelum login, menolak proses verifikasi yang tidak dikenal, dan menggunakan metode autentikasi tahan phishing. Ketika menerima tautan berbahaya, laporkan kepada pengelola keamanan agar ancaman dapat ditangani lebih cepat. Seperti apa pandangan Anda mengenai modus undangan acara AI palsu? Ceritakan pandangan Anda tentang cara mengenali undangan mencurigakan agar masyarakat semakin waspada terhadap penipuan online.
