Rekayasa Sosial di Layanan Bantuan: Mengapa Pemulihan Akun Merupakan Titik Lemah

Perusahaan telah bertahun-tahun memperkuat sistem keamanan pintu masuk dengan metode seperti SSO, MFA, passkeys, dan Zero Trust. Namun, setiap program identitas tetap memerlukan jalur pemulihan. Ketika seorang pengguna kehilangan perangkatnya atau tidak dapat mengakses akunnya, organisasi harus memutuskan apakah akan mereset MFA, menerbitkan kredensial baru, atau mengaitkan perangkat baru.

Menariknya, pemulihan akun mungkin merupakan area paling berbahaya dalam permukaan serangan, namun jarang mendapat perhatian yang setara. Penyerang tidak selalu perlu mengalahkan MFA secara langsung jika mereka dapat membujuk bagian bantuan teknis atau alur kerja pemulihan untuk mengabaikannya.

Jika pemulihan bergantung pada fakta-fakta yang diketahui, kode-kode yang dapat dibagikan, atau penilaian seorang agen, hal itu sebenarnya berarti memverifikasi apa yang dilakukan seseorang memiliki atau diketahui – bukan apakah orang yang tepat benar-benar hadir.

Bagaimana Sebenarnya Proses Pemulihan Akun Berjalan Saat Ini

Sebelum membahas bagaimana proses pemulihan rentan terhadap serangan, ada baiknya kita menjelaskan secara rinci bagaimana sebagian besar organisasi sebenarnya mengelola proses tersebut.

Di sebuah perusahaan pada umumnya, seorang karyawan yang tidak diizinkan masuk memiliki dua cara untuk kembali bekerja.

Pengaturan ulang kata sandi mandiri (SSPR): seorang karyawan mengonfirmasi sesuatu yang mereka ketahui atau sesuatu yang mereka miliki: pertanyaan keamanan, ID karyawan, atau kode sandi sekali pakai yang dikirim ke nomor terdaftar atau email cadangan. Sistem akan mereset kredensial atau mendaftarkan perangkat baru.

Layanan Bantuan: Rute dengan bantuan biasanya berupa panggilan telepon ke layanan bantuan TI. Sering kali digunakan ketika karyawan kehilangan perangkat atau otentikator yang menjadi dasar SSPR. Petugas layanan bantuan akan mengajukan serangkaian pertanyaan verifikasi singkat, yang biasanya diambil dari catatan SDM, kemudian melakukan reset secara manual. Untuk akun dengan hak akses istimewa, mungkin ada langkah persetujuan. Seringkali tidak ada. Data ini dapat disadap atau mungkin ditemukan dalam insiden kebocoran informasi, atau diekstraksi dari target sebelumnya. Itulah celah yang ternyata sangat berbahaya.

Pada akhirnya, tidak ada satu pun dari kedua cara tersebut yang memverifikasi identitas orang tersebut. Keduanya hanya memverifikasi data mengenai orang tersebut. Perbedaan ini penting, karena kasus-kasus yang tidak dapat ditangani oleh SSPR justru merupakan kasus-kasus dengan risiko tertinggi dan sistem verifikasi yang paling lemah.

Pemulihan Layanan Bantuan Kini Telah Terbukti Menjadi Jalur Terjadinya Pelanggaran Keamanan

Ini bukan sekadar teori. Kita tahu bahwa rekayasa sosial dapat menerobos sistem pengendalian identitas yang sangat ketat dengan menargetkan alur kerja dukungan dan pemulihan, dan bahwa pemulihan melalui layanan bantuan teknis tercatat sebagai metode masuk yang digunakan dalam beberapa serangan paling merusak selama dua tahun terakhir.

Sebenarnya, Gartner menjelaskan pemulihan akun akibat lupa kata sandi atau kehilangan kredensial sebagai “bagian paling berisiko dalam siklus hidup pengelolaan identitas.”

Scattered Spider menggunakannya di MGM, dan kembali dalam serangan tahun 2025 terhadap M&S, Co-op, dan Qantas. Di MGM, satu panggilan telepon selama sepuluh menit saja sudah cukup untuk menembus sistem keamanan bernilai jutaan dolar. Setelah insiden ritel di Inggris tersebut, NCSC secara khusus mendesak organisasi untuk meninjau proses reset kata sandi di help desk, termasuk cara otentikasi staf sebelum pengaturan ulang, terutama untuk akun dengan hak akses tingkat tinggi.

Skala kejadian ini telah tercatat. Sebuah surat dakwaan dari Departemen Kehakiman AS yang dibuka untuk umum pada September 2025 menuduh adanya setidaknya 120 kasus intrusi jaringan yang melibatkan 47 entitas AS, dengan para korban harus membayar tebusan setidaknya sebesar $115 juta. Jaksa penuntut menggambarkan adanya metode yang konsisten di hampir semua kasus tersebut: menghubungi layanan bantuan, meminta pengaturan ulang kata sandi, mengambil alih akun administratif, lalu menggunakan akses tersebut untuk mencuri data.

Intinya bukanlah bahwa agen-agen tersebut ceroboh; melainkan bahwa proses tersebut mengharuskan mereka untuk mengambil keputusan identitas yang berisiko tinggi dengan menggunakan sinyal-sinyal yang dapat dengan mudah dipalsukan oleh penyerang dalam skala besar. Pemulihan akun seharusnya tidak bergantung pada keputusan seseorang mengenai apakah suatu permintaan terasa sah; melainkan harus memerlukan bukti keberadaan yang sesungguhnya.

Kemajuan dalam teks yang dihasilkan oleh AI dan kloning suara membuat penipuan ini semakin mudah dilakukan. Seorang penyerang yang menghubungi layanan bantuan dengan mengaku sebagai karyawan yang terkunci di luar kini dapat terdengar seperti karyawan tersebut, sehingga menghilangkan salah satu dari sedikit pemeriksaan naluriah yang dimiliki oleh petugas layanan. Namun, serangan ini tidak bergantung pada hal tersebut. Seorang penyerang yang telah mempersiapkan diri dapat memanfaatkan data yang bocor, konteks LinkedIn, terminologi internal, dan cerita yang meyakinkan. Di bawah tekanan, petugas layanan diminta untuk “hanya mereset MFA” atau “bantu saya masuk kembali ke akun saya.”

FBI dan CISA mendokumentasikan langkah yang paling penting. Para penyerang tidak hanya berhasil mereset kata sandi. Mereka juga berhasil mereset token MFA, lalu mendaftarkan perangkat otentikasi milik mereka sendiri. Proses reset tersebut tidak sekadar memberi mereka akses sementara. Hal itu justru menjadikan mereka sebagai pengguna tepercaya.

Mengapa Mekanisme Pemulihan Warisan Gagal

Sebagian besar aliran pemulihan bergantung pada dua jenis faktor yang lemah.

• Faktor-faktor pengetahuan, seperti pertanyaan keamanan, nomor identitas karyawan, nama manajer, atau tanggal lahir, hanya sebatas kerahasiaan yang tercapai hingga terjadinya pelanggaran terakhir atau pencarian di LinkedIn. Faktor-faktor tersebut membuktikan pengetahuan tentang sesuatu, bukan identitas yang terverifikasi.
• Faktor-faktor kepemilikan, seperti kode sandi satu kali (OTP) melalui SMS, aplikasi otentikator, atau perangkat cadangan, dapat dibagikan, rentan terhadap serangan phishing, dan sering kali tidak tersedia pada saat pemulihan benar-benar dibutuhkan. Jika pengguna kehilangan perangkatnya, kontrol yang terikat pada perangkat tidak boleh menjadi satu-satunya cara untuk masuk kembali. OTP masih dapat mendukung proses pemulihan, tetapi tidak boleh dianggap sebagai bukti identitas.

Passkey dan biometrik bawaan perangkat memang lebih aman daripada kata sandi, tetapi tidak dapat mengatasi semua kasus khusus dalam siklus hidup akun. Passkeys tetap memerlukan proses pemulihan dan pendaftaran ulang saat perangkat diganti. Face ID dan biometrik lokal serupa hanya mengotorisasi penggunaan perangkat; namun, secara sendiri-sendiri, mereka tidak dapat membuktikan kembali kepada organisasi bahwa pemilik akun adalah orang yang sebenarnya yang saat ini meminta pemulihan.

Solusinya: Lakukan Verifikasi Ulang terhadap Orang Tersebut, Bukan Kredensialnya

Proses pemulihan harus diverifikasi setidaknya sesuai standar yang sama dengan proses login yang digantikannya. Alih-alih bertanya, “Apakah orang ini memiliki pengetahuan yang cukup sehingga terdengar sah?”, organisasi sebaiknya bertanya, “Apakah orang yang tepat dan asli memang sedang ada di sini saat ini?”

Hal itu memerlukan sistem deteksi keaslian, yang memastikan bahwa wajah yang ditampilkan saat pemeriksaan memang milik orang sungguhan yang secara fisik hadir pada saat itu, bukan foto, rekaman, atau media sintetis.

Tidak semua solusi sama, dan perbedaannya menjadi penting pada saat evaluasi, bukan di sini. Beberapa sistem hanya diuji terhadap serangan yang diarahkan ke kamera. Lebih sedikit lagi yang diuji terhadap serangan yang dimasukkan langsung ke dalam perangkat lunak, tanpa melalui kamera sama sekali. Jika Anda sudah sampai pada tahap membandingkan vendor, itulah pertanyaan yang harus diajukan: jenis serangan apa saja yang telah diuji secara independen , dan oleh siapa?

Dalam proses pemulihan, hal itu mengubah alurnya. Pengguna mengonfirmasi detail kontak, memindai dokumen identitas jika diperlukan, menyelesaikan pemindaian wajah yang diverifikasi keasliannya, dan baru setelah itu mengatur ulang kredensial atau menghubungkan kembali perangkat.

Dan karena proses verifikasi tersebut menghasilkan catatan mengenai seseorang yang telah diverifikasi, bukan jawaban yang benar atas sebuah pertanyaan, maka proses reset ini meninggalkan bukti yang tidak pernah dihasilkan oleh proses sebelumnya.

Pemulihan biometrik berbasis cloud dapat dijalankan baik di perangkat baru maupun yang lama, sehingga ponsel yang hilang tidak menjadi titik kegagalan tunggal. Hal ini juga membebaskan tim bantuan teknis dari pengambilan keputusan yang paling berisiko, mengurangi jumlah tiket permintaan reset, dan memberikan jejak audit yang lebih jelas kepada tim keamanan sejak proses pengikatan ulang dimulai.

Apa yang Harus Dapat Dibuktikan oleh Proses Pemulihan Akun yang Baik?

Para pemimpin bidang keamanan tidak membutuhkan solusi cadangan dengan tingkat jaminan rendah lagi. Mereka membutuhkan proses pemulihan yang dapat menjawab pertanyaan-pertanyaan berikut:

• Apakah proses tersebut melakukan verifikasi ulang terhadap orang tersebut, atau sekadar memeriksa ulang kredensialnya?
• Apakah fitur ini tetap berfungsi jika perangkat asli pengguna hilang?
• Apakah sistem ini mencatat siapa saja yang telah diverifikasi, bukan sekadar menunjukkan bahwa prosesnya telah dijalankan?
• Apakah kemampuan real-time-nya sudah diuji secara independen, dan dibandingkan dengan apa?
• Apakah sistem ini mampu mengikuti perkembangan ancaman yang muncul, teknik rekayasa sosial terbaru, dan taktik peniruan identitas?

Jika jawabannya tidak, proses pemulihan mungkin lebih rentan terhadap serangan daripada proses login yang seharusnya dilindunginya.

Pemulihan akun bukan lagi sekadar masalah administratif yang merepotkan. Inilah titik di mana sistem identitas yang kokoh pun bisa runtuh jika identitas seseorang tidak diverifikasi ulang. Organisasi yang sudah selangkah lebih maju dalam hal ini beralih dari pertanyaan “Apa yang Anda ketahui?” dan “Apa yang Anda miliki?” menjadi “Bisakah Anda membuktikan bahwa Anda adalah orang yang tepat dan asli?”

Tonton sesi selengkapnya

Artikel ini disusun berdasarkan sesi deepfake di tempat kerja, yang mencakup demonstrasi langsung serta konteks siklus hidup identitas yang lebih luas, mulai dari perekrutan jarak jauh hingga rapat dan tindakan tenaga kerja berisiko tinggi.

Tonton Hal-Hal Aneh di Tempat Kerja: Melindungi Organisasi Anda dari Ancaman Deepfake "Upside Down", lalu pelajari bagaimana iProov Workforce Solution Suite melindungi pemulihan akun dan pengikatan ulang perangkat – momen-momen di mana kontrol berbasis kredensial paling rentan.