DNS Poisoning Sasar Wi-Fi Hotel – Keamanan Tamu Terancam

Bahaya Mengintai di Wi-Fi Hotel: Kampanye Siber Global Targetkan Kredensial Karyawan Korporat

Para pelaku perjalanan bisnis kini harus meningkatkan kewaspadaan mereka saat menghubungkan perangkat ke jaringan internet nirkabel di tempat umum. Sebuah laporan terbaru mengungkapkan adanya kampanye pencurian kredensial (username dan password) terorganisir yang diduga kuat disokong oleh negara (state-sponsored). Kelompok peretas ini secara khusus menargetkan gateway Wi-Fi di hotel, pusat konvensi, dan ruang publik lainnya guna membajak akun milik para eksekutif dan karyawan perusahaan.

Menurut investigasi dari perusahaan operasi keamanan global ReliaQuest, para penyerang yang berhasil menguasai kendali atas gateway Wi-Fi akan secara diam-diam mengalihkan lalu lintas data pengguna ke infrastruktur palsu yang telah mereka siapkan. Di sanalah proses pencurian data sensitif dilakukan tanpa disadari oleh korban. Aktivitas siber berbahaya ini terdeteksi telah berlangsung setidaknya sejak Juni 2026.

Laporan yang disusun oleh tim peneliti ReliaQuest—Alexander Capraro, Jalen Vaughn, Daxton Wirth, Austin Ritchie, dan Connor Short—menyebutkan bahwa perangkat yang menjadi korban umumnya adalah peralatan jaringan khusus yang digunakan untuk mengelola layanan Wi-Fi berbasis captive portal (halaman login Wi-Fi hotel).

Kemiripan dengan Pola Serangan APT28

Para peneliti mengindikasikan dengan tingkat keyakinan rendah hingga sedang (low-to-medium confidence) bahwa para peretas mendapatkan akses awal melalui antarmuka manajemen perangkat (management interface) yang terekspos ke internet publik, dikombinasikan dengan penggunaan kredensial administratif yang lemah atau digunakan berulang kali.

Metode serangan ini memiliki kemiripan yang sangat tinggi dengan pola peretasan pintu gerbang jaringan dan manipulasi DNS (DNS poisoning) yang sebelumnya dikaitkan dengan kampanye “FrostArmada”. Kampanye tersebut diketahui dioperasikan oleh kelompok peretas legendaris APT28 (juga dikenal sebagai Forest Blizzard atau Fancy Bear) yang memiliki afiliasi dengan intelijen Rusia.

“Kelompok seperti APT28 secara historis sangat selektif dalam memilih target. Namun, dalam kampanye kali ini, yang terjadi adalah sebaliknya: pengalihan lalu lintas data dilakukan secara massal tanpa pandang bulu terhadap siapa saja yang terhubung ke jaringan tersebut,” ujar Larry Pesce, Vice President of Services di Finite State.

Mengapa Hotel dan Pusat Konvensi Menjadi Target Utama?

Hotel berbintang dan pusat konvensi bukanlah target yang dipilih secara acak. Tempat-tempat ini merupakan titik kumpul bagi para pengambil keputusan penting, mulai dari jajaran direksi, tim hukum, hingga profesional keuangan yang sering kali terhubung ke Wi-Fi publik tanpa keraguan sedikit pun.

James Edwards, Senior Director of Engineering di Keeper Security, menjelaskan bahwa nilai ekonomis dari infrastruktur penyerangan ini sangat luar biasa bagi para peretas:

• Efisiensi Serangan: Dengan hanya menguasai satu gateway di hotel besar, peretas bisa mengakses ratusan bahkan ribuan perangkat korporat sekaligus dari berbagai organisasi yang berbeda.
• Sifatnya yang Nir-Sinyal (Stealth): Serangan bekerja sepenuhnya di bawah radar kesadaran pengguna. Peretas tidak perlu mengirimkan email phising atau menyusupkan malware ke perangkat target.
• Manipulasi DNS: Korban tetap berselancar secara normal, memasukkan kredensial pada halaman yang tampak valid, tanpa menaruh curiga bahwa koneksi mereka telah dibelokkan.

Celah Berbahaya: Eksploitasi Autentikasi “Device-Code”

Salah satu teknik paling mengkhawatirkan dalam kampanye ini adalah penyalahgunaan fitur autentikasi kode perangkat (device-code authentication). Pengguna yang teralihkan akan melihat perintah otorisasi Microsoft yang tampak sangat sah.

Jika pengguna menyetujui permintaan tersebut, mereka sebenarnya sedang mengotorisasi sesi aktif yang diinisiasi oleh penyerang. Akibatnya, Microsoft akan mengeluarkan token OAuth yang valid kepada peretas. Karena token tersebut sudah dianggap memenuhi syarat Multi-Factor Authentication (MFA), maka sistem pertahanan MFA berhasil ditembus sepenuhnya tanpa ada kredensial yang perlu dicuri secara langsung.

Denis Calderone, CTO Suzu Labs, mengungkapkan bahwa fitur ini awalnya dirancang untuk perangkat dengan keterbatasan input seperti Smart TV, namun secara bawaan (default) aktif di layanan Microsoft Entra ID dan jarang dinonaktifkan oleh admin IT perusahaan.

Rekomendasi Langkah Mitigasi untuk Perusahaan

Untuk meminimalkan risiko eksploitasi ini, para ahli keamanan siber merekomendasikan beberapa langkah taktis bagi divisi IT perusahaan:

1. Wajibkan VPN Selalu Aktif (Always-On VPN): Pastikan seluruh perangkat korporat menggunakan koneksi VPN dengan metode full-tunnel. Hal ini memaksa permintaan DNS disalurkan melalui infrastruktur internal perusahaan yang aman sebelum mencapai gateway hotel.
2. Batasi Fitur Device-Code: Nonaktifkan fitur autentikasi kode perangkat melalui kebijakan Conditional Access di Microsoft Entra ID, kecuali untuk akun layanan atau kelompok perangkat tertentu yang benar-benar membutuhkannya.
3. Hapus Kepercayaan Implisit: Jangan pernah menganggap jaringan di luar kantor sebagai jaringan yang aman, sekalipun jaringan tersebut disediakan oleh penyedia jasa terpercaya seperti hotel bintang lima.