Email Resmi Microsoft Disusupi Penipu untuk Kirim Spam

BeritaNasional.com - Sebuah celah keamanan serius dilaporkan telah dimanfaatkan oleh kelompok penipu selama berbulan-bulan. 

Celah ini memungkinkan mereka mengirimkan email spam berbahaya menggunakan alamat email internal resmi milik Microsoft yang biasa digunakan untuk mengirim notifikasi dan peringatan akun yang sah.

Hingga kini, modus operandi bagaimana para penipu tersebut menyalahgunakan sistem internal raksasa teknologi ini belum terungkap sepenuhnya. 

Namun, mereka diketahui berhasil mendaftarkan akun Microsoft baru layaknya pelanggan biasa, lalu menggunakan hak akses tersebut untuk menyebarkan email massal yang seolah-olah dirilis langsung oleh Microsoft. 

Taktik cerdik ini berpotensi besar mengecoh korban karena menggunakan domain resmi perusahaan.

Parahnya, Microsoft tampaknya masih kewalahan dan belum berhasil menutup celah kebocoran sistem ini secara total.

Menyamar sebagai Notifikasi Keamanan Penting

Penyalahgunaan ini terendus setelah ditemukannya rentetan email penipuan dengan struktur serupa yang menyisipkan tautan (link) web palsu. 

Email-email acak tersebut dikirim langsung dari alamat resmi [email protected].

Padahal, alamat email tersebut merupakan jalur komunikasi krusial yang digunakan Microsoft untuk mengirimkan informasi sensitif kepada pengguna, seperti kode otentikasi dua faktor (2FA) dan peringatan keamanan akun penting.

Untuk menjebak korban, para penipu menggunakan taktik psikologis lewat subjek email yang bervariasi, di antaranya:

• Peringatan palsu mengenai adanya transaksi mencurigakan di akun pengguna.
• Klaim adanya "pesan pribadi penting" yang tengah menunggu penerima di sebuah tautan eksternal.
• Organisasi nirlaba antispam global, The Spamhaus Project, membenarkan temuan ini melalui unggahan di media sosial. 

Mereka menyatakan bahwa penyalahgunaan alamat notifikasi resmi Microsoft ini setidaknya sudah terdeteksi selama "beberapa bulan".

“Sistem notifikasi otomatis seharusnya tidak mengizinkan tingkat kustomisasi (isi email) sebebas seperti ini,” tulisnya yang dikutip dari TechCrunch pada Kamis (21/5/2026).

(Foto/Spamhaus Project)

Spamhaus menambahkan pihaknya telah melayangkan laporan resmi kepada pihak Microsoft terkait masalah ini. 

Namun, Juru Bicara Microsoft hanya merespons pertanyaan yang diajukan tanpa memberikan penjelasan mendalam atau merilis pernyataan apakah penyalahgunaan sistem ini sudah berhasil dihentikan.

Kasus yang menimpa Microsoft ini menambah panjang daftar insiden di mana peretas atau penipu berhasil membajak sistem internal perusahaan besar untuk mengelabui konsumen dalam beberapa bulan terakhir.

Sebelumnya, platform teknologi finansial Betterment juga sempat dibobol peretas untuk mengirimkan notifikasi palsu yang menjanjikan pelipatan nilai kripto pengguna, sebuah modus penipuan klasik untuk menguras dompet digital korban.

Tak hanya itu, pada tahun 2023, akun email kelolaan Namecheap juga disalahgunakan untuk meluncurkan serangan siber phishing demi mencuri kredensial dan data sensitif para pelanggannya.

Sejumlah laporan dari pengguna internet di media sosial mengindikasikan bahwa tren pembajakan email korporat ini juga mulai merembet ke beberapa perusahaan besar lainnya.

Hal ini menunjukkan adanya celah sistemis di industri teknologi global yang perlu segera dievaluasi.