Mengapa MFA Berbasis SMS Tidak Lagi Aman untuk Microsoft 365

By Mirko Peters · 2026-10-26

Cari tahu mengapa autentikasi multi-faktor berbasis pesan SMS membuat penyewa Microsoft 365 rentan terhadap SIM swapping dan phishing, serta apa yang sebaiknya Anda gunakan sebagai gantinya.

Automatically translated with AI from the original post. Read the English original

Autentikasi multi-faktor melalui pesan SMS telah lama menjadi langkah kedua yang lazim, baik bagi administrator TI maupun pengguna akhir, tetapi ketergantungannya pada jaringan telekomunikasi lama membuatnya sangat rentan terhadap serangan siber modern, seperti SIM swapping dan phishing yang ditargetkan.

Poin Penting

• Autentikasi multi-faktor berbasis SMS bergantung pada jaringan telepon publik, sehingga rentan terhadap penyadapan dan SIM swapping.
• Riset Google dan Verizon menunjukkan bahwa kode SMS jauh lebih sering gagal menghadapi serangan phishing yang ditargetkan dibandingkan notifikasi push modern atau passkey.
• Laporan pelanggaran data Verizon secara aktif merekomendasikan agar kode SMS tidak digunakan untuk verifikasi masuk.
• Peralihan dari SMS memerlukan perencanaan metode verifikasi ganda untuk mencegah kelebihan beban helpdesk dan penguncian akun permanen.

Ilusi Keamanan pada Kode SMS

Ketika organisasi pertama kali menerapkan autentikasi multi-faktor, pesan teks sering terasa seperti kemenangan. Metode ini didukung secara universal, tidak memerlukan instalasi perangkat lunak, dan berfungsi di hampir setiap perangkat seluler. Namun, dari sudut pandang arsitektur keamanan, SMS melanggar aturan mendasar dari verifikasi identitas yang tangguh: mekanisme pengirimannya memang cacat.

Pesan SMS dikirim melalui jaringan telekomunikasi standar hingga sampai ke ponsel Anda. Karena infrastruktur tersebut dirancang puluhan tahun lalu dengan sedikit mempertimbangkan keamanan, pesan itu dapat disadap, dialihkan, atau dimanipulasi. Penjahat secara rutin memanfaatkan celah ini melalui teknik yang dikenal sebagai SIM swapping. Dengan merekayasa sosial staf dukungan operator seluler, penyerang dapat memindahkan nomor ponsel Anda ke kartu SIM di dalam ponsel pintar mereka sendiri. Setelah proses pemindahan selesai, setiap kode autentikasi yang seharusnya dikirim ke akun Anda akan langsung jatuh ke tangan penyerang.

Temuan Riset tentang MFA Pesan Teks

Data keamanan memberikan gambaran yang jelas mengenai efektivitas verifikasi SMS. Meskipun kode berbasis teks memberikan pertahanan yang memadai terhadap serangan credential stuffing otomatis yang berusaha rendah, efektivitasnya turun drastis ketika melibatkan lawan manusia yang sesungguhnya.

Studi keamanan penting dari Google menunjukkan bahwa meskipun kode SMS mampu memblokir sekitar sembilan puluh enam persen upaya phishing massal, efektivitasnya menurun secara signifikan terhadap kampanye yang ditargetkan. Ketika penyerang memusatkan upayanya pada individu atau organisasi tertentu, kode teks gagal memberikan perlindungan yang andal. Akibatnya, kerangka kerja keamanan siber utama dan investigasi pelanggaran tahunan, termasuk laporan dari Verizon, kini secara aktif merekomendasikan penghentian penggunaan pesan teks dan panggilan suara untuk verifikasi masuk sepenuhnya.

Serangan Adversary-in-the-Middle

Keterbatasan utama dari kode apa pun yang diketik adalah kode tersebut dapat dialihkan. Dalam serangan adversary-in-the-middle, pelaku kejahatan menyebarkan klon halaman login Microsoft 365 yang sangat canggih dan identik piksel demi piksel. Saat Anda mengetikkan kata sandi dan kode SMS ke portal palsu ini, proxy langsung meneruskan kredensial Anda ke layanan yang asli. Sistem memberikan akses, dan penyerang menangkap token sesi yang aktif, sehingga melewati pertahanan Anda sepenuhnya meskipun Anda memasukkan kode yang valid.

Beralih dari SMS ke Alternatif Modern

Beralih dari pesan teks memerlukan pemahaman tentang hierarki faktor kedua yang tersedia. Untuk benar-benar melindungi lingkungan Microsoft 365 Anda, organisasi harus memindahkan pengguna ke metode yang menghilangkan rahasia yang dapat digunakan ulang dan ketergantungan pada jaringan operator seluler.

Aplikasi Authenticator dan Pencocokan Angka

Aplikasi authenticator merupakan lompatan besar dibandingkan SMS. Dengan menghasilkan kata sandi sekali pakai berbasis waktu yang berubah secara berkala langsung di perangkat, aplikasi ini sepenuhnya melewati jaringan telepon. Selain itu, saat menggunakan solusi enterprise seperti aplikasi Microsoft Authenticator, fitur seperti pencocokan angka dapat menetralkan serangan prompt bombing. Pengguna harus melihat layar login, membaca angka acak, lalu memasukkannya ke aplikasi seluler, sehingga memastikan mereka secara sadar menyetujui upaya masuk yang memang mereka mulai sendiri.

Passkey Tahan Phishing dan Kunci Keamanan

Standar emas untuk autentikasi modern adalah kunci perangkat keras yang tahan phishing atau passkey platform. Mekanisme ini mengandalkan kriptografi kunci publik. Perangkat Anda menyimpan kunci kriptografi privat yang tidak pernah meninggalkan perangkat keras. Saat Anda melakukan autentikasi, situs mengirimkan tantangan kriptografi yang kemudian ditandatangani oleh perangkat Anda. Situs phishing palsu tidak dapat memalsukan tanda tangan ini, sehingga serangan adversary-in-the-middle menjadi sepenuhnya tidak efektif. Metrik Microsoft sendiri menunjukkan bahwa proses masuk dengan passkey jauh lebih cepat dibandingkan kata sandi tradisional ditambah permintaan MFA standar, yang membuktikan bahwa keamanan yang lebih kuat tidak harus mengorbankan pengalaman pengguna.

Mengelola Transisi untuk Organisasi Anda

Menerapkan kebijakan yang melarang autentikasi SMS dapat memicu penolakan jika tidak ditangani dengan hati-hati. Administrator IT harus merencanakan penerapan secara strategis. Mulailah dengan menargetkan akun berisiko tinggi, seperti administrator global, staf keuangan, dan pengguna yang memiliki akses ke portal infrastruktur kritis. Berikan kepada pengguna setidaknya dua metode verifikasi yang valid serta jalur pemulihan yang jelas dan telah diuji, untuk menghindari terkuncinya pengguna yang sah dari akun mereka saat ponsel hilang atau diganti.

Kesimpulan dan Langkah Selanjutnya

Meskipun bentuk apa pun dari autentikasi multi-faktor jelas lebih baik daripada hanya mengandalkan kata sandi, tetap menggunakan kode teks SMS membuat lingkungan cloud modern terpapar risiko yang sebenarnya dapat dicegah. Beralih ke aplikasi authenticator dengan pencocokan angka atau passkey yang sepenuhnya tahan phishing akan mengubah postur keamanan Anda dari penghalang yang rapuh menjadi pertahanan yang tangguh.

Untuk menggali lebih dalam mekanisme perlindungan identitas, konfigurasi keamanan cloud, dan strategi autentikasi modern, simak diskusi terkait di podcast kami. Dengarkan episode lengkapnya dan bergabunglah bersama kami saat kami mengupas semua yang Anda butuhkan untuk mengamankan lingkungan Microsoft 365 dan Azure Anda.

Pertanyaan Umum

Mengapa SMS dianggap sebagai metode autentikasi multi-faktor yang lemah?

Kode SMS dikirim melalui jaringan operator seluler, bukan melalui saluran aplikasi yang terenkripsi. Hal ini membuatnya rentan terhadap serangan SIM swapping, yaitu ketika pelaku kejahatan memperdaya operator seluler agar memindahkan nomor ponsel Anda ke perangkat yang mereka kendalikan.

Apakah Microsoft 365 memungkinkan administrator untuk menonaktifkan autentikasi SMS?

Ya, administrator Microsoft 365 dapat menggunakan kontrol kebijakan metode autentikasi di Entra ID untuk membatasi atau menonaktifkan opsi SMS dan panggilan suara, sehingga mengarahkan pengguna ke opsi yang lebih aman seperti aplikasi Microsoft Authenticator atau kunci FIDO2.

Bagaimana metode pencocokan angka pada aplikasi authenticator mencegah phishing?

Pencocokan angka mengharuskan pengguna memasukkan angka tertentu yang ditampilkan di layar login ke dalam aplikasi authenticator mereka. Hal ini mencegah pengguna menekan setujui secara membabi buta saat mengalami prompt fatigue atau serangan adversary-in-the-middle.

Apa alternatif terbaik dari kode teks SMS untuk pengguna enterprise?

Kunci keamanan FIDO2 dan passkey modern memberikan tingkat keamanan tertinggi karena sepenuhnya tahan terhadap phishing dan mengandalkan kriptografi kunci publik, bukan kode yang dapat digunakan ulang.