Phishing Pasca Gangguan Microsoft 365: Yang Perlu Diwaspadai Setelah Gangguan 12–13 November
CyberRank Research
Menurut Microsoft, gangguan Microsoft 365 yang dimulai 12 November 2026 tidak disebabkan aktivitas berbahaya, tetapi membuka peluang phishing bertema gangguan: email palsu "mailbox telah dipulihkan", telepon palsu dari "IT support", dan pesan yang mengatasnamakan vendor Anda. Bank dan perusahaan keamanan sudah memperingatkan modus ini saat gangguan masih berlangsung, karena karyawan yang sedang membereskan tumpukan email sehari penuh cenderung percaya pada apa pun yang tampak berasal dari Microsoft atau pemasok yang dikenal. CyberRank membantu Anda melihat vendor mana yang autentikasi emailnya lemah atau kredensialnya bocor, dua kelemahan yang mempermudah phishing atas nama vendor.
Intisari
- Sejak sekitar pukul 16.00 UTC pada 12 November, Exchange Online, Outlook, Teams, SharePoint, Copilot dan Defender XDR terganggu di banyak negara; pemulihan masih sebagian pada 13 November.
- Microsoft menyatakan tidak menemukan indikasi aktivitas berbahaya. Gangguan ini bukan kebocoran data, tetapi menjadi peluang phishing.
- Waspadai pesan yang meminta "mengaktifkan ulang" mailbox, verifikasi ulang akun, menelepon IT support, atau membayar ke "rekening baru" saat email vendor sedang bermasalah.
- Jangan pernah login melalui tautan terkait gangguan; periksa status.cloud.microsoft atau admin center secara langsung.
- CyberRank menampilkan keamanan email (DKIM/DMARC) dan temuan kredensial bocor setiap vendor, sehingga Anda tahu pesan vendor mana yang perlu diverifikasi ekstra.
Apa yang terjadi pada 12–13 November
Pada Kamis, 12 November 2026, pengguna di banyak wilayah kehilangan akses ke mailbox Outlook dan ke layanan Microsoft 365 yang bergantung pada Exchange Online. Microsoft mencatat insiden ini di admin center sebagai EX1550543 (Exchange Online) dan MO1550821 (seluruh suite).
Pembaruan terakhir: Sab 14 Nov 2026, 09.00 WIB. Investigasi Microsoft masih berjalan; artikel ini diperbarui setiap kali Microsoft merilis informasi baru.
| Waktu (UTC) | Yang terjadi |
|---|---|
| 12 Nov, ~16.17 | Yang terjadiInsiden Exchange Online EX1550543 dibuka: pengguna tidak dapat mengakses mailbox melalui beberapa metode koneksi |
| 12 Nov, ~18.26 | Yang terjadiInsiden seluruh suite MO1550821 dibuka: pengguna mungkin tidak dapat terhubung ke beberapa layanan Microsoft 365 |
| 12 Nov, malam | Yang terjadiMicrosoft menyatakan server gagal dalam pemeriksaan kesehatan otomatis dan menjadi tidak tersedia, sehingga beban berpindah ke server yang tersisa |
| 13 Nov, 04.11 dan 05.46 | Yang terjadiMicrosoft menyatakan "tidak ada indikasi" aktivitas berbahaya, lalu "tidak mengetahui adanya" aktivitas tersebut |
| 13 Nov, pagi | Yang terjadiPemulihan sebagian setelah perbaikan routing dan autentikasi; sebagian server yang di-restart gagal lagi saat lalu lintas kembali; batas waktu email diperpanjang menjadi 48 jam |
Layanan apa saja yang terdampak?
Menurut halaman status layanan Microsoft dan pembaruannya di X, daftar layanan terdampak bertambah selama insiden dan mencakup Teams, SharePoint Online, Microsoft 365 Copilot, Intune, Purview, Defender XDR dan Defender for Office 365. Laporan gangguan datang dari puluhan negara; dampak di Indonesia belum banyak dilaporkan saat artikel ini ditulis.
Bagaimana CyberRank membantu: gangguan pada penyedia bersama adalah peristiwa risiko pihak ketiga bagi Anda dan bagi sebagian besar vendor Anda sekaligus.
Apakah ini serangan siber?
Microsoft menyatakan tidak menemukan indikasi bahwa gangguan ini disebabkan aktivitas berbahaya, dan menggambarkannya sebagai kegagalan infrastruktur: server gagal dalam pemeriksaan kesehatan dan proses koneksi aman yang kelebihan beban.
Pernyataannya sedikit berubah dalam semalam, seperti dilaporkan The Register, dari "tidak ada indikasi" menjadi "tidak mengetahui adanya", dan akar masalahnya belum dipublikasikan saat artikel ini ditulis. Perlakukan gangguan ini sebagai insiden ketersediaan, bukan kebocoran data, kecuali Microsoft menyatakan lain.
Perbedaan ini penting untuk langkah Anda berikutnya. Anda tidak perlu menganggap tenant Anda disusupi karena gangguan ini. Anda perlu menganggap penyerang akan memanfaatkannya, karena gangguan yang banyak diberitakan memberi mereka cerita yang meyakinkan. Bagaimana CyberRank membantu: CyberRank tidak mendiagnosis gangguan Microsoft; CyberRank membantu Anda menilai pesan atas nama vendor mana yang lebih mudah dipalsukan.
Mengapa gangguan menjadi peluang phishing
Phishing paling berhasil ketika pesannya sesuai dengan yang sudah diharapkan pembaca. Gangguan global menciptakan empat kondisi sekaligus:
- Pesan yang ditunggu. Semua orang menunggu "layanan Anda telah dipulihkan" dan "silakan login kembali". Pesan palsu mudah berbaur.
- Tekanan tumpukan email. Orang yang kembali ke ratusan email tertunda mengklik lebih cepat dan memeriksa lebih sedikit.
- Pertahanan melemah. Seperti dilaporkan Computer Weekly, tim keamanan kehilangan sebagian visibilitas saat Defender XDR dan peringatan berbasis email terganggu.
- Saluran normal terputus. Saat email mati, staf menerima telepon, SMS dan pesan chat dari "IT support" atau "vendor" yang biasanya akan mereka pertanyakan.
Apakah ini juga berlaku bagi pemasok Anda?
Ya. Perusahaan keamanan juga memperingatkan peniruan suara dan video eksekutif selama gangguan, dan pemasok Anda menghadapi tekanan yang sama. Bagaimana CyberRank membantu: kewaspadaan yang sama perlu masuk ke proses vendor Anda, dan di situlah pandangan outside-in CyberRank atas permukaan serangan setiap vendor berperan.
Modus phishing bertema gangguan yang perlu diwaspadai
Waspadai enam jenis modus bertema gangguan: pemberitahuan pemulihan palsu, verifikasi ulang akun, IT support palsu, perubahan rekening pemasok, halaman status atau aplikasi palsu, dan peniruan eksekutif.
Bagaimana CyberRank membantu: dua dari modus ini bergantung pada keamanan vendor Anda, yang diukur CyberRank dari luar; sisanya memerlukan kesadaran pengguna dan kontrol email Anda sendiri.
| Modus | Isi pesan | Tanda bahaya | Respons aman | Bagaimana CyberRank membantu |
|---|---|---|---|---|
| "Mailbox telah dipulihkan" | Isi pesanMailbox Anda telah dipulihkan; login untuk mengaktifkannya kembali atau memulihkan email yang hilang | Tanda bahayaTautan ke halaman login dari sebuah email | Respons amanTutup; buka Outlook atau admin center secara langsung | Bagaimana CyberRank membantuBukan alat inbox; lihat "Di mana CyberRank tidak membantu" |
| "Verifikasi ulang akun Anda" | Isi pesanPemeriksaan keamanan setelah gangguan; konfirmasi kata sandi atau MFA | Tanda bahayaPermintaan apa pun atas kata sandi atau kode MFA Anda | Respons amanLaporkan ke tim keamanan Anda | Bagaimana CyberRank membantuTemuan kredensial bocor menunjukkan apakah kata sandi staf sudah terekspos |
| IT support palsu | Isi pesanTelepon atau SMS yang menawarkan perbaikan Outlook; mungkin meminta akses jarak jauh | Tanda bahayaKontak tanpa diminta, desakan, alat akses jarak jauh | Respons amanTutup telepon; hubungi help desk melalui nomor yang dikenal | Bagaimana CyberRank membantuTidak dicakup |
| "Email vendor sedang mati" | Isi pesanPemasok meminta memakai alamat baru atau rekening baru sampai emailnya pulih | Tanda bahayaPerubahan rekening pembayaran melalui saluran apa pun | Respons amanKonfirmasi melalui telepon ke kontak yang dikenal sebelum membayar | Bagaimana CyberRank membantuMenunjukkan apakah domain vendor menerapkan DMARC, yang mempersulit pemalsuan |
| Halaman status atau aplikasi palsu | Isi pesanUnduhan "perbaikan Outlook" atau situs status tiruan | Tanda bahayaDomain tidak dikenal, permintaan unduhan | Respons amanGunakan hanya status.cloud.microsoft | Bagaimana CyberRank membantuTidak dicakup |
| Peniruan eksekutif | Isi pesanPermintaan mendesak lewat pesan suara, Teams atau WhatsApp dari seorang "direktur" | Tanda bahayaKerahasiaan, desakan, saluran baru | Respons amanTelepon balik ke nomor yang dikenal | Bagaimana CyberRank membantuTidak dicakup |
Sudut pandang pihak ketiga: phishing atas nama vendor Anda
Vendor Anda terdampak gangguan yang sama. Banyak di antaranya menjalankan email di Microsoft 365, sehingga selama sehari atau lebih mereka tidak dapat mengirim atau menerima pesan secara normal.
Ini memberi penyerang cerita sederhana: "email kami sedang mati, silakan gunakan alamat ini" atau "kami pindah bank, bayar ke rekening ini". Ini adalah business email compromise berkedok gangguan, dan sasarannya tim keuangan dan pengadaan, bukan tim keamanan. Tiga kelemahan vendor mempermudahnya:
- DMARC tidak diterapkan: jika domain vendor memublikasikan DMARC dengan p=none atau tidak sama sekali, penyerang dapat mengirim email yang tampak berasal dari domain tersebut (RFC 7489).
- Kredensial bocor: jika kata sandi Microsoft 365 karyawan vendor sudah ada dalam kumpulan kredensial bocor, phishing "verifikasi ulang" bahkan tidak diperlukan; akunnya dapat diambil alih dan mengirim email asli dari mailbox vendor itu sendiri.
- Konsentrasi: ketika banyak vendor Anda bergantung pada penyedia yang sama, satu gangguan melumpuhkan semuanya sekaligus dan melipatgandakan cerita "email kami sedang mati". Gartner telah mendorong CISO untuk menilai ulang risiko konsentrasi ini setelah berulangnya insiden Microsoft 365 pada 2026 (termasuk 22 Januari, 16 Maret dan 31 Agustus).
Apa hubungannya dengan serangan rantai pasok?
Ini adalah pola yang sama di balik serangan rantai pasok lainnya: penyerang memanfaatkan kepercayaan yang sudah Anda berikan kepada pemasok. Apa yang bisa dan tidak bisa ditangkap pemantauan outside-in tentang pemasok dibahas dalam jawaban singkat kami tentang mendeteksi serangan rantai pasok dari luar.
Bagaimana CyberRank membantu: setiap penilaian mencakup keamanan email vendor (DKIM/DMARC), kredensial bocor dan riwayat kebocoran data.
Yang perlu dilakukan minggu ini
Peringatkan staf, bekukan perubahan rekening pemasok tanpa telepon balik, periksa keamanan email dan kredensial bocor vendor kritis Anda, tinjau aktivitas login, siapkan saluran cadangan dan pertahankan pemeriksaan ekstra.
- Peringatkan staf sekarang. Kirim pemberitahuan singkat melalui saluran yang berfungsi: Microsoft tidak akan meminta Anda login melalui tautan terkait gangguan, dan tim IT tidak akan menelepon untuk "memperbaiki Outlook" tanpa pemberitahuan.
- Bekukan perubahan rekening pembayaran. Sampai minggu depan, wajibkan telepon ke kontak yang dikenal sebelum mengubah rekening bank pemasok mana pun, dari saluran apa pun permintaan itu datang.
- Periksa keamanan email vendor kritis Anda. Cek DMARC untuk domain vendor yang menagih Anda atau menyimpan data Anda. Vendor dengan p=none perlu aturan telepon balik, dan temuan ini juga memengaruhi rating keamanan mereka.
- Periksa kredensial bocor. Tinjau kata sandi yang terekspos untuk domain Anda sendiri dan domain vendor kritis Anda, dan paksa reset jika cocok dengan akun aktif.
- Tinjau aktivitas login di tenant Anda sendiri. Cari login yang tidak biasa dan aturan inbox baru yang dibuat selama dan setelah gangguan, saat pemantauan melemah.
- Siapkan saluran cadangan. Pastikan peringatan kesehatan layanan Microsoft dikirim ke alamat yang tidak di-hosting di Exchange Online, dan siapkan cadangan telepon atau SMS untuk insiden.
- Terus pantau. Phishing bertema gangguan biasanya berlanjut beberapa hari setelah pemulihan, jadi pertahankan pemeriksaan ekstra sampai laporan pasca-insiden berikutnya terbit. Inilah alasan perlunya pemantauan berkelanjutan atas vendor, bukan pemeriksaan sekali saja.
Langkah mana yang bisa dilakukan dengan CyberRank?
Langkah 1, 2, 5 dan 6 adalah proses internal Anda. Langkah 3, 4 dan 7 dapat dilakukan dengan CyberRank: Anda bisa mulai dengan alat rating keamanan gratis untuk satu domain. Jika phishing menyebabkan data pribadi terekspos, periksa kewajiban pemberitahuan Anda berdasarkan UU PDP, yang menetapkan jangka waktu 3×24 jam.
Bagaimana CyberRank membantu: CyberRank memeriksa keamanan email dan kredensial bocor di seluruh daftar vendor Anda dan menilai ulang vendor yang dipantau setiap malam, serta memunculkan event saat kebocoran baru muncul.
Di mana CyberRank tidak membantu
CyberRank adalah platform rating outside-in. CyberRank tidak menyaring email, memindai inbox Anda, memblokir tautan phishing, mendeteksi domain tiruan, atau menurunkan situs palsu. CyberRank tidak memantau uptime Microsoft atau memberi tahu kapan gangguan berakhir; gunakan halaman status Microsoft dan admin center Anda untuk itu.
CyberRank tidak dapat melihat ke dalam tenant Microsoft 365 milik vendor, sehingga tidak dapat memastikan apakah mailbox vendor telah diambil alih, dan tidak menggantikan pelatihan kesadaran pengguna, kontrol keamanan email Anda sendiri, atau prosedur telepon balik untuk perubahan rekening pembayaran.
Kesimpulan
Menurut Microsoft, gangguan Microsoft 365 pada 12–13 November adalah kegagalan infrastruktur, bukan serangan. Phishing yang menyusul akan disengaja. Waspadai email "mailbox telah dipulihkan", telepon support palsu, dan pesan pemasok yang meminta Anda memakai alamat atau rekening bank baru.
Peringatkan staf, bekukan perubahan rekening pembayaran tanpa telepon balik, dan periksa vendor mana yang paling mudah ditiru. CyberRank menampilkan keamanan email dan paparan kredensial bocor setiap vendor, sehingga Anda tahu di mana pemeriksaan ekstra paling dibutuhkan.
Referensi
- Microsoft, Microsoft 365 service status, and incidents EX1550543 and MO1550821 in the Microsoft 365 admin center (12–13 November 2026)
- The Register, Microsoft's massive M365 outage stretches past 12 hours as its fixes keep failing (13 November 2026)
- Computer Weekly, Global Microsoft outage leaves users open to phishing attacks (13 November 2026)
- Bitdefender, Microsoft 365 outage disrupts Outlook, Teams and Copilot worldwide (13 November 2026)
- Gartner, First Take: Reassess Concentration Risk After Multiple Microsoft M365 Outages (2 September 2026)
- IETF, RFC 7489 (DMARC)
Pertanyaan yang sering diajukan
Dapatkan rating keamanan gratis Anda
Jalankan rating keamanan CyberRank gratis untuk organisasi mana pun dan lihat sinyal risiko vendor yang sama seperti yang digunakan pelanggan kami.
Dapatkan rating keamanan gratis Anda