Kampanye phishing kini makin sulit dikenali karena pelaku tidak lagi harus memakai domain yang mencolok. Menurut Kaspersky, mereka memanfaatkan Amazon Simple Email Service atau SES agar pesan berbahaya tampak seperti email resmi yang dikirim melalui infrastruktur tepercaya.
Cara ini membuat banyak filter keamanan email tradisional lebih mudah dilewati. Saat pesan datang dari layanan resmi yang umum dipakai perusahaan, tampilan email bisa terlihat sah meski tujuan akhirnya adalah mencuri data atau mengarahkan korban ke halaman palsu.
Mengapa Amazon SES jadi sasaran
Amazon SES adalah layanan email berbasis cloud milik Amazon yang memang dipakai untuk notifikasi transaksi, reset kata sandi, promosi, hingga verifikasi akun. Karena reputasinya tepercaya, layanan ini menjadi alat yang efektif ketika disalahgunakan untuk pengiriman phishing.
Kaspersky menjelaskan bahwa pelaku biasanya memperoleh akses melalui kredensial AWS milik perusahaan atau pengembang yang sudah diretas. Jika kunci AWS Identity and Access Management atau IAM bocor, peretas dapat mengirim email langsung lewat server resmi Amazon.
Dalam banyak kasus, email semacam ini juga memakai identitas “amazonses.com”. Kombinasi domain yang tepercaya dan alamat IP sah membuat pesan lebih mudah lolos dari penyaring spam maupun sistem keamanan email.
Kredensial bocor dari sumber yang sering luput diawasi
Kaspersky mencatat bahwa kredensial AWS yang dicuri kerap ditemukan di repositori publik, cloud storage yang salah konfigurasi, atau file konfigurasi yang terekspos tanpa sengaja. Celah seperti ini membuka jalan bagi pelaku untuk mengambil alih akun dan memakainya dalam kampanye phishing.
Begitu infrastruktur resmi dikuasai, serangan jadi lebih meyakinkan. Email tidak hanya tampak legal, tetapi juga dapat dikirim dalam skala besar dengan pola yang sulit dibedakan dari komunikasi bisnis biasa.
DocuSign palsu dan halaman login tiruan
Salah satu kampanye yang ditemukan pada awal 2026 meniru layanan tanda tangan digital seperti DocuSign. Korban menerima email yang meminta mereka meninjau dan menandatangani dokumen penting, sehingga pesan terlihat profesional dan mendesak.
Setelah tautan dibuka, pengguna diarahkan ke halaman login palsu yang dihosting di layanan AWS. Halaman itu dirancang untuk mencuri nama pengguna dan kata sandi, sementara tampilan infrastruktur cloud yang legal membuat banyak orang tidak langsung curiga.
Teknik ini menjadi semakin sulit dikenali karena penyerang memakai pengalihan dari domain tepercaya seperti amazonaws.com untuk menyamarkan tautan berbahaya. Dari sisi korban, tautan tersebut terlihat aman untuk diklik.
BEC ikut memanfaatkan akun yang dibajak
Selain phishing biasa, Kaspersky juga melihat peningkatan serangan Business Email Compromise atau BEC melalui Amazon SES. Dalam skema ini, pelaku menyamar sebagai karyawan perusahaan atau pemasok bisnis dan mengirim email ke bagian keuangan.
Email biasanya berisi permintaan pembayaran mendesak, lengkap dengan lampiran PDF yang memuat detail rekening bank baru. Karena tidak selalu menyertakan tautan berbahaya, pesan seperti ini lebih sulit dideteksi oleh sistem keamanan email.
Skema BEC efektif karena memanfaatkan kepercayaan internal perusahaan. Komunikasinya tampak seperti percakapan bisnis normal, padahal tujuannya mengarahkan dana ke rekening milik pelaku.
Peringatan dan langkah pencegahan
Pakar Anti-Spam Kaspersky, Roman Dedenok, menilai penyalahgunaan layanan cloud tepercaya seperti Amazon SES menunjukkan evolusi baru dalam phishing. Menurutnya, tingkat ancaman meningkat karena pelaku kini bisa mengambil alih langsung infrastruktur pengiriman email yang legal.
Sebelumnya, penyerang juga kerap memanfaatkan layanan populer seperti Google Forms atau Google Tasks untuk menyebar tautan phishing. Namun kontrol atas layanan pengiriman email tepercaya membuat upaya penipuan menjadi jauh lebih meyakinkan.
Kaspersky menyarankan perusahaan memperketat keamanan AWS dengan membatasi izin akses, memakai multi-factor authentication atau MFA, mengganti kunci IAM secara berkala, dan menjalankan audit keamanan rutin. Bagi pengguna umum, kewaspadaan tetap penting meski email terlihat berasal dari layanan yang dikenal luas, terutama saat ada permintaan login, dokumen penting, atau pembayaran mendesak.