Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Temuan penelitian dari Microsoft memperlihatkan bahwa aktivitas kejahatan dunia maya mengalami perubahan signifikan seiring perkembangan sistem otomatisasi digital. Melalui publikasi keamanan itu, Microsoft Threat Intelligence menemukan keterlibatan Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Aktor ancaman ini dikaitkan secara langsung dengan kompromi aplikasi multi-tenant milik ConnectWise. Bagian layanan yang menjadi perhatian berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Akibat penyusupan terhadap layanan tepercaya, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang telah mempercayai integrasi perangkat lunak tersebut.
Menurut penelitian Microsoft, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut mengandalkan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Apabila kompromi awal berhasil dilakukan, pelaku berusaha memperluas kendali melalui kredensial milik lingkungan korban. Dalam kampanye terbaru, penggunaan ARTEX memungkinkan peningkatan kecepatan beberapa tahapan serangan. Perkembangan metode ini menimbulkan tantangan baru karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Komponen utama dalam kampanye serangan tersebut adalah penerapan platform pengujian keamanan ARTEX. Kerangka kerja ARTEX dikenal sebagai sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Berdasarkan prinsip pengoperasiannya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk menjalankan rangkaian penilaian kerentanan. Sistem otomatisasi itu dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Dalam penggunaan yang sah, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Meskipun memiliki fungsi pengujian yang sah, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Pada operasi yang diidentifikasi Microsoft, ARTEX berperan membantu pelaksanaan pemindaian lingkungan target, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Penggunaan sistem berbasis kecerdasan buatan mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Menurut hasil pengamatan Microsoft, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Namun penting untuk dipahami, banyak upaya yang teramati tidak mencapai tujuan penyerang. Kondisi tersebut memperlihatkan perlunya respons keamanan yang lebih cepat.
Penyalahgunaan Aplikasi OAuth dan Akses Microsoft 365
Untuk memahami dampak serangan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Aplikasi multi-tenant memungkinkan satu aplikasi digunakan berdasarkan izin yang sebelumnya diberikan. Pada penggunaan yang sah, integrasi tersebut membantu menjalankan layanan tanpa meminta persetujuan baru pada setiap proses. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Dalam kasus ConnectWise, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Selanjutnya, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan mengandalkan hubungan otorisasi yang sudah ada. Untuk sebagian sistem pelanggan, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Perubahan tersebut mungkin memungkinkan keberlanjutan akses tidak sah bahkan setelah integrasi awal diperbaiki. Walaupun autentikasi mencurigakan ditemukan, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Skala Serangan ConnectWise dan Temuan Keamanan Microsoft
Microsoft mengungkap, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Setidaknya mulai September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Kategori organisasi yang dituju mencakup pemerintahan dan keuangan, termasuk perusahaan semikonduktor. Dalam bagian kampanye yang diperiksa, Microsoft mendeteksi jumlah percobaan gagal melebihi 151 ribu pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut menargetkan 327 akun di delapan organisasi. Meskipun jumlahnya besar, Microsoft tidak mengamati keberhasilan login dari rangkaian password spraying itu.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX membantu menjangkau lebih dari 2.250 tenant melalui upaya login. Jumlah tenant yang ditargetkan menunjukkan luasnya jangkauan serangan. Namun demikian, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Dalam perkembangan tanggal 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Pada perkembangan berikutnya, penyedia layanan tersebut menyampaikan advisory awal tanggal 16 Oktober. Layanan terkait termasuk Cloud Backup, SaaS Security, serta Cloud Management yang mengalami penangguhan untuk penanganan keamanan.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Dalam upaya mengurangi risiko kompromi, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Di samping pembatasan akses, administrator perlu memeriksa seluruh tenant yang relevan. Evaluasi keamanan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya judul aplikasi pada daftar integrasi. Langkah tersebut membantu meningkatkan ketepatan investigasi. Dalam panduan mitigasinya, Microsoft meminta organisasi menjaga catatan audit sebelum melakukan perubahan yang tidak dapat dibatalkan. Melalui langkah tersebut, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Sebagai pemeriksaan lanjutan, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Investigasi dapat diarahkan pada aktivitas identitas aplikasi, penambahan kredensial baru, serta perubahan role administratif. Jika investigasi menemukan akses tidak sah, administrator harus mempertimbangkan rotasi kredensial terdampak. Pendekatan izin sesuai kebutuhan membantu memperkuat strategi pertahanan karena akses administratif perlu dibatasi secara proporsional. Selain itu, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar tim keamanan memiliki waktu respons yang lebih baik.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Temuan mengenai kampanye Storm-0940 menunjukkan bahwa kemajuan otomatisasi berbasis AI mengubah kecepatan ancaman dalam industri keamanan siber. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap lingkungan Microsoft 365. Insiden kompromi layanan ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Meskipun ribuan tenant menjadi sasaran, tidak semua percobaan berakhir dengan kompromi. Sebagai pelajaran dari insiden ini, organisasi sebaiknya meningkatkan pengendalian akses dan menjaga kesiapan menghadapi serangan otomatis. Bagaimana pendapat Anda, apakah pemanfaatan AI dalam keamanan siber akan menjadi kebutuhan utama perusahaan di masa depan? Jangan ragu menyampaikan pemikiran Anda tentang masa depan keamanan digital.
