Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Laporan keamanan terkini dari Microsoft mengungkapkan bahwa aktivitas kejahatan dunia maya memasuki tahap yang lebih kompleks seiring pemanfaatan kecerdasan buatan. Berdasarkan hasil investigasi, Microsoft Threat Intelligence menemukan keterlibatan Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Pelaku yang diidentifikasi Microsoft dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Melalui kompromi tersebut, penyerang berupaya menjangkau lingkungan pelanggan yang sebelumnya memberikan izin aplikasi.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 diketahui beroperasi sejak tahun 2021. Sebelum memanfaatkan agen AI, kelompok tersebut memanfaatkan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Setelah memperoleh akses, pelaku berusaha memperluas kendali melalui kredensial milik lingkungan korban. Pada rangkaian serangan tahun 2026, penggunaan ARTEX memungkinkan peningkatan kecepatan beberapa tahapan serangan. Perkembangan metode ini menambah tekanan terhadap tim keamanan karena serangan dapat berjalan secara paralel.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Salah satu aspek terpenting dalam aktivitas Storm-0940 adalah pemanfaatan sistem AI bernama ARTEX. Teknologi ARTEX adalah perangkat lunak pengujian penetrasi bersumber terbuka. Dalam rancangan teknologinya, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk menjalankan rangkaian penilaian kerentanan. Kerangka kerja tersebut dibangun dengan komponen perangkat lunak berbasis Go dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Namun demikian, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Pada operasi yang diidentifikasi Microsoft, ARTEX digunakan dalam otomatisasi pemindaian lingkungan target, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Kemampuan otomatisasi ini memungkinkan berbagai aktivitas berlangsung cepat. Menurut hasil pengamatan Microsoft, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Namun penting untuk dipahami, tidak semua organisasi yang disasar berhasil dikompromikan. Kondisi tersebut menunjukkan kebutuhan deteksi berkecepatan tinggi.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Untuk memahami dampak serangan, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Integrasi cloud lintas organisasi memungkinkan satu aplikasi digunakan berdasarkan mekanisme otorisasi yang telah disetujui. Dalam kondisi normal, integrasi tersebut mendukung operasional perangkat lunak tanpa membutuhkan autentikasi manual setiap saat. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Berdasarkan temuan mengenai aplikasi Cloud Backup, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Setelah akses tersebut diperoleh, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan mengandalkan hubungan otorisasi yang sudah ada. Pada sejumlah lingkungan, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pengumpulan data konfigurasi cloud, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Tindakan penyerang tersebut berpotensi menciptakan akses persisten bahkan setelah kredensial awal diganti. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Skala Serangan ConnectWise dan Temuan Keamanan Microsoft
Berdasarkan telemetri yang dianalisis, kampanye Storm-0940 memiliki cakupan internasional. Dalam aktivitas yang teramati sejak September, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Bidang industri yang terdampak penargetan meliputi pemerintahan dan keuangan, termasuk organisasi penelitian. Pada salah satu rangkaian percobaan autentikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Meskipun jumlahnya besar, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Skala percobaan akses ini memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Walaupun jumlah sasaran sangat besar, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise mengambil langkah penanganan awal. Pada perkembangan berikutnya, penyedia layanan tersebut menyampaikan advisory awal tanggal 16 Oktober. Layanan terkait mencakup Cloud Backup, SaaS Security, dan Cloud Management yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Dalam upaya mengurangi risiko kompromi, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Selain itu, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Pemeriksaan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya label yang terlihat dalam antarmuka. Metode pemeriksaan itu membantu meningkatkan ketepatan investigasi. Microsoft juga menekankan pelestarian bukti digital sebelum melakukan perubahan yang tidak dapat dibatalkan. Melalui langkah tersebut, tim keamanan memiliki informasi pendukung investigasi.
Langkah penting berikutnya, organisasi sebaiknya mengevaluasi log Microsoft Entra, Microsoft 365, dan riwayat komunikasi aplikasi. Evaluasi keamanan perlu memperhatikan proses login berbasis aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta peningkatan hak akses yang tidak biasa. Apabila aktivitas mencurigakan terbukti, administrator harus mempertimbangkan rotasi kredensial terdampak. Pendekatan izin sesuai kebutuhan memiliki manfaat besar strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Sebagai tindakan tambahan, organisasi perlu memantau anomali secara berkelanjutan agar percobaan serangan dapat dikenali lebih cepat.
Masa Depan Keamanan Siber Menghadapi Agen AI Peretas
Pengungkapan Microsoft memberikan gambaran bahwa perkembangan TEKNOLOGI kecerdasan buatan menghadirkan tantangan baru dalam industri keamanan siber. Melalui penggunaan ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap layanan cloud dan aplikasi tepercaya. Peristiwa serangan rantai pasok ini juga menegaskan pentingnya pengelolaan identitas aplikasi. Meskipun ribuan tenant menjadi sasaran, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Oleh karena itu, organisasi sebaiknya meningkatkan pengendalian akses dan menjalankan respons insiden yang terstruktur. Menurut Anda, apakah pemanfaatan AI dalam keamanan siber akan menjadi kebutuhan utama perusahaan di masa depan? Jangan ragu menyampaikan pemikiran Anda tentang tantangan serangan siber berbasis AI.
