Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Temuan penelitian dari Microsoft mengungkapkan bahwa ancaman keamanan siber semakin berkembang seiring penggunaan teknologi AI. Melalui publikasi keamanan itu, Microsoft Threat Intelligence melacak Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Pelaku yang diidentifikasi Microsoft dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Target utamanya berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Melalui kompromi tersebut, penyerang mencoba mengakses sistem perusahaan lain yang memiliki hubungan layanan dengan ConnectWise.
Menurut penelitian Microsoft, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut memanfaatkan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Setelah memperoleh akses, pelaku melakukan aktivitas lanjutan melalui identitas digital yang disalahgunakan. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perkembangan metode ini menambah tekanan terhadap tim keamanan karena aktivitas mencurigakan dapat berlangsung sangat cepat.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Bagian paling menarik dalam kampanye serangan tersebut adalah penerapan platform pengujian keamanan ARTEX. Kerangka kerja ARTEX dikenal sebagai perangkat lunak pengujian penetrasi bersumber terbuka. Berdasarkan prinsip pengoperasiannya, ARTEX menggabungkan beberapa agen kecerdasan buatan untuk mengotomatisasi aktivitas pemeriksaan sistem. Sistem otomatisasi itu menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Akan tetapi, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX digunakan dalam otomatisasi pemindaian lingkungan target, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Kemampuan otomatisasi ini mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Namun penting untuk dipahami, banyak upaya yang teramati tidak mencapai tujuan penyerang. Kondisi tersebut menegaskan pentingnya pemantauan otomatis.
Penyalahgunaan Aplikasi OAuth dan Akses Microsoft 365
Untuk memahami dampak serangan, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Integrasi cloud lintas organisasi mendukung layanan bagi beberapa pelanggan berdasarkan persetujuan administrator pelanggan. Dalam kondisi normal, integrasi tersebut membantu menjalankan layanan tanpa membutuhkan autentikasi manual setiap saat. Ketika identitas aplikasi berhasil dikompromikan, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Pada insiden yang dianalisis, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Selanjutnya, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan mengandalkan hubungan otorisasi yang sudah ada. Dalam beberapa tenant yang terdampak, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Aktivitas manipulasi identitas ini berpotensi menciptakan akses persisten bahkan setelah integrasi awal diperbaiki. Meski demikian, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Skala Serangan ConnectWise dan Temuan Keamanan Microsoft
Microsoft mengungkap, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Dalam aktivitas yang teramati sejak September, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Kategori organisasi yang dituju meliputi pemerintahan dan keuangan, termasuk perusahaan semikonduktor. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Walaupun aktivitasnya sangat intensif, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Angka tersebut memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Walaupun jumlah sasaran sangat besar, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Pada 14 Oktober 2026, ConnectWise memulai penyelidikan serta tindakan pengamanan. Perusahaan kemudian menerbitkan pemberitahuan keamanan pada 16 Oktober. Layanan terkait melibatkan Cloud Backup serta dua layanan terkait lainnya yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Panduan Microsoft untuk Mengamankan Aplikasi Cloud
Untuk menghadapi ancaman tersebut, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Sebagai tindakan awal lainnya, administrator disarankan meninjau lingkungan Microsoft 365 yang pernah menggunakan integrasi. Evaluasi keamanan tersebut dianjurkan menggunakan identifier resmi aplikasi, bukan hanya label yang terlihat dalam antarmuka. Langkah tersebut mengurangi risiko kesalahan identifikasi. Dalam panduan mitigasinya, Microsoft meminta organisasi menjaga catatan audit sebelum menghapus konfigurasi aplikasi. Melalui langkah tersebut, tim keamanan memiliki informasi pendukung investigasi.
Langkah penting berikutnya, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan catatan operasi API. Investigasi dapat diarahkan pada aktivitas identitas aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta perubahan role administratif. Apabila aktivitas mencurigakan terbukti, administrator harus mempertimbangkan rotasi kredensial terdampak. Prinsip least privilege memiliki manfaat besar strategi pertahanan karena akses administratif perlu dibatasi secara proporsional. Selain itu, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar indikasi kompromi dapat segera ditindaklanjuti.
Masa Depan Keamanan Siber Menghadapi Agen AI Peretas
Pengungkapan Microsoft memberikan gambaran bahwa penggunaan sistem agen cerdas menghadirkan tantangan baru dalam perlindungan sistem digital. Melalui penggunaan ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap infrastruktur digital perusahaan. Kasus ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Kendati operasi memiliki cakupan sangat luas, jumlah sasaran tidak sama dengan jumlah korban yang berhasil dibobol. Sebagai pelajaran dari insiden ini, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menjaga kesiapan menghadapi serangan otomatis. Dari sudut pandang Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman dapat membantu menghadapi serangan yang semakin cepat? Jangan ragu menyampaikan pemikiran Anda tentang pentingnya perlindungan aplikasi cloud.
