Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Temuan penelitian dari Microsoft menunjukkan bahwa aktivitas kejahatan dunia maya mengalami perubahan signifikan seiring perkembangan sistem otomatisasi digital. Dalam laporan tersebut, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Pelaku yang diidentifikasi Microsoft diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Bagian layanan yang menjadi perhatian berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Melalui kompromi tersebut, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang sebelumnya memberikan izin aplikasi.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 diketahui beroperasi sejak tahun 2021. Dalam pola operasi yang telah diamati, kelompok tersebut menggunakan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Setelah memperoleh akses, pelaku melakukan aktivitas lanjutan melalui identitas digital yang disalahgunakan. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX memungkinkan peningkatan kecepatan beberapa tahapan serangan. Perkembangan metode ini membuat waktu respons menjadi semakin penting karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Teknologi ARTEX Mempercepat Otomatisasi Aktivitas Peretasan
Bagian paling menarik dalam kampanye serangan tersebut adalah pemanfaatan sistem AI bernama ARTEX. Kerangka kerja ARTEX dikenal sebagai sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Secara konseptual, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk mendukung pengujian keamanan otomatis. Perangkat ini menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Dalam penggunaan yang sah, kemampuan tersebut mendukung penilaian keamanan organisasi. Meskipun memiliki fungsi pengujian yang sah, teknologi yang sama dapat disalahgunakan pelaku ancaman.
Dalam kampanye Storm-0940, ARTEX berperan membantu pelaksanaan pemindaian lingkungan target, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Dukungan agen AI tersebut membantu menjalankan banyak pekerjaan secara paralel. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Namun penting untuk dipahami, tidak semua organisasi yang disasar berhasil dikompromikan. Kondisi tersebut menunjukkan kebutuhan deteksi berkecepatan tinggi.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Agar mekanisme kompromi lebih jelas, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Aplikasi multi-tenant mendukung layanan bagi beberapa pelanggan berdasarkan persetujuan administrator pelanggan. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut membantu menjalankan layanan tanpa mengharuskan pengguna melakukan login berulang. Jika material autentikasi jatuh ke tangan penyerang, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Pada insiden yang dianalisis, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Setelah akses tersebut diperoleh, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan mengandalkan hubungan otorisasi yang sudah ada. Pada sejumlah lingkungan, Microsoft mengamati aktivitas lanjutan melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Tindakan penyerang tersebut berpotensi menciptakan akses persisten bahkan setelah aplikasi yang terdampak dinonaktifkan. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak otomatis membuktikan pencurian data.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Berdasarkan telemetri yang dianalisis, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Setidaknya mulai September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Bidang industri yang terdampak penargetan meliputi industri pertahanan dan energi, termasuk lembaga hukum dan nonprofit. Dalam bagian kampanye yang diperiksa, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Aktivitas otomatis tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Angka tersebut menunjukkan luasnya jangkauan serangan. Perlu dipahami, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Dalam perkembangan tanggal 14 Oktober, ConnectWise mengambil langkah penanganan awal. Setelah itu, ConnectWise menyampaikan advisory awal tanggal 16 Oktober. Produk yang menjadi perhatian mencakup Cloud Backup, SaaS Security, dan Cloud Management yang terpengaruh oleh tindakan pembatasan operasional.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Untuk menghadapi ancaman tersebut, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Sebagai tindakan awal lainnya, administrator perlu memeriksa seluruh tenant yang relevan. Pemeriksaan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya judul aplikasi pada daftar integrasi. Metode pemeriksaan itu membantu meningkatkan ketepatan investigasi. Dalam panduan mitigasinya, Microsoft meminta organisasi menjaga catatan audit sebelum menghapus konfigurasi aplikasi. Berkat pendekatan yang terstruktur, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Langkah penting berikutnya, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan catatan operasi API. Evaluasi keamanan perlu memperhatikan aktivitas identitas aplikasi, perubahan rahasia autentikasi, serta perubahan role administratif. Apabila aktivitas mencurigakan terbukti, administrator perlu mencabut izin yang tidak diperlukan. Pendekatan izin sesuai kebutuhan menjadi bagian penting strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Tidak kalah penting, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar percobaan serangan dapat dikenali lebih cepat.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Pengungkapan Microsoft menunjukkan bahwa kemajuan otomatisasi berbasis AI menghadirkan tantangan baru dalam pengelolaan infrastruktur perusahaan. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap layanan cloud dan aplikasi tepercaya. Kasus ConnectWise juga menegaskan pentingnya pengelolaan identitas aplikasi. Kendati operasi memiliki cakupan sangat luas, tidak semua percobaan berakhir dengan kompromi. Sebagai pelajaran dari insiden ini, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menjalankan respons insiden yang terstruktur. Bagaimana pendapat Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman dapat membantu menghadapi serangan yang semakin cepat? Mari berbagi pandangan mengenai perkembangan ini tentang masa depan keamanan digital.
