Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Pengungkapan terbaru dari Microsoft mengungkapkan bahwa aktivitas kejahatan dunia maya memasuki tahap yang lebih kompleks seiring perkembangan sistem otomatisasi digital. Dalam laporan tersebut, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Aktor ancaman ini diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Bagian layanan yang menjadi perhatian berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Akibat penyusupan terhadap layanan tepercaya, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang sebelumnya memberikan izin aplikasi.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 telah aktif sejak 2021. Sebelum memanfaatkan agen AI, kelompok tersebut mengandalkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Apabila kompromi awal berhasil dilakukan, pelaku melakukan aktivitas lanjutan melalui akun yang berhasil dikompromikan. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Pemanfaatan otomatisasi tersebut membuat waktu respons menjadi semakin penting karena serangan dapat berjalan secara paralel.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Komponen utama dalam aktivitas Storm-0940 adalah penerapan platform pengujian keamanan ARTEX. ARTEX merupakan framework penetration testing open source. Secara konseptual, ARTEX menggunakan sistem multi-agent berbasis large language model untuk mendukung pengujian keamanan otomatis. Perangkat ini dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut dapat membantu mengevaluasi perlindungan sistem. Meskipun memiliki fungsi pengujian yang sah, teknologi yang sama dapat disalahgunakan pelaku ancaman.
Dalam kampanye Storm-0940, ARTEX dimanfaatkan untuk mempercepat pemindaian lingkungan target, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Kemampuan otomatisasi ini mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Menurut hasil pengamatan Microsoft, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Walaupun kecepatannya mengkhawatirkan, banyak upaya yang teramati tidak mencapai tujuan penyerang. Temuan ini menunjukkan kebutuhan deteksi berkecepatan tinggi.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Untuk memahami dampak serangan, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Aplikasi multi-tenant memberikan akses aplikasi ke banyak lingkungan organisasi berdasarkan izin yang sebelumnya diberikan. Pada penggunaan yang sah, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa membutuhkan autentikasi manual setiap saat. Jika material autentikasi jatuh ke tangan penyerang, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Dalam kasus ConnectWise, pelaku menguasai material autentikasi aplikasi tertentu. Selanjutnya, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan menggunakan kepercayaan yang telah diberikan. Untuk sebagian sistem pelanggan, Microsoft mengidentifikasi penggunaan akses berikutnya melalui Microsoft Graph, termasuk pengumpulan data konfigurasi cloud, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Perubahan tersebut dapat mempertahankan jalur masuk tambahan bahkan setelah integrasi awal diperbaiki. Meski demikian, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Skala Serangan ConnectWise dan Temuan Keamanan Microsoft
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Setidaknya mulai September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Bidang industri yang terdampak penargetan mencakup manufaktur serta teknologi, termasuk lembaga hukum dan nonprofit. Pada salah satu rangkaian percobaan autentikasi, Microsoft mendeteksi jumlah percobaan gagal melebihi 151 ribu pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Walaupun aktivitasnya sangat intensif, Microsoft tidak mengamati keberhasilan login dari rangkaian password spraying itu.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Jumlah tenant yang ditargetkan memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Walaupun jumlah sasaran sangat besar, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Dalam perkembangan tanggal 14 Oktober, ConnectWise mengambil langkah penanganan awal. Setelah itu, ConnectWise menyampaikan advisory awal tanggal 16 Oktober. Produk yang menjadi perhatian mencakup Cloud Backup, SaaS Security, dan Cloud Management yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Dalam upaya mengurangi risiko kompromi, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Di samping pembatasan akses, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Proses peninjauan ini sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya nama tampilan layanan. Langkah tersebut membantu meningkatkan ketepatan investigasi. Sebagai bagian dari rekomendasi keamanan meminta organisasi menjaga catatan audit sebelum melakukan perubahan yang tidak dapat dibatalkan. Melalui langkah tersebut, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Sebagai pemeriksaan lanjutan, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan catatan operasi API. Pemeriksaan sebaiknya mencakup proses login berbasis aplikasi, penambahan kredensial baru, serta perubahan role administratif. Apabila aktivitas mencurigakan terbukti, administrator perlu mencabut izin yang tidak diperlukan. Konsep pemberian hak akses minimum memiliki manfaat besar strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Selain itu, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar percobaan serangan dapat dikenali lebih cepat.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Laporan keamanan terbaru Microsoft menunjukkan bahwa kemajuan otomatisasi berbasis AI mengubah kecepatan ancaman dalam industri keamanan siber. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap layanan cloud dan aplikasi tepercaya. Kasus ConnectWise juga menegaskan pentingnya pengelolaan identitas aplikasi. Kendati operasi memiliki cakupan sangat luas, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Dengan mempertimbangkan temuan tersebut, organisasi sebaiknya meningkatkan pengendalian akses dan menerapkan prinsip hak akses minimum. Bagaimana pendapat Anda, apakah pengembangan sistem pertahanan otomatis dapat membantu menghadapi serangan yang semakin cepat? Silakan bagikan pendapat Anda tentang masa depan keamanan digital.
