Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Pengungkapan terbaru dari Microsoft mengungkapkan bahwa ancaman keamanan siber semakin berkembang seiring penggunaan teknologi AI. Dalam laporan tersebut, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Kelompok tersebut diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Target utamanya berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Akibat penyusupan terhadap layanan tepercaya, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang telah mempercayai integrasi perangkat lunak tersebut.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 telah aktif sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut memanfaatkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Ketika berhasil masuk ke sistem, pelaku berusaha memperluas kendali melalui akun yang berhasil dikompromikan. Pada rangkaian serangan tahun 2026, penggunaan ARTEX memungkinkan peningkatan kecepatan beberapa tahapan serangan. Pemanfaatan otomatisasi tersebut menambah tekanan terhadap tim keamanan karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Komponen utama dalam aktivitas Storm-0940 adalah penerapan platform pengujian keamanan ARTEX. Teknologi ARTEX adalah perangkat lunak pengujian penetrasi bersumber terbuka. Secara konseptual, ARTEX menggabungkan beberapa agen kecerdasan buatan untuk mengotomatisasi aktivitas pemeriksaan sistem. Sistem otomatisasi itu dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut mendukung penilaian keamanan organisasi. Akan tetapi, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX digunakan dalam otomatisasi pemindaian lingkungan target, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Kemampuan otomatisasi ini membantu menjalankan banyak pekerjaan secara paralel. Microsoft melaporkan, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Namun penting untuk dipahami, tidak semua organisasi yang disasar berhasil dikompromikan. Temuan ini menegaskan pentingnya pemantauan otomatis.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Untuk memahami dampak serangan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Integrasi cloud lintas organisasi memungkinkan satu aplikasi digunakan berdasarkan persetujuan administrator pelanggan. Dalam kondisi normal, integrasi tersebut membantu menjalankan layanan tanpa membutuhkan autentikasi manual setiap saat. Ketika identitas aplikasi berhasil dikompromikan, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Berdasarkan temuan mengenai aplikasi Cloud Backup, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Selanjutnya, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan memanfaatkan izin aplikasi sebelumnya. Dalam beberapa tenant yang terdampak, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Aktivitas manipulasi identitas ini dapat mempertahankan jalur masuk tambahan bahkan setelah aplikasi yang terdampak dinonaktifkan. Meski demikian, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Sejak September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Bidang industri yang terdampak penargetan mencakup industri pertahanan dan energi, termasuk lembaga hukum dan nonprofit. Pada salah satu rangkaian percobaan autentikasi, Microsoft mendeteksi jumlah percobaan gagal melebihi 151 ribu pada periode 10 hingga 14 Oktober 2026. Operasi autentikasi itu menargetkan 327 akun di delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Jumlah tenant yang ditargetkan menggambarkan kemampuan otomatisasi tingkat tinggi. Perlu dipahami, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Pada perkembangan berikutnya, penyedia layanan tersebut mengumumkan informasi awal kepada mitra pada 16 Oktober. Bagian operasional yang terdampak melibatkan Cloud Backup serta dua layanan terkait lainnya yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Untuk menghadapi ancaman tersebut, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Di samping pembatasan akses, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Proses peninjauan ini dianjurkan menggunakan identifier resmi aplikasi, bukan hanya nama tampilan layanan. Metode pemeriksaan itu berguna untuk menemukan aplikasi yang mungkin terlewat. Microsoft juga menekankan pelestarian bukti digital sebelum melakukan perubahan yang tidak dapat dibatalkan. Berkat pendekatan yang terstruktur, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Langkah penting berikutnya, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan riwayat komunikasi aplikasi. Investigasi dapat diarahkan pada autentikasi service principal, penambahan kredensial baru, serta peningkatan hak akses yang tidak biasa. Apabila aktivitas mencurigakan terbukti, administrator sebaiknya membatasi akses sesuai prosedur respons insiden. Pendekatan izin sesuai kebutuhan menjadi bagian penting strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Selain itu, organisasi perlu memantau anomali secara berkelanjutan agar percobaan serangan dapat dikenali lebih cepat.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Laporan keamanan terbaru Microsoft memperlihatkan bahwa kemajuan otomatisasi berbasis AI mengubah kecepatan ancaman dalam industri keamanan siber. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap layanan cloud dan aplikasi tepercaya. Peristiwa serangan rantai pasok ini juga memperlihatkan risiko izin cloud yang berlebihan. Walaupun serangan menjangkau banyak lingkungan pelanggan, tidak semua percobaan berakhir dengan kompromi. Sebagai pelajaran dari insiden ini, organisasi perlu memperkuat pemantauan dan menjalankan respons insiden yang terstruktur. Menurut Anda, apakah pengembangan sistem pertahanan otomatis dapat membantu menghadapi serangan yang semakin cepat? Mari berbagi pandangan mengenai perkembangan ini tentang masa depan keamanan digital.
