Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Temuan penelitian dari Microsoft mengungkapkan bahwa ancaman keamanan siber mengalami perubahan signifikan seiring penggunaan teknologi AI. Berdasarkan hasil investigasi, Microsoft Threat Intelligence menemukan keterlibatan Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Aktor ancaman ini dikaitkan secara langsung dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Akibat penyusupan terhadap layanan tepercaya, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang memiliki hubungan layanan dengan ConnectWise.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 telah aktif sejak 2021. Sebelum memanfaatkan agen AI, kelompok tersebut mengandalkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Setelah memperoleh akses, pelaku melakukan aktivitas lanjutan melalui kredensial milik lingkungan korban. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perkembangan metode ini membuat waktu respons menjadi semakin penting karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Teknologi ARTEX Mempercepat Otomatisasi Aktivitas Peretasan
Salah satu aspek terpenting dalam kampanye serangan tersebut adalah penggunaan kerangka kerja ARTEX. Teknologi ARTEX adalah sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Dalam rancangan teknologinya, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk mengotomatisasi aktivitas pemeriksaan sistem. Kerangka kerja tersebut menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut mendukung penilaian keamanan organisasi. Akan tetapi, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX dimanfaatkan untuk mempercepat pengumpulan informasi mengenai sistem, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Kemampuan otomatisasi ini memungkinkan berbagai aktivitas berlangsung cepat. Menurut hasil pengamatan Microsoft, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Meskipun demikian, sebagian besar percobaan penargetan tidak berhasil. Kondisi tersebut menunjukkan kebutuhan deteksi berkecepatan tinggi.
Penyalahgunaan Aplikasi OAuth dan Akses Microsoft 365
Sebelum menilai risiko terhadap pelanggan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam ekosistem perangkat lunak perusahaan. Perangkat lunak yang melayani banyak tenant memungkinkan satu aplikasi digunakan berdasarkan izin yang sebelumnya diberikan. Pada penggunaan yang sah, integrasi tersebut mendukung operasional perangkat lunak tanpa mengharuskan pengguna melakukan login berulang. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Pada insiden yang dianalisis, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Selanjutnya, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan menggunakan kepercayaan yang telah diberikan. Dalam beberapa tenant yang terdampak, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Perubahan tersebut mungkin memungkinkan keberlanjutan akses tidak sah bahkan setelah kredensial awal diganti. Meski demikian, keberhasilan login tidak otomatis membuktikan pencurian data.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Dalam aktivitas yang teramati sejak September, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Bidang industri yang terdampak penargetan meliputi pemerintahan dan keuangan, termasuk organisasi penelitian. Dalam bagian kampanye yang diperiksa, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Skala percobaan akses ini menggambarkan kemampuan otomatisasi tingkat tinggi. Namun demikian, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Dalam perkembangan tanggal 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Perusahaan kemudian menerbitkan pemberitahuan keamanan pada 16 Oktober. Produk yang menjadi perhatian melibatkan Cloud Backup serta dua layanan terkait lainnya yang mengalami penangguhan untuk penanganan keamanan.
Panduan Microsoft untuk Mengamankan Aplikasi Cloud
Dalam upaya mengurangi risiko kompromi, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Selain itu, administrator perlu memeriksa seluruh tenant yang relevan. Pemeriksaan tersebut perlu memakai identitas aplikasi yang akurat, bukan hanya judul aplikasi pada daftar integrasi. Hal ini berguna untuk menemukan aplikasi yang mungkin terlewat. Dalam panduan mitigasinya, Microsoft menekankan pelestarian bukti digital sebelum melakukan perubahan yang tidak dapat dibatalkan. Dengan demikian, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Sebagai pemeriksaan lanjutan, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan riwayat komunikasi aplikasi. Investigasi dapat diarahkan pada proses login berbasis aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta peningkatan hak akses yang tidak biasa. Ketika kompromi berhasil dikonfirmasi, administrator sebaiknya membatasi akses sesuai prosedur respons insiden. Pendekatan izin sesuai kebutuhan membantu memperkuat strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Tidak kalah penting, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar percobaan serangan dapat dikenali lebih cepat.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Pengungkapan Microsoft memperlihatkan bahwa kemajuan otomatisasi berbasis AI dapat memperbesar risiko tertentu dalam perlindungan sistem digital. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap infrastruktur digital perusahaan. Peristiwa serangan rantai pasok ini juga memperlihatkan risiko izin cloud yang berlebihan. Walaupun serangan menjangkau banyak lingkungan pelanggan, tidak semua percobaan berakhir dengan kompromi. Sebagai pelajaran dari insiden ini, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menerapkan prinsip hak akses minimum. Bagaimana pendapat Anda, apakah pemanfaatan AI dalam keamanan siber dapat membantu menghadapi serangan yang semakin cepat? Mari berbagi pandangan mengenai perkembangan ini tentang pentingnya perlindungan aplikasi cloud.
