Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Laporan keamanan terkini dari Microsoft menunjukkan bahwa ancaman keamanan siber semakin berkembang seiring penggunaan teknologi AI. Dalam laporan tersebut, Microsoft Threat Intelligence melacak Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Aktor ancaman ini diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Melalui kompromi tersebut, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang sebelumnya memberikan izin aplikasi.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut memanfaatkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Setelah memperoleh akses, pelaku mencoba meningkatkan hak akses melalui identitas digital yang disalahgunakan. Pada rangkaian serangan tahun 2026, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Perkembangan metode ini menambah tekanan terhadap tim keamanan karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Bagian paling menarik dalam kampanye serangan tersebut adalah penggunaan kerangka kerja ARTEX. ARTEX merupakan framework penetration testing open source. Berdasarkan prinsip pengoperasiannya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk mendukung pengujian keamanan otomatis. Perangkat ini dibangun dengan komponen perangkat lunak berbasis Go dan antarmuka Next.js. Dalam penggunaan yang sah, kemampuan tersebut mendukung penilaian keamanan organisasi. Meskipun memiliki fungsi pengujian yang sah, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Dalam kampanye Storm-0940, ARTEX berperan membantu pelaksanaan aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Penggunaan sistem berbasis kecerdasan buatan membantu menjalankan banyak pekerjaan secara paralel. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Meskipun demikian, sebagian besar percobaan penargetan tidak berhasil. Kondisi tersebut menunjukkan kebutuhan deteksi berkecepatan tinggi.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Untuk memahami dampak serangan, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam ekosistem perangkat lunak perusahaan. Perangkat lunak yang melayani banyak tenant mendukung layanan bagi beberapa pelanggan berdasarkan mekanisme otorisasi yang telah disetujui. Dalam kondisi normal, integrasi tersebut mendukung operasional perangkat lunak tanpa meminta persetujuan baru pada setiap proses. Ketika identitas aplikasi berhasil dikompromikan, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Dalam kasus ConnectWise, pelaku menguasai material autentikasi aplikasi tertentu. Dalam aktivitas lanjutan, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan menggunakan kepercayaan yang telah diberikan. Dalam beberapa tenant yang terdampak, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Aktivitas manipulasi identitas ini berpotensi menciptakan akses persisten bahkan setelah aplikasi yang terdampak dinonaktifkan. Kendati aktivitas akses teridentifikasi, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Microsoft mengungkap, kampanye Storm-0940 menargetkan organisasi secara global. Dalam aktivitas yang teramati sejak September, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Bidang industri yang terdampak penargetan mencakup manufaktur serta teknologi, termasuk organisasi penelitian. Dalam bagian kampanye yang diperiksa, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Aktivitas otomatis tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Jumlah tenant yang ditargetkan menggambarkan kemampuan otomatisasi tingkat tinggi. Walaupun jumlah sasaran sangat besar, tenant yang menerima percobaan akses tidak selalu berhasil dikompromikan. Pada 14 Oktober 2026, ConnectWise memulai penyelidikan serta tindakan pengamanan. Perusahaan kemudian mengumumkan informasi awal kepada mitra pada 16 Oktober. Bagian operasional yang terdampak mencakup Cloud Backup, SaaS Security, dan Cloud Management yang mengalami penangguhan untuk penanganan keamanan.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Untuk menghadapi ancaman tersebut, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Sebagai tindakan awal lainnya, administrator perlu memeriksa seluruh tenant yang relevan. Pemeriksaan tersebut perlu memakai identitas aplikasi yang akurat, bukan hanya judul aplikasi pada daftar integrasi. Hal ini mengurangi risiko kesalahan identifikasi. Sebagai bagian dari rekomendasi keamanan meminta organisasi menjaga catatan audit sebelum melakukan perubahan yang tidak dapat dibatalkan. Dengan demikian, tim keamanan memiliki informasi pendukung investigasi.
Sebagai pemeriksaan lanjutan, organisasi sebaiknya mengevaluasi log Microsoft Entra, Microsoft 365, dan catatan operasi API. Investigasi dapat diarahkan pada autentikasi service principal, penambahan kredensial baru, serta peningkatan hak akses yang tidak biasa. Apabila aktivitas mencurigakan terbukti, administrator perlu mencabut izin yang tidak diperlukan. Prinsip least privilege membantu memperkuat strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Sebagai tindakan tambahan, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar tim keamanan memiliki waktu respons yang lebih baik.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Laporan keamanan terbaru Microsoft memperlihatkan bahwa kemajuan otomatisasi berbasis AI menghadirkan tantangan baru dalam industri keamanan siber. Melalui penggunaan ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap infrastruktur digital perusahaan. Insiden kompromi layanan ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Walaupun serangan menjangkau banyak lingkungan pelanggan, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Sebagai pelajaran dari insiden ini, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menjaga kesiapan menghadapi serangan otomatis. Dari sudut pandang Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman akan menjadi kebutuhan utama perusahaan di masa depan? Jangan ragu menyampaikan pemikiran Anda tentang tantangan serangan siber berbasis AI.
