Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Pengungkapan terbaru dari Microsoft menunjukkan bahwa aktivitas kejahatan dunia maya semakin berkembang seiring perkembangan sistem otomatisasi digital. Dalam laporan tersebut, Microsoft Threat Intelligence melacak Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Aktor ancaman ini dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Target utamanya berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Dengan memanfaatkan akses aplikasi yang disalahgunakan, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang sebelumnya memberikan izin aplikasi.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Pada aktivitas serangan sebelumnya, kelompok tersebut menggunakan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Apabila kompromi awal berhasil dilakukan, pelaku mencoba meningkatkan hak akses melalui identitas digital yang disalahgunakan. Pada rangkaian serangan tahun 2026, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Perkembangan metode ini menimbulkan tantangan baru karena serangan dapat berjalan secara paralel.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Komponen utama dalam aktivitas Storm-0940 adalah pemanfaatan sistem AI bernama ARTEX. ARTEX merupakan framework penetration testing open source. Dalam rancangan teknologinya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk mendukung pengujian keamanan otomatis. Perangkat ini dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut dapat membantu mengevaluasi perlindungan sistem. Akan tetapi, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Dalam kampanye Storm-0940, ARTEX dimanfaatkan untuk mempercepat aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Penggunaan sistem berbasis kecerdasan buatan mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Walaupun kecepatannya mengkhawatirkan, banyak upaya yang teramati tidak mencapai tujuan penyerang. Kondisi tersebut memperlihatkan perlunya respons keamanan yang lebih cepat.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Sebelum menilai risiko terhadap pelanggan, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Perangkat lunak yang melayani banyak tenant mendukung layanan bagi beberapa pelanggan berdasarkan persetujuan administrator pelanggan. Dalam kondisi normal, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa membutuhkan autentikasi manual setiap saat. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Pada insiden yang dianalisis, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Setelah akses tersebut diperoleh, sistem berbantuan AI melakukan percobaan akses ke infrastruktur Microsoft 365 dengan memanfaatkan izin aplikasi sebelumnya. Dalam beberapa tenant yang terdampak, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Tindakan penyerang tersebut berpotensi menciptakan akses persisten bahkan setelah integrasi awal diperbaiki. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Microsoft mengungkap, kampanye Storm-0940 memiliki cakupan internasional. Setidaknya mulai September 2026, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Sektor yang menjadi sasaran menjangkau pemerintahan dan keuangan, termasuk lembaga hukum dan nonprofit. Pada salah satu rangkaian percobaan autentikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Operasi autentikasi itu menargetkan 327 akun di delapan organisasi. Meskipun jumlahnya besar, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Jumlah tenant yang ditargetkan memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Perlu dipahami, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Dalam perkembangan tanggal 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Setelah itu, ConnectWise menerbitkan pemberitahuan keamanan pada 16 Oktober. Bagian operasional yang terdampak melibatkan Cloud Backup serta dua layanan terkait lainnya yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Sebagai langkah perlindungan, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Di samping pembatasan akses, administrator perlu memeriksa seluruh tenant yang relevan. Proses peninjauan ini sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya judul aplikasi pada daftar integrasi. Hal ini membantu meningkatkan ketepatan investigasi. Dalam panduan mitigasinya, Microsoft menekankan pelestarian bukti digital sebelum menjalankan tindakan permanen terhadap lingkungan cloud. Berkat pendekatan yang terstruktur, tim keamanan lebih mudah memahami ruang lingkup insiden.
Untuk meningkatkan perlindungan cloud, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Investigasi dapat diarahkan pada aktivitas identitas aplikasi, penambahan kredensial baru, serta peningkatan hak akses yang tidak biasa. Apabila aktivitas mencurigakan terbukti, administrator sebaiknya membatasi akses sesuai prosedur respons insiden. Konsep pemberian hak akses minimum memiliki manfaat besar strategi pertahanan karena akses administratif perlu dibatasi secara proporsional. Selain itu, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar percobaan serangan dapat dikenali lebih cepat.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Pengungkapan Microsoft memperlihatkan bahwa perkembangan TEKNOLOGI kecerdasan buatan mengubah kecepatan ancaman dalam industri keamanan siber. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap layanan cloud dan aplikasi tepercaya. Peristiwa serangan rantai pasok ini juga menegaskan pentingnya pengelolaan identitas aplikasi. Kendati operasi memiliki cakupan sangat luas, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Dengan mempertimbangkan temuan tersebut, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menjalankan respons insiden yang terstruktur. Bagaimana pendapat Anda, apakah pemanfaatan AI dalam keamanan siber dapat membantu menghadapi serangan yang semakin cepat? Silakan bagikan pendapat Anda tentang masa depan keamanan digital.
