Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Pengungkapan terbaru dari Microsoft memperlihatkan bahwa aktivitas kejahatan dunia maya memasuki tahap yang lebih kompleks seiring penggunaan teknologi AI. Melalui publikasi keamanan itu, Microsoft Threat Intelligence menemukan keterlibatan Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Kelompok tersebut dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Target utamanya berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Akibat penyusupan terhadap layanan tepercaya, penyerang berupaya menjangkau lingkungan pelanggan yang telah mempercayai integrasi perangkat lunak tersebut.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 telah aktif sejak 2021. Pada aktivitas serangan sebelumnya, kelompok tersebut menggunakan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Apabila kompromi awal berhasil dilakukan, pelaku melakukan aktivitas lanjutan melalui identitas digital yang disalahgunakan. Dalam kampanye terbaru, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Perkembangan metode ini menambah tekanan terhadap tim keamanan karena serangan dapat berjalan secara paralel.
Teknologi ARTEX Mempercepat Otomatisasi Aktivitas Peretasan
Salah satu aspek terpenting dalam kampanye serangan tersebut adalah penggunaan kerangka kerja ARTEX. Teknologi ARTEX adalah framework penetration testing open source. Berdasarkan prinsip pengoperasiannya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk mendukung pengujian keamanan otomatis. Perangkat ini menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut mendukung penilaian keamanan organisasi. Akan tetapi, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Dalam kampanye Storm-0940, ARTEX digunakan dalam otomatisasi aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Dukungan agen AI tersebut mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Meskipun demikian, sebagian besar percobaan penargetan tidak berhasil. Temuan ini memperlihatkan perlunya respons keamanan yang lebih cepat.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Untuk memahami dampak serangan, pengguna perlu mengetahui peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Integrasi cloud lintas organisasi memungkinkan satu aplikasi digunakan berdasarkan mekanisme otorisasi yang telah disetujui. Pada penggunaan yang sah, integrasi tersebut membantu menjalankan layanan tanpa membutuhkan autentikasi manual setiap saat. Jika material autentikasi jatuh ke tangan penyerang, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Dalam kasus ConnectWise, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Setelah akses tersebut diperoleh, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan menggunakan kepercayaan yang telah diberikan. Pada sejumlah lingkungan, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Tindakan penyerang tersebut dapat mempertahankan jalur masuk tambahan bahkan setelah kredensial awal diganti. Kendati aktivitas akses teridentifikasi, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 memiliki cakupan internasional. Dalam aktivitas yang teramati sejak September, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Sektor yang menjadi sasaran meliputi industri pertahanan dan energi, termasuk perusahaan semikonduktor. Pada salah satu rangkaian percobaan autentikasi, Microsoft mendeteksi jumlah percobaan gagal melebihi 151 ribu pada periode 10 hingga 14 Oktober 2026. Aktivitas otomatis tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Pada rangkaian serangan terhadap pelanggan Cloud Backup, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Angka tersebut memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Perlu dipahami, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Perusahaan kemudian menerbitkan pemberitahuan keamanan pada 16 Oktober. Produk yang menjadi perhatian termasuk Cloud Backup, SaaS Security, serta Cloud Management yang terpengaruh oleh tindakan pembatasan operasional.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Untuk menghadapi ancaman tersebut, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Sebagai tindakan awal lainnya, administrator perlu memeriksa seluruh tenant yang relevan. Pemeriksaan tersebut dianjurkan menggunakan identifier resmi aplikasi, bukan hanya label yang terlihat dalam antarmuka. Langkah tersebut mengurangi risiko kesalahan identifikasi. Dalam panduan mitigasinya, Microsoft meminta organisasi menjaga catatan audit sebelum menghapus konfigurasi aplikasi. Melalui langkah tersebut, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Sebagai pemeriksaan lanjutan, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan catatan operasi API. Pemeriksaan sebaiknya mencakup proses login berbasis aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta peningkatan hak akses yang tidak biasa. Ketika kompromi berhasil dikonfirmasi, administrator perlu mencabut izin yang tidak diperlukan. Pendekatan izin sesuai kebutuhan memiliki manfaat besar strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Tidak kalah penting, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar percobaan serangan dapat dikenali lebih cepat.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Temuan mengenai kampanye Storm-0940 menunjukkan bahwa perkembangan TEKNOLOGI kecerdasan buatan menghadirkan tantangan baru dalam pengelolaan infrastruktur perusahaan. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap lingkungan Microsoft 365. Kasus ConnectWise juga menegaskan pentingnya pengelolaan identitas aplikasi. Walaupun serangan menjangkau banyak lingkungan pelanggan, jumlah sasaran tidak sama dengan jumlah korban yang berhasil dibobol. Dengan mempertimbangkan temuan tersebut, organisasi perlu memperkuat pemantauan dan menjaga kesiapan menghadapi serangan otomatis. Dari sudut pandang Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman dapat membantu menghadapi serangan yang semakin cepat? Mari berbagi pandangan mengenai perkembangan ini tentang masa depan keamanan digital.
