Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Laporan keamanan terkini dari Microsoft mengungkapkan bahwa aktivitas kejahatan dunia maya memasuki tahap yang lebih kompleks seiring penggunaan teknologi AI. Berdasarkan hasil investigasi, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Kelompok tersebut dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Melalui kompromi tersebut, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang memiliki hubungan layanan dengan ConnectWise.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 telah aktif sejak 2021. Pada aktivitas serangan sebelumnya, kelompok tersebut mengandalkan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Apabila kompromi awal berhasil dilakukan, pelaku melakukan aktivitas lanjutan melalui akun yang berhasil dikompromikan. Pada rangkaian serangan tahun 2026, penggunaan ARTEX memungkinkan peningkatan kecepatan beberapa tahapan serangan. Perkembangan metode ini menambah tekanan terhadap tim keamanan karena serangan dapat berjalan secara paralel.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Bagian paling menarik dalam operasi yang dianalisis Microsoft adalah pemanfaatan sistem AI bernama ARTEX. Teknologi ARTEX adalah sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Berdasarkan prinsip pengoperasiannya, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk mengotomatisasi aktivitas pemeriksaan sistem. Perangkat ini dibangun dengan komponen perangkat lunak berbasis Go dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Namun demikian, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Dalam kampanye Storm-0940, ARTEX digunakan dalam otomatisasi pemindaian lingkungan target, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Penggunaan sistem berbasis kecerdasan buatan membantu menjalankan banyak pekerjaan secara paralel. Microsoft melaporkan, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Meskipun demikian, tidak semua organisasi yang disasar berhasil dikompromikan. Hasil analisis itu memperlihatkan perlunya respons keamanan yang lebih cepat.
Penyalahgunaan Aplikasi OAuth dan Akses Microsoft 365
Agar mekanisme kompromi lebih jelas, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam ekosistem perangkat lunak perusahaan. Aplikasi multi-tenant memberikan akses aplikasi ke banyak lingkungan organisasi berdasarkan persetujuan administrator pelanggan. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut membantu menjalankan layanan tanpa membutuhkan autentikasi manual setiap saat. Ketika identitas aplikasi berhasil dikompromikan, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Berdasarkan temuan mengenai aplikasi Cloud Backup, pelaku menguasai material autentikasi aplikasi tertentu. Setelah akses tersebut diperoleh, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan menggunakan kepercayaan yang telah diberikan. Untuk sebagian sistem pelanggan, Microsoft mengamati aktivitas lanjutan melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan modifikasi izin tertentu. Aktivitas manipulasi identitas ini mungkin memungkinkan keberlanjutan akses tidak sah bahkan setelah kredensial awal diganti. Kendati aktivitas akses teridentifikasi, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 memiliki cakupan internasional. Sejak September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Sektor yang menjadi sasaran menjangkau manufaktur serta teknologi, termasuk lembaga hukum dan nonprofit. Pada salah satu rangkaian percobaan autentikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut menargetkan 327 akun di delapan organisasi. Meskipun jumlahnya besar, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Jumlah tenant yang ditargetkan memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Perlu dipahami, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Dalam perkembangan tanggal 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Perusahaan kemudian menerbitkan pemberitahuan keamanan pada 16 Oktober. Layanan terkait termasuk Cloud Backup, SaaS Security, serta Cloud Management yang mengalami penangguhan untuk penanganan keamanan.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Dalam upaya mengurangi risiko kompromi, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Selain itu, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Pemeriksaan tersebut dianjurkan menggunakan identifier resmi aplikasi, bukan hanya label yang terlihat dalam antarmuka. Hal ini berguna untuk menemukan aplikasi yang mungkin terlewat. Microsoft juga meminta organisasi menjaga catatan audit sebelum melakukan perubahan yang tidak dapat dibatalkan. Berkat pendekatan yang terstruktur, tim keamanan memiliki informasi pendukung investigasi.
Sebagai pemeriksaan lanjutan, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Evaluasi keamanan perlu memperhatikan autentikasi service principal, penambahan kredensial baru, serta peningkatan hak akses yang tidak biasa. Ketika kompromi berhasil dikonfirmasi, administrator harus mempertimbangkan rotasi kredensial terdampak. Pendekatan izin sesuai kebutuhan memiliki manfaat besar strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Tidak kalah penting, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar indikasi kompromi dapat segera ditindaklanjuti.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Temuan mengenai kampanye Storm-0940 memberikan gambaran bahwa perkembangan TEKNOLOGI kecerdasan buatan mengubah kecepatan ancaman dalam perlindungan sistem digital. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap layanan cloud dan aplikasi tepercaya. Insiden kompromi layanan ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Meskipun ribuan tenant menjadi sasaran, jumlah sasaran tidak sama dengan jumlah korban yang berhasil dibobol. Oleh karena itu, organisasi perlu memperkuat pemantauan dan menerapkan prinsip hak akses minimum. Dari sudut pandang Anda, apakah pemanfaatan AI dalam keamanan siber mampu meningkatkan perlindungan infrastruktur digital? Silakan bagikan pendapat Anda tentang tantangan serangan siber berbasis AI.
