Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Laporan keamanan terkini dari Microsoft menunjukkan bahwa ancaman keamanan siber mengalami perubahan signifikan seiring penggunaan teknologi AI. Melalui publikasi keamanan itu, Microsoft Threat Intelligence menemukan keterlibatan Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Aktor ancaman ini dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Melalui kompromi tersebut, penyerang berupaya menjangkau lingkungan pelanggan yang telah mempercayai integrasi perangkat lunak tersebut.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Sebelum memanfaatkan agen AI, kelompok tersebut memanfaatkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Ketika berhasil masuk ke sistem, pelaku mencoba meningkatkan hak akses melalui kredensial milik lingkungan korban. Pada rangkaian serangan tahun 2026, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perkembangan metode ini menambah tekanan terhadap tim keamanan karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Komponen utama dalam kampanye serangan tersebut adalah penggunaan kerangka kerja ARTEX. ARTEX merupakan sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Berdasarkan prinsip pengoperasiannya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk mendukung pengujian keamanan otomatis. Perangkat ini menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut dapat membantu mengevaluasi perlindungan sistem. Namun demikian, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX berperan membantu pelaksanaan pemindaian lingkungan target, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Kemampuan otomatisasi ini membantu menjalankan banyak pekerjaan secara paralel. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Meskipun demikian, banyak upaya yang teramati tidak mencapai tujuan penyerang. Hasil analisis itu memperlihatkan perlunya respons keamanan yang lebih cepat.
Penyalahgunaan Aplikasi OAuth dan Akses Microsoft 365
Agar mekanisme kompromi lebih jelas, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Aplikasi multi-tenant memberikan akses aplikasi ke banyak lingkungan organisasi berdasarkan izin yang sebelumnya diberikan. Pada penggunaan yang sah, integrasi tersebut mendukung operasional perangkat lunak tanpa mengharuskan pengguna melakukan login berulang. Jika material autentikasi jatuh ke tangan penyerang, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Berdasarkan temuan mengenai aplikasi Cloud Backup, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Selanjutnya, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan memanfaatkan izin aplikasi sebelumnya. Pada sejumlah lingkungan, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Perubahan tersebut mungkin memungkinkan keberlanjutan akses tidak sah bahkan setelah aplikasi yang terdampak dinonaktifkan. Meski demikian, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Berdasarkan telemetri yang dianalisis, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Dalam aktivitas yang teramati sejak September, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Sektor yang menjadi sasaran menjangkau manufaktur serta teknologi, termasuk perusahaan semikonduktor. Dalam bagian kampanye yang diperiksa, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut menargetkan 327 akun di delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX membantu menjangkau lebih dari 2.250 tenant melalui upaya login. Jumlah tenant yang ditargetkan menunjukkan luasnya jangkauan serangan. Walaupun jumlah sasaran sangat besar, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Dalam perkembangan tanggal 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Pada perkembangan berikutnya, penyedia layanan tersebut menerbitkan pemberitahuan keamanan pada 16 Oktober. Bagian operasional yang terdampak mencakup Cloud Backup, SaaS Security, dan Cloud Management yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Untuk menghadapi ancaman tersebut, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Sebagai tindakan awal lainnya, administrator perlu memeriksa seluruh tenant yang relevan. Proses peninjauan ini perlu memakai identitas aplikasi yang akurat, bukan hanya nama tampilan layanan. Langkah tersebut membantu meningkatkan ketepatan investigasi. Dalam panduan mitigasinya, Microsoft meminta organisasi menjaga catatan audit sebelum menjalankan tindakan permanen terhadap lingkungan cloud. Melalui langkah tersebut, tim keamanan memiliki informasi pendukung investigasi.
Langkah penting berikutnya, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan riwayat komunikasi aplikasi. Pemeriksaan sebaiknya mencakup proses login berbasis aplikasi, perubahan rahasia autentikasi, serta pemberian privilege tanpa otorisasi. Ketika kompromi berhasil dikonfirmasi, administrator sebaiknya membatasi akses sesuai prosedur respons insiden. Konsep pemberian hak akses minimum menjadi bagian penting strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Tidak kalah penting, organisasi perlu memantau anomali secara berkelanjutan agar indikasi kompromi dapat segera ditindaklanjuti.
Masa Depan Keamanan Siber Menghadapi Agen AI Peretas
Laporan keamanan terbaru Microsoft menunjukkan bahwa penggunaan sistem agen cerdas mengubah kecepatan ancaman dalam pengelolaan infrastruktur perusahaan. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku berhasil meningkatkan kecepatan operasi tertentu terhadap layanan cloud dan aplikasi tepercaya. Kasus ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Walaupun serangan menjangkau banyak lingkungan pelanggan, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Sebagai pelajaran dari insiden ini, organisasi perlu memperkuat pemantauan dan menjaga kesiapan menghadapi serangan otomatis. Menurut Anda, apakah pemanfaatan AI dalam keamanan siber mampu meningkatkan perlindungan infrastruktur digital? Mari berbagi pandangan mengenai perkembangan ini tentang tantangan serangan siber berbasis AI.
