Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Pengungkapan terbaru dari Microsoft menunjukkan bahwa ancaman keamanan siber semakin berkembang seiring perkembangan sistem otomatisasi digital. Melalui publikasi keamanan itu, Microsoft Threat Intelligence melacak Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Pelaku yang diidentifikasi Microsoft diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Target utamanya berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Dengan memanfaatkan akses aplikasi yang disalahgunakan, penyerang mencoba mengakses sistem perusahaan lain yang telah mempercayai integrasi perangkat lunak tersebut.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 diketahui beroperasi sejak tahun 2021. Dalam pola operasi yang telah diamati, kelompok tersebut mengandalkan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Apabila kompromi awal berhasil dilakukan, pelaku berusaha memperluas kendali melalui identitas digital yang disalahgunakan. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Perubahan tersebut membuat waktu respons menjadi semakin penting karena serangan dapat berjalan secara paralel.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Salah satu aspek terpenting dalam operasi yang dianalisis Microsoft adalah penggunaan kerangka kerja ARTEX. Kerangka kerja ARTEX dikenal sebagai framework penetration testing open source. Secara konseptual, ARTEX menggunakan sistem multi-agent berbasis large language model untuk mendukung pengujian keamanan otomatis. Kerangka kerja tersebut dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut mendukung penilaian keamanan organisasi. Akan tetapi, teknologi yang sama dapat disalahgunakan pelaku ancaman.
Pada operasi yang diidentifikasi Microsoft, ARTEX digunakan dalam otomatisasi pengumpulan informasi mengenai sistem, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Kemampuan otomatisasi ini memungkinkan berbagai aktivitas berlangsung cepat. Microsoft melaporkan, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Walaupun kecepatannya mengkhawatirkan, banyak upaya yang teramati tidak mencapai tujuan penyerang. Kondisi tersebut menunjukkan kebutuhan deteksi berkecepatan tinggi.
Penyalahgunaan Aplikasi OAuth dan Akses Microsoft 365
Untuk memahami dampak serangan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Integrasi cloud lintas organisasi memungkinkan satu aplikasi digunakan berdasarkan mekanisme otorisasi yang telah disetujui. Pada penggunaan yang sah, integrasi tersebut membantu menjalankan layanan tanpa meminta persetujuan baru pada setiap proses. Ketika identitas aplikasi berhasil dikompromikan, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Dalam kasus ConnectWise, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Dalam aktivitas lanjutan, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan memanfaatkan izin aplikasi sebelumnya. Pada sejumlah lingkungan, Microsoft mengamati aktivitas lanjutan melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Aktivitas manipulasi identitas ini mungkin memungkinkan keberlanjutan akses tidak sah bahkan setelah kredensial awal diganti. Kendati aktivitas akses teridentifikasi, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Skala Serangan ConnectWise dan Temuan Keamanan Microsoft
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Sejak September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Kategori organisasi yang dituju menjangkau pemerintahan dan keuangan, termasuk perusahaan semikonduktor. Dalam bagian kampanye yang diperiksa, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft tidak mengamati keberhasilan login dari rangkaian password spraying itu.
Pada rangkaian serangan terhadap pelanggan Cloud Backup, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Jumlah tenant yang ditargetkan memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Walaupun jumlah sasaran sangat besar, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Pada 14 Oktober 2026, ConnectWise memulai penyelidikan serta tindakan pengamanan. Pada perkembangan berikutnya, penyedia layanan tersebut menyampaikan advisory awal tanggal 16 Oktober. Layanan terkait termasuk Cloud Backup, SaaS Security, serta Cloud Management yang mengalami penangguhan untuk penanganan keamanan.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Dalam upaya mengurangi risiko kompromi, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Sebagai tindakan awal lainnya, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Evaluasi keamanan tersebut perlu memakai identitas aplikasi yang akurat, bukan hanya nama tampilan layanan. Metode pemeriksaan itu membantu meningkatkan ketepatan investigasi. Microsoft juga meminta organisasi menjaga catatan audit sebelum menjalankan tindakan permanen terhadap lingkungan cloud. Berkat pendekatan yang terstruktur, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Sebagai pemeriksaan lanjutan, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Investigasi dapat diarahkan pada aktivitas identitas aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta pemberian privilege tanpa otorisasi. Jika investigasi menemukan akses tidak sah, administrator sebaiknya membatasi akses sesuai prosedur respons insiden. Konsep pemberian hak akses minimum memiliki manfaat besar strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Tidak kalah penting, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar percobaan serangan dapat dikenali lebih cepat.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Laporan keamanan terbaru Microsoft menunjukkan bahwa penggunaan sistem agen cerdas mengubah kecepatan ancaman dalam perlindungan sistem digital. Melalui penggunaan ARTEX, pelaku berhasil meningkatkan kecepatan operasi tertentu terhadap lingkungan Microsoft 365. Peristiwa serangan rantai pasok ini juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Walaupun serangan menjangkau banyak lingkungan pelanggan, tidak semua percobaan berakhir dengan kompromi. Oleh karena itu, organisasi sebaiknya meningkatkan pengendalian akses dan menerapkan prinsip hak akses minimum. Dari sudut pandang Anda, apakah pemanfaatan AI dalam keamanan siber mampu meningkatkan perlindungan infrastruktur digital? Silakan bagikan pendapat Anda tentang tantangan serangan siber berbasis AI.
