Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Laporan keamanan terkini dari Microsoft memperlihatkan bahwa ancaman keamanan siber mengalami perubahan signifikan seiring pemanfaatan kecerdasan buatan. Dalam laporan tersebut, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Aktor ancaman ini dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Akibat penyusupan terhadap layanan tepercaya, penyerang berupaya menjangkau lingkungan pelanggan yang memiliki hubungan layanan dengan ConnectWise.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 telah aktif sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut memanfaatkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Ketika berhasil masuk ke sistem, pelaku mencoba meningkatkan hak akses melalui kredensial milik lingkungan korban. Pada rangkaian serangan tahun 2026, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perubahan tersebut membuat waktu respons menjadi semakin penting karena aktivitas mencurigakan dapat berlangsung sangat cepat.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Salah satu aspek terpenting dalam operasi yang dianalisis Microsoft adalah penggunaan kerangka kerja ARTEX. Teknologi ARTEX adalah framework penetration testing open source. Dalam rancangan teknologinya, ARTEX menggabungkan beberapa agen kecerdasan buatan untuk menjalankan rangkaian penilaian kerentanan. Perangkat ini dibangun dengan komponen perangkat lunak berbasis Go dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Meskipun memiliki fungsi pengujian yang sah, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX dimanfaatkan untuk mempercepat aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Dukungan agen AI tersebut membantu menjalankan banyak pekerjaan secara paralel. Menurut hasil pengamatan Microsoft, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Walaupun kecepatannya mengkhawatirkan, sebagian besar percobaan penargetan tidak berhasil. Temuan ini menunjukkan kebutuhan deteksi berkecepatan tinggi.
Penyalahgunaan Aplikasi OAuth dan Akses Microsoft 365
Sebelum menilai risiko terhadap pelanggan, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Perangkat lunak yang melayani banyak tenant memungkinkan satu aplikasi digunakan berdasarkan mekanisme otorisasi yang telah disetujui. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa meminta persetujuan baru pada setiap proses. Jika material autentikasi jatuh ke tangan penyerang, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Pada insiden yang dianalisis, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Selanjutnya, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan memanfaatkan izin aplikasi sebelumnya. Untuk sebagian sistem pelanggan, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Aktivitas manipulasi identitas ini mungkin memungkinkan keberlanjutan akses tidak sah bahkan setelah integrasi awal diperbaiki. Meski demikian, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Microsoft mengungkap, kampanye Storm-0940 menargetkan organisasi secara global. Dalam aktivitas yang teramati sejak September, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Kategori organisasi yang dituju menjangkau pemerintahan dan keuangan, termasuk organisasi penelitian. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft tidak mengamati keberhasilan login dari rangkaian password spraying itu.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX membantu menjangkau lebih dari 2.250 tenant melalui upaya login. Skala percobaan akses ini menunjukkan luasnya jangkauan serangan. Walaupun jumlah sasaran sangat besar, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Pada perkembangan berikutnya, penyedia layanan tersebut menyampaikan advisory awal tanggal 16 Oktober. Layanan terkait mencakup Cloud Backup, SaaS Security, dan Cloud Management yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Untuk menghadapi ancaman tersebut, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Sebagai tindakan awal lainnya, administrator disarankan meninjau lingkungan Microsoft 365 yang pernah menggunakan integrasi. Pemeriksaan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya judul aplikasi pada daftar integrasi. Metode pemeriksaan itu membantu meningkatkan ketepatan investigasi. Microsoft juga meminta organisasi menjaga catatan audit sebelum menghapus konfigurasi aplikasi. Dengan demikian, tim keamanan memiliki informasi pendukung investigasi.
Sebagai pemeriksaan lanjutan, organisasi sebaiknya mengevaluasi log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Evaluasi keamanan perlu memperhatikan autentikasi service principal, modifikasi sertifikat dan kredensial aplikasi, serta pemberian privilege tanpa otorisasi. Jika investigasi menemukan akses tidak sah, administrator perlu mencabut izin yang tidak diperlukan. Konsep pemberian hak akses minimum membantu memperkuat strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Sebagai tindakan tambahan, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar tim keamanan memiliki waktu respons yang lebih baik.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Pengungkapan Microsoft memperlihatkan bahwa perkembangan TEKNOLOGI kecerdasan buatan mengubah kecepatan ancaman dalam perlindungan sistem digital. Melalui penggunaan ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap infrastruktur digital perusahaan. Insiden kompromi layanan ConnectWise juga menegaskan pentingnya pengelolaan identitas aplikasi. Meskipun ribuan tenant menjadi sasaran, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Oleh karena itu, organisasi sebaiknya meningkatkan pengendalian akses dan menerapkan prinsip hak akses minimum. Menurut Anda, apakah pemanfaatan AI dalam keamanan siber mampu meningkatkan perlindungan infrastruktur digital? Jangan ragu menyampaikan pemikiran Anda tentang tantangan serangan siber berbasis AI.
