Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Temuan penelitian dari Microsoft memperlihatkan bahwa ancaman keamanan siber mengalami perubahan signifikan seiring pemanfaatan kecerdasan buatan. Melalui publikasi keamanan itu, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Kelompok tersebut diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Dengan memanfaatkan akses aplikasi yang disalahgunakan, penyerang berupaya menjangkau lingkungan pelanggan yang sebelumnya memberikan izin aplikasi.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut menggunakan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Setelah memperoleh akses, pelaku berusaha memperluas kendali melalui akun yang berhasil dikompromikan. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perubahan tersebut menimbulkan tantangan baru karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Teknologi ARTEX Mempercepat Otomatisasi Aktivitas Peretasan
Bagian paling menarik dalam aktivitas Storm-0940 adalah penerapan platform pengujian keamanan ARTEX. Teknologi ARTEX adalah sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Dalam rancangan teknologinya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk menjalankan rangkaian penilaian kerentanan. Kerangka kerja tersebut dibangun dengan komponen perangkat lunak berbasis Go dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut mendukung penilaian keamanan organisasi. Namun demikian, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX digunakan dalam otomatisasi pengumpulan informasi mengenai sistem, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Penggunaan sistem berbasis kecerdasan buatan memungkinkan berbagai aktivitas berlangsung cepat. Menurut hasil pengamatan Microsoft, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Meskipun demikian, tidak semua organisasi yang disasar berhasil dikompromikan. Temuan ini memperlihatkan perlunya respons keamanan yang lebih cepat.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Untuk memahami dampak serangan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Perangkat lunak yang melayani banyak tenant memungkinkan satu aplikasi digunakan berdasarkan persetujuan administrator pelanggan. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut mendukung operasional perangkat lunak tanpa meminta persetujuan baru pada setiap proses. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Pada insiden yang dianalisis, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Dalam aktivitas lanjutan, sistem berbantuan AI melakukan percobaan akses ke infrastruktur Microsoft 365 dengan menggunakan kepercayaan yang telah diberikan. Pada sejumlah lingkungan, Microsoft mengamati aktivitas lanjutan melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Tindakan penyerang tersebut berpotensi menciptakan akses persisten bahkan setelah integrasi awal diperbaiki. Meski demikian, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Skala Serangan ConnectWise dan Temuan Keamanan Microsoft
Berdasarkan telemetri yang dianalisis, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Dalam aktivitas yang teramati sejak September, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Sektor yang menjadi sasaran menjangkau industri pertahanan dan energi, termasuk perusahaan semikonduktor. Pada salah satu rangkaian percobaan autentikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Aktivitas otomatis tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Walaupun aktivitasnya sangat intensif, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Pada rangkaian serangan terhadap pelanggan Cloud Backup, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Jumlah tenant yang ditargetkan menunjukkan luasnya jangkauan serangan. Perlu dipahami, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Pada perkembangan berikutnya, penyedia layanan tersebut mengumumkan informasi awal kepada mitra pada 16 Oktober. Produk yang menjadi perhatian mencakup Cloud Backup, SaaS Security, dan Cloud Management yang mengalami penangguhan untuk penanganan keamanan.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Untuk menghadapi ancaman tersebut, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Sebagai tindakan awal lainnya, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Proses peninjauan ini sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya nama tampilan layanan. Hal ini berguna untuk menemukan aplikasi yang mungkin terlewat. Dalam panduan mitigasinya, Microsoft menekankan pelestarian bukti digital sebelum menghapus konfigurasi aplikasi. Melalui langkah tersebut, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Untuk meningkatkan perlindungan cloud, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Pemeriksaan sebaiknya mencakup proses login berbasis aplikasi, perubahan rahasia autentikasi, serta pemberian privilege tanpa otorisasi. Apabila aktivitas mencurigakan terbukti, administrator perlu mencabut izin yang tidak diperlukan. Pendekatan izin sesuai kebutuhan memiliki manfaat besar strategi pertahanan karena akses administratif perlu dibatasi secara proporsional. Sebagai tindakan tambahan, organisasi perlu memantau anomali secara berkelanjutan agar percobaan serangan dapat dikenali lebih cepat.
Masa Depan Keamanan Siber Menghadapi Agen AI Peretas
Temuan mengenai kampanye Storm-0940 memberikan gambaran bahwa kemajuan otomatisasi berbasis AI menghadirkan tantangan baru dalam industri keamanan siber. Melalui penggunaan ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap infrastruktur digital perusahaan. Kasus ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Meskipun ribuan tenant menjadi sasaran, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Sebagai pelajaran dari insiden ini, organisasi sebaiknya meningkatkan pengendalian akses dan menjalankan respons insiden yang terstruktur. Menurut Anda, apakah pemanfaatan AI dalam keamanan siber dapat membantu menghadapi serangan yang semakin cepat? Jangan ragu menyampaikan pemikiran Anda tentang tantangan serangan siber berbasis AI.
