Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Temuan penelitian dari Microsoft memperlihatkan bahwa ancaman keamanan siber semakin berkembang seiring penggunaan teknologi AI. Berdasarkan hasil investigasi, Microsoft Threat Intelligence melacak Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Aktor ancaman ini dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Melalui kompromi tersebut, penyerang mencoba mengakses sistem perusahaan lain yang memiliki hubungan layanan dengan ConnectWise.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 diketahui beroperasi sejak tahun 2021. Sebelum memanfaatkan agen AI, kelompok tersebut menggunakan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Apabila kompromi awal berhasil dilakukan, pelaku melakukan aktivitas lanjutan melalui kredensial milik lingkungan korban. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perkembangan metode ini menambah tekanan terhadap tim keamanan karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Salah satu aspek terpenting dalam kampanye serangan tersebut adalah penerapan platform pengujian keamanan ARTEX. Kerangka kerja ARTEX dikenal sebagai framework penetration testing open source. Dalam rancangan teknologinya, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk menjalankan rangkaian penilaian kerentanan. Sistem otomatisasi itu dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut dapat membantu mengevaluasi perlindungan sistem. Akan tetapi, teknologi yang sama dapat disalahgunakan pelaku ancaman.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX digunakan dalam otomatisasi aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Kemampuan otomatisasi ini mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Walaupun kecepatannya mengkhawatirkan, tidak semua organisasi yang disasar berhasil dikompromikan. Hasil analisis itu menunjukkan kebutuhan deteksi berkecepatan tinggi.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Untuk memahami dampak serangan, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Perangkat lunak yang melayani banyak tenant memungkinkan satu aplikasi digunakan berdasarkan persetujuan administrator pelanggan. Dalam kondisi normal, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa mengharuskan pengguna melakukan login berulang. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Berdasarkan temuan mengenai aplikasi Cloud Backup, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Setelah akses tersebut diperoleh, sistem berbantuan AI melakukan percobaan akses ke infrastruktur Microsoft 365 dengan mengandalkan hubungan otorisasi yang sudah ada. Pada sejumlah lingkungan, Microsoft mengamati aktivitas lanjutan melalui Microsoft Graph, termasuk pengumpulan data konfigurasi cloud, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Perubahan tersebut berpotensi menciptakan akses persisten bahkan setelah aplikasi yang terdampak dinonaktifkan. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak otomatis membuktikan pencurian data.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 memiliki cakupan internasional. Dalam aktivitas yang teramati sejak September, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Kategori organisasi yang dituju mencakup manufaktur serta teknologi, termasuk lembaga hukum dan nonprofit. Pada salah satu rangkaian percobaan autentikasi, Microsoft mendeteksi jumlah percobaan gagal melebihi 151 ribu pada periode 10 hingga 14 Oktober 2026. Aktivitas otomatis tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Walaupun aktivitasnya sangat intensif, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Pada rangkaian serangan terhadap pelanggan Cloud Backup, ARTEX membantu menjangkau lebih dari 2.250 tenant melalui upaya login. Angka tersebut menggambarkan kemampuan otomatisasi tingkat tinggi. Walaupun jumlah sasaran sangat besar, tenant yang menerima percobaan akses tidak selalu berhasil dikompromikan. Pada 14 Oktober 2026, ConnectWise mengambil langkah penanganan awal. Perusahaan kemudian mengumumkan informasi awal kepada mitra pada 16 Oktober. Layanan terkait termasuk Cloud Backup, SaaS Security, serta Cloud Management yang terpengaruh oleh tindakan pembatasan operasional.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Untuk menghadapi ancaman tersebut, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Selain itu, administrator perlu memeriksa seluruh tenant yang relevan. Evaluasi keamanan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya judul aplikasi pada daftar integrasi. Hal ini berguna untuk menemukan aplikasi yang mungkin terlewat. Microsoft juga meminta organisasi menjaga catatan audit sebelum menghapus konfigurasi aplikasi. Berkat pendekatan yang terstruktur, tim keamanan lebih mudah memahami ruang lingkup insiden.
Untuk meningkatkan perlindungan cloud, organisasi sebaiknya mengevaluasi log Microsoft Entra, Microsoft 365, dan catatan operasi API. Evaluasi keamanan perlu memperhatikan autentikasi service principal, modifikasi sertifikat dan kredensial aplikasi, serta pemberian privilege tanpa otorisasi. Ketika kompromi berhasil dikonfirmasi, administrator harus mempertimbangkan rotasi kredensial terdampak. Konsep pemberian hak akses minimum memiliki manfaat besar strategi pertahanan karena akses administratif perlu dibatasi secara proporsional. Sebagai tindakan tambahan, organisasi perlu memantau anomali secara berkelanjutan agar percobaan serangan dapat dikenali lebih cepat.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Pengungkapan Microsoft menunjukkan bahwa kemajuan otomatisasi berbasis AI mengubah kecepatan ancaman dalam industri keamanan siber. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap infrastruktur digital perusahaan. Peristiwa serangan rantai pasok ini juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Meskipun ribuan tenant menjadi sasaran, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Sebagai pelajaran dari insiden ini, organisasi sebaiknya meningkatkan pengendalian akses dan menjaga kesiapan menghadapi serangan otomatis. Bagaimana pendapat Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman akan menjadi kebutuhan utama perusahaan di masa depan? Jangan ragu menyampaikan pemikiran Anda tentang pentingnya perlindungan aplikasi cloud.
