Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Laporan keamanan terkini dari Microsoft memperlihatkan bahwa ancaman keamanan siber mengalami perubahan signifikan seiring penggunaan teknologi AI. Berdasarkan hasil investigasi, Microsoft Threat Intelligence melacak Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Pelaku yang diidentifikasi Microsoft diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Dengan memanfaatkan akses aplikasi yang disalahgunakan, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang sebelumnya memberikan izin aplikasi.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Pada aktivitas serangan sebelumnya, kelompok tersebut memanfaatkan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Ketika berhasil masuk ke sistem, pelaku berusaha memperluas kendali melalui kredensial milik lingkungan korban. Dalam kampanye terbaru, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Pemanfaatan otomatisasi tersebut menimbulkan tantangan baru karena serangan dapat berjalan secara paralel.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Komponen utama dalam kampanye serangan tersebut adalah pemanfaatan sistem AI bernama ARTEX. ARTEX merupakan sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Dalam rancangan teknologinya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk menjalankan rangkaian penilaian kerentanan. Kerangka kerja tersebut menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut dapat membantu mengevaluasi perlindungan sistem. Namun demikian, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Dalam kampanye Storm-0940, ARTEX berperan membantu pelaksanaan aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Dukungan agen AI tersebut mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Microsoft melaporkan, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Namun penting untuk dipahami, banyak upaya yang teramati tidak mencapai tujuan penyerang. Temuan ini menunjukkan kebutuhan deteksi berkecepatan tinggi.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Agar mekanisme kompromi lebih jelas, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Perangkat lunak yang melayani banyak tenant memungkinkan satu aplikasi digunakan berdasarkan mekanisme otorisasi yang telah disetujui. Pada penggunaan yang sah, integrasi tersebut membantu menjalankan layanan tanpa membutuhkan autentikasi manual setiap saat. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Pada insiden yang dianalisis, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Dalam aktivitas lanjutan, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan mengandalkan hubungan otorisasi yang sudah ada. Untuk sebagian sistem pelanggan, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pengumpulan data konfigurasi cloud, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Perubahan tersebut dapat mempertahankan jalur masuk tambahan bahkan setelah integrasi awal diperbaiki. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak otomatis membuktikan pencurian data.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Berdasarkan telemetri yang dianalisis, kampanye Storm-0940 memiliki cakupan internasional. Setidaknya mulai September 2026, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Kategori organisasi yang dituju menjangkau manufaktur serta teknologi, termasuk perusahaan semikonduktor. Pada salah satu rangkaian percobaan autentikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Meskipun jumlahnya besar, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Skala percobaan akses ini memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Walaupun jumlah sasaran sangat besar, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Dalam perkembangan tanggal 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Setelah itu, ConnectWise mengumumkan informasi awal kepada mitra pada 16 Oktober. Produk yang menjadi perhatian termasuk Cloud Backup, SaaS Security, serta Cloud Management yang terpengaruh oleh tindakan pembatasan operasional.
Panduan Microsoft untuk Mengamankan Aplikasi Cloud
Untuk menghadapi ancaman tersebut, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Selain itu, administrator disarankan meninjau lingkungan Microsoft 365 yang pernah menggunakan integrasi. Evaluasi keamanan tersebut dianjurkan menggunakan identifier resmi aplikasi, bukan hanya label yang terlihat dalam antarmuka. Metode pemeriksaan itu mengurangi risiko kesalahan identifikasi. Microsoft juga menekankan pelestarian bukti digital sebelum melakukan perubahan yang tidak dapat dibatalkan. Dengan demikian, tim keamanan memiliki informasi pendukung investigasi.
Untuk meningkatkan perlindungan cloud, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan catatan operasi API. Evaluasi keamanan perlu memperhatikan aktivitas identitas aplikasi, penambahan kredensial baru, serta peningkatan hak akses yang tidak biasa. Ketika kompromi berhasil dikonfirmasi, administrator harus mempertimbangkan rotasi kredensial terdampak. Prinsip least privilege memiliki manfaat besar strategi pertahanan karena akses administratif perlu dibatasi secara proporsional. Sebagai tindakan tambahan, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar indikasi kompromi dapat segera ditindaklanjuti.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Laporan keamanan terbaru Microsoft memperlihatkan bahwa perkembangan TEKNOLOGI kecerdasan buatan mengubah kecepatan ancaman dalam perlindungan sistem digital. Melalui penggunaan ARTEX, pelaku berhasil meningkatkan kecepatan operasi tertentu terhadap layanan cloud dan aplikasi tepercaya. Kasus ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Meskipun ribuan tenant menjadi sasaran, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Oleh karena itu, organisasi perlu memperkuat pemantauan dan menjaga kesiapan menghadapi serangan otomatis. Dari sudut pandang Anda, apakah pemanfaatan AI dalam keamanan siber dapat membantu menghadapi serangan yang semakin cepat? Silakan bagikan pendapat Anda tentang masa depan keamanan digital.
