Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Pengungkapan terbaru dari Microsoft mengungkapkan bahwa risiko serangan digital semakin berkembang seiring perkembangan sistem otomatisasi digital. Dalam laporan tersebut, Microsoft Threat Intelligence menemukan keterlibatan Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Pelaku yang diidentifikasi Microsoft dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Melalui kompromi tersebut, penyerang berupaya menjangkau lingkungan pelanggan yang memiliki hubungan layanan dengan ConnectWise.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 telah aktif sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut menggunakan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Ketika berhasil masuk ke sistem, pelaku mencoba meningkatkan hak akses melalui akun yang berhasil dikompromikan. Pada rangkaian serangan tahun 2026, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perubahan tersebut menimbulkan tantangan baru karena aktivitas mencurigakan dapat berlangsung sangat cepat.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Salah satu aspek terpenting dalam kampanye serangan tersebut adalah penggunaan kerangka kerja ARTEX. Teknologi ARTEX adalah sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Dalam rancangan teknologinya, ARTEX menggabungkan beberapa agen kecerdasan buatan untuk mendukung pengujian keamanan otomatis. Sistem otomatisasi itu menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Meskipun memiliki fungsi pengujian yang sah, teknologi yang sama dapat disalahgunakan pelaku ancaman.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX dimanfaatkan untuk mempercepat pemindaian lingkungan target, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Kemampuan otomatisasi ini memungkinkan berbagai aktivitas berlangsung cepat. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Meskipun demikian, banyak upaya yang teramati tidak mencapai tujuan penyerang. Hasil analisis itu menunjukkan kebutuhan deteksi berkecepatan tinggi.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Agar mekanisme kompromi lebih jelas, pengguna perlu mengetahui peran aplikasi multi-tenant dan OAuth dalam ekosistem perangkat lunak perusahaan. Aplikasi multi-tenant memungkinkan satu aplikasi digunakan berdasarkan mekanisme otorisasi yang telah disetujui. Pada penggunaan yang sah, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa membutuhkan autentikasi manual setiap saat. Jika material autentikasi jatuh ke tangan penyerang, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Pada insiden yang dianalisis, pelaku menguasai material autentikasi aplikasi tertentu. Setelah akses tersebut diperoleh, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan menggunakan kepercayaan yang telah diberikan. Pada sejumlah lingkungan, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan modifikasi izin tertentu. Perubahan tersebut berpotensi menciptakan akses persisten bahkan setelah aplikasi yang terdampak dinonaktifkan. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak otomatis membuktikan pencurian data.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Microsoft mengungkap, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Sejak September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Bidang industri yang terdampak penargetan mencakup industri pertahanan dan energi, termasuk perusahaan semikonduktor. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Operasi autentikasi itu diarahkan kepada ratusan identitas pada delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft tidak mengamati keberhasilan login dari rangkaian password spraying itu.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Angka tersebut menggambarkan kemampuan otomatisasi tingkat tinggi. Perlu dipahami, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Dalam perkembangan tanggal 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Pada perkembangan berikutnya, penyedia layanan tersebut menyampaikan advisory awal tanggal 16 Oktober. Layanan terkait mencakup Cloud Backup, SaaS Security, dan Cloud Management yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Panduan Microsoft untuk Mengamankan Aplikasi Cloud
Untuk menghadapi ancaman tersebut, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Sebagai tindakan awal lainnya, administrator disarankan meninjau lingkungan Microsoft 365 yang pernah menggunakan integrasi. Evaluasi keamanan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya label yang terlihat dalam antarmuka. Metode pemeriksaan itu berguna untuk menemukan aplikasi yang mungkin terlewat. Sebagai bagian dari rekomendasi keamanan menganjurkan penyimpanan log investigasi sebelum melakukan perubahan yang tidak dapat dibatalkan. Dengan demikian, tim keamanan memiliki informasi pendukung investigasi.
Sebagai pemeriksaan lanjutan, organisasi sebaiknya mengevaluasi log Microsoft Entra, Microsoft 365, dan catatan operasi API. Investigasi dapat diarahkan pada aktivitas identitas aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta pemberian privilege tanpa otorisasi. Jika investigasi menemukan akses tidak sah, administrator perlu mencabut izin yang tidak diperlukan. Pendekatan izin sesuai kebutuhan memiliki manfaat besar strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Selain itu, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar indikasi kompromi dapat segera ditindaklanjuti.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Laporan keamanan terbaru Microsoft memberikan gambaran bahwa perkembangan TEKNOLOGI kecerdasan buatan dapat memperbesar risiko tertentu dalam industri keamanan siber. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap layanan cloud dan aplikasi tepercaya. Insiden kompromi layanan ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Kendati operasi memiliki cakupan sangat luas, tidak semua percobaan berakhir dengan kompromi. Sebagai pelajaran dari insiden ini, organisasi perlu memperkuat pemantauan dan menjaga kesiapan menghadapi serangan otomatis. Dari sudut pandang Anda, apakah pengembangan sistem pertahanan otomatis dapat membantu menghadapi serangan yang semakin cepat? Silakan bagikan pendapat Anda tentang pentingnya perlindungan aplikasi cloud.
