Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Laporan keamanan terkini dari Microsoft mengungkapkan bahwa risiko serangan digital memasuki tahap yang lebih kompleks seiring penggunaan teknologi AI. Berdasarkan hasil investigasi, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Pelaku yang diidentifikasi Microsoft dikaitkan secara langsung dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Akibat penyusupan terhadap layanan tepercaya, penyerang berupaya menjangkau lingkungan pelanggan yang sebelumnya memberikan izin aplikasi.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Pada aktivitas serangan sebelumnya, kelompok tersebut mengandalkan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Apabila kompromi awal berhasil dilakukan, pelaku melakukan aktivitas lanjutan melalui identitas digital yang disalahgunakan. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Perkembangan metode ini menambah tekanan terhadap tim keamanan karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Salah satu aspek terpenting dalam kampanye serangan tersebut adalah penggunaan kerangka kerja ARTEX. ARTEX merupakan perangkat lunak pengujian penetrasi bersumber terbuka. Berdasarkan prinsip pengoperasiannya, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk mengotomatisasi aktivitas pemeriksaan sistem. Perangkat ini menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut dapat membantu mengevaluasi perlindungan sistem. Meskipun memiliki fungsi pengujian yang sah, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX berperan membantu pelaksanaan pengumpulan informasi mengenai sistem, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Penggunaan sistem berbasis kecerdasan buatan memungkinkan berbagai aktivitas berlangsung cepat. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Walaupun kecepatannya mengkhawatirkan, sebagian besar percobaan penargetan tidak berhasil. Hasil analisis itu menegaskan pentingnya pemantauan otomatis.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Untuk memahami dampak serangan, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Aplikasi multi-tenant mendukung layanan bagi beberapa pelanggan berdasarkan persetujuan administrator pelanggan. Dalam kondisi normal, integrasi tersebut membantu menjalankan layanan tanpa mengharuskan pengguna melakukan login berulang. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Berdasarkan temuan mengenai aplikasi Cloud Backup, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Setelah akses tersebut diperoleh, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan memanfaatkan izin aplikasi sebelumnya. Pada sejumlah lingkungan, Microsoft mengidentifikasi penggunaan akses berikutnya melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Perubahan tersebut dapat mempertahankan jalur masuk tambahan bahkan setelah integrasi awal diperbaiki. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak otomatis membuktikan pencurian data.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Sejak September 2026, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Bidang industri yang terdampak penargetan menjangkau manufaktur serta teknologi, termasuk lembaga hukum dan nonprofit. Pada salah satu rangkaian percobaan autentikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut menargetkan 327 akun di delapan organisasi. Meskipun jumlahnya besar, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Jumlah tenant yang ditargetkan memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Walaupun jumlah sasaran sangat besar, tenant yang menerima percobaan akses tidak selalu berhasil dikompromikan. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise mengambil langkah penanganan awal. Setelah itu, ConnectWise mengumumkan informasi awal kepada mitra pada 16 Oktober. Bagian operasional yang terdampak melibatkan Cloud Backup serta dua layanan terkait lainnya yang mengalami penangguhan untuk penanganan keamanan.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Sebagai langkah perlindungan, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Selain itu, administrator perlu memeriksa seluruh tenant yang relevan. Pemeriksaan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya nama tampilan layanan. Hal ini membantu meningkatkan ketepatan investigasi. Microsoft juga meminta organisasi menjaga catatan audit sebelum melakukan perubahan yang tidak dapat dibatalkan. Dengan demikian, tim keamanan memiliki informasi pendukung investigasi.
Sebagai pemeriksaan lanjutan, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan riwayat komunikasi aplikasi. Evaluasi keamanan perlu memperhatikan autentikasi service principal, modifikasi sertifikat dan kredensial aplikasi, serta pemberian privilege tanpa otorisasi. Ketika kompromi berhasil dikonfirmasi, administrator harus mempertimbangkan rotasi kredensial terdampak. Konsep pemberian hak akses minimum menjadi bagian penting strategi pertahanan karena akses administratif perlu dibatasi secara proporsional. Sebagai tindakan tambahan, organisasi perlu memantau anomali secara berkelanjutan agar percobaan serangan dapat dikenali lebih cepat.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Laporan keamanan terbaru Microsoft menunjukkan bahwa penggunaan sistem agen cerdas menghadirkan tantangan baru dalam pengelolaan infrastruktur perusahaan. Melalui penggunaan ARTEX, pelaku berhasil meningkatkan kecepatan operasi tertentu terhadap lingkungan Microsoft 365. Kasus ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Meskipun ribuan tenant menjadi sasaran, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Dengan mempertimbangkan temuan tersebut, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menjalankan respons insiden yang terstruktur. Bagaimana pendapat Anda, apakah pemanfaatan AI dalam keamanan siber mampu meningkatkan perlindungan infrastruktur digital? Silakan bagikan pendapat Anda tentang pentingnya perlindungan aplikasi cloud.
