Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Laporan keamanan terkini dari Microsoft menunjukkan bahwa aktivitas kejahatan dunia maya memasuki tahap yang lebih kompleks seiring penggunaan teknologi AI. Melalui publikasi keamanan itu, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Pelaku yang diidentifikasi Microsoft diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Target utamanya berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Akibat penyusupan terhadap layanan tepercaya, penyerang berupaya menjangkau lingkungan pelanggan yang telah mempercayai integrasi perangkat lunak tersebut.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 diketahui beroperasi sejak tahun 2021. Pada aktivitas serangan sebelumnya, kelompok tersebut memanfaatkan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Ketika berhasil masuk ke sistem, pelaku berusaha memperluas kendali melalui akun yang berhasil dikompromikan. Dalam kampanye terbaru, penggunaan ARTEX memungkinkan peningkatan kecepatan beberapa tahapan serangan. Perubahan tersebut membuat waktu respons menjadi semakin penting karena aktivitas mencurigakan dapat berlangsung sangat cepat.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Salah satu aspek terpenting dalam aktivitas Storm-0940 adalah pemanfaatan sistem AI bernama ARTEX. Kerangka kerja ARTEX dikenal sebagai perangkat lunak pengujian penetrasi bersumber terbuka. Dalam rancangan teknologinya, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk menjalankan rangkaian penilaian kerentanan. Perangkat ini dibangun dengan komponen perangkat lunak berbasis Go dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut mendukung penilaian keamanan organisasi. Akan tetapi, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Pada operasi yang diidentifikasi Microsoft, ARTEX berperan membantu pelaksanaan pengumpulan informasi mengenai sistem, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Kemampuan otomatisasi ini mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Meskipun demikian, tidak semua organisasi yang disasar berhasil dikompromikan. Hasil analisis itu memperlihatkan perlunya respons keamanan yang lebih cepat.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Agar mekanisme kompromi lebih jelas, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Aplikasi multi-tenant memberikan akses aplikasi ke banyak lingkungan organisasi berdasarkan izin yang sebelumnya diberikan. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa mengharuskan pengguna melakukan login berulang. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Dalam kasus ConnectWise, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Selanjutnya, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan menggunakan kepercayaan yang telah diberikan. Dalam beberapa tenant yang terdampak, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Perubahan tersebut mungkin memungkinkan keberlanjutan akses tidak sah bahkan setelah integrasi awal diperbaiki. Kendati aktivitas akses teridentifikasi, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Microsoft mengungkap, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Sejak September 2026, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Kategori organisasi yang dituju menjangkau manufaktur serta teknologi, termasuk perusahaan semikonduktor. Dalam bagian kampanye yang diperiksa, Microsoft mendeteksi jumlah percobaan gagal melebihi 151 ribu pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Walaupun aktivitasnya sangat intensif, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Pada rangkaian serangan terhadap pelanggan Cloud Backup, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Skala percobaan akses ini memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Namun demikian, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Pada 14 Oktober 2026, ConnectWise memulai penyelidikan serta tindakan pengamanan. Setelah itu, ConnectWise menyampaikan advisory awal tanggal 16 Oktober. Layanan terkait termasuk Cloud Backup, SaaS Security, serta Cloud Management yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Dalam upaya mengurangi risiko kompromi, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Di samping pembatasan akses, administrator disarankan meninjau lingkungan Microsoft 365 yang pernah menggunakan integrasi. Proses peninjauan ini sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya label yang terlihat dalam antarmuka. Metode pemeriksaan itu berguna untuk menemukan aplikasi yang mungkin terlewat. Microsoft juga menekankan pelestarian bukti digital sebelum menghapus konfigurasi aplikasi. Melalui langkah tersebut, tim keamanan lebih mudah memahami ruang lingkup insiden.
Untuk meningkatkan perlindungan cloud, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan riwayat komunikasi aplikasi. Pemeriksaan sebaiknya mencakup proses login berbasis aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta perubahan role administratif. Ketika kompromi berhasil dikonfirmasi, administrator harus mempertimbangkan rotasi kredensial terdampak. Prinsip least privilege menjadi bagian penting strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Tidak kalah penting, organisasi perlu memantau anomali secara berkelanjutan agar tim keamanan memiliki waktu respons yang lebih baik.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Pengungkapan Microsoft menunjukkan bahwa perkembangan TEKNOLOGI kecerdasan buatan mengubah kecepatan ancaman dalam industri keamanan siber. Melalui penggunaan ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap layanan cloud dan aplikasi tepercaya. Kasus ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Kendati operasi memiliki cakupan sangat luas, tidak semua percobaan berakhir dengan kompromi. Sebagai pelajaran dari insiden ini, organisasi perlu memperkuat pemantauan dan menjalankan respons insiden yang terstruktur. Bagaimana pendapat Anda, apakah pemanfaatan AI dalam keamanan siber dapat membantu menghadapi serangan yang semakin cepat? Mari berbagi pandangan mengenai perkembangan ini tentang tantangan serangan siber berbasis AI.
