Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Temuan penelitian dari Microsoft menunjukkan bahwa risiko serangan digital memasuki tahap yang lebih kompleks seiring pemanfaatan kecerdasan buatan. Berdasarkan hasil investigasi, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Aktor ancaman ini dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Dengan memanfaatkan akses aplikasi yang disalahgunakan, penyerang berupaya menjangkau lingkungan pelanggan yang sebelumnya memberikan izin aplikasi.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 diketahui beroperasi sejak tahun 2021. Dalam pola operasi yang telah diamati, kelompok tersebut memanfaatkan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Apabila kompromi awal berhasil dilakukan, pelaku melakukan aktivitas lanjutan melalui akun yang berhasil dikompromikan. Pada rangkaian serangan tahun 2026, penggunaan ARTEX memungkinkan peningkatan kecepatan beberapa tahapan serangan. Perkembangan metode ini menimbulkan tantangan baru karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Bagian paling menarik dalam aktivitas Storm-0940 adalah penerapan platform pengujian keamanan ARTEX. ARTEX merupakan sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Berdasarkan prinsip pengoperasiannya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk menjalankan rangkaian penilaian kerentanan. Perangkat ini dibangun dengan komponen perangkat lunak berbasis Go dan antarmuka Next.js. Dalam penggunaan yang sah, kemampuan tersebut dapat membantu mengevaluasi perlindungan sistem. Akan tetapi, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Pada operasi yang diidentifikasi Microsoft, ARTEX berperan membantu pelaksanaan pengumpulan informasi mengenai sistem, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Penggunaan sistem berbasis kecerdasan buatan membantu menjalankan banyak pekerjaan secara paralel. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Meskipun demikian, sebagian besar percobaan penargetan tidak berhasil. Hasil analisis itu memperlihatkan perlunya respons keamanan yang lebih cepat.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Untuk memahami dampak serangan, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Aplikasi multi-tenant memungkinkan satu aplikasi digunakan berdasarkan persetujuan administrator pelanggan. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut membantu menjalankan layanan tanpa meminta persetujuan baru pada setiap proses. Ketika identitas aplikasi berhasil dikompromikan, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Dalam kasus ConnectWise, pelaku menguasai material autentikasi aplikasi tertentu. Setelah akses tersebut diperoleh, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan memanfaatkan izin aplikasi sebelumnya. Dalam beberapa tenant yang terdampak, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan modifikasi izin tertentu. Tindakan penyerang tersebut berpotensi menciptakan akses persisten bahkan setelah kredensial awal diganti. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak otomatis membuktikan pencurian data.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Microsoft mengungkap, kampanye Storm-0940 memiliki cakupan internasional. Setidaknya mulai September 2026, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Sektor yang menjadi sasaran mencakup industri pertahanan dan energi, termasuk organisasi penelitian. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Meskipun jumlahnya besar, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Jumlah tenant yang ditargetkan menggambarkan kemampuan otomatisasi tingkat tinggi. Walaupun jumlah sasaran sangat besar, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Pada 14 Oktober 2026, ConnectWise memulai penyelidikan serta tindakan pengamanan. Perusahaan kemudian menyampaikan advisory awal tanggal 16 Oktober. Bagian operasional yang terdampak termasuk Cloud Backup, SaaS Security, serta Cloud Management yang mengalami penangguhan untuk penanganan keamanan.
Panduan Microsoft untuk Mengamankan Aplikasi Cloud
Untuk menghadapi ancaman tersebut, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Selain itu, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Evaluasi keamanan tersebut perlu memakai identitas aplikasi yang akurat, bukan hanya label yang terlihat dalam antarmuka. Hal ini mengurangi risiko kesalahan identifikasi. Microsoft juga menganjurkan penyimpanan log investigasi sebelum menghapus konfigurasi aplikasi. Melalui langkah tersebut, tim keamanan lebih mudah memahami ruang lingkup insiden.
Langkah penting berikutnya, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Investigasi dapat diarahkan pada autentikasi service principal, modifikasi sertifikat dan kredensial aplikasi, serta perubahan role administratif. Jika investigasi menemukan akses tidak sah, administrator sebaiknya membatasi akses sesuai prosedur respons insiden. Konsep pemberian hak akses minimum memiliki manfaat besar strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Tidak kalah penting, organisasi perlu memantau anomali secara berkelanjutan agar indikasi kompromi dapat segera ditindaklanjuti.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Laporan keamanan terbaru Microsoft memberikan gambaran bahwa perkembangan TEKNOLOGI kecerdasan buatan mengubah kecepatan ancaman dalam industri keamanan siber. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap lingkungan Microsoft 365. Peristiwa serangan rantai pasok ini juga memperlihatkan risiko izin cloud yang berlebihan. Kendati operasi memiliki cakupan sangat luas, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Sebagai pelajaran dari insiden ini, organisasi sebaiknya meningkatkan pengendalian akses dan menerapkan prinsip hak akses minimum. Menurut Anda, apakah pemanfaatan AI dalam keamanan siber akan menjadi kebutuhan utama perusahaan di masa depan? Silakan bagikan pendapat Anda tentang masa depan keamanan digital.
