Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Pengungkapan terbaru dari Microsoft memperlihatkan bahwa aktivitas kejahatan dunia maya memasuki tahap yang lebih kompleks seiring pemanfaatan kecerdasan buatan. Melalui publikasi keamanan itu, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Pelaku yang diidentifikasi Microsoft dikaitkan secara langsung dengan kompromi aplikasi multi-tenant milik ConnectWise. Bagian layanan yang menjadi perhatian berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Melalui kompromi tersebut, penyerang mencoba mengakses sistem perusahaan lain yang telah mempercayai integrasi perangkat lunak tersebut.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 telah aktif sejak 2021. Pada aktivitas serangan sebelumnya, kelompok tersebut mengandalkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Setelah memperoleh akses, pelaku mencoba meningkatkan hak akses melalui akun yang berhasil dikompromikan. Dalam kampanye terbaru, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Pemanfaatan otomatisasi tersebut menambah tekanan terhadap tim keamanan karena serangan dapat berjalan secara paralel.
Teknologi ARTEX Mempercepat Otomatisasi Aktivitas Peretasan
Bagian paling menarik dalam operasi yang dianalisis Microsoft adalah penggunaan kerangka kerja ARTEX. Kerangka kerja ARTEX dikenal sebagai perangkat lunak pengujian penetrasi bersumber terbuka. Dalam rancangan teknologinya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk mendukung pengujian keamanan otomatis. Sistem otomatisasi itu menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Akan tetapi, teknologi yang sama dapat disalahgunakan pelaku ancaman.
Dalam kampanye Storm-0940, ARTEX dimanfaatkan untuk mempercepat pemindaian lingkungan target, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Penggunaan sistem berbasis kecerdasan buatan memungkinkan berbagai aktivitas berlangsung cepat. Menurut hasil pengamatan Microsoft, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Walaupun kecepatannya mengkhawatirkan, banyak upaya yang teramati tidak mencapai tujuan penyerang. Temuan ini menegaskan pentingnya pemantauan otomatis.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Sebelum menilai risiko terhadap pelanggan, pengguna perlu mengetahui peran aplikasi multi-tenant dan OAuth dalam ekosistem perangkat lunak perusahaan. Integrasi cloud lintas organisasi mendukung layanan bagi beberapa pelanggan berdasarkan persetujuan administrator pelanggan. Pada penggunaan yang sah, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa mengharuskan pengguna melakukan login berulang. Ketika identitas aplikasi berhasil dikompromikan, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Pada insiden yang dianalisis, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Dalam aktivitas lanjutan, sistem berbantuan AI melakukan percobaan akses ke infrastruktur Microsoft 365 dengan menggunakan kepercayaan yang telah diberikan. Untuk sebagian sistem pelanggan, Microsoft mengidentifikasi penggunaan akses berikutnya melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Perubahan tersebut berpotensi menciptakan akses persisten bahkan setelah aplikasi yang terdampak dinonaktifkan. Walaupun autentikasi mencurigakan ditemukan, keberhasilan login tidak otomatis membuktikan pencurian data.
Skala Serangan ConnectWise dan Temuan Keamanan Microsoft
Microsoft mengungkap, kampanye Storm-0940 memiliki cakupan internasional. Dalam aktivitas yang teramati sejak September, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Bidang industri yang terdampak penargetan meliputi manufaktur serta teknologi, termasuk lembaga hukum dan nonprofit. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Meskipun jumlahnya besar, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX membantu menjangkau lebih dari 2.250 tenant melalui upaya login. Jumlah tenant yang ditargetkan memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Perlu dipahami, tenant yang menerima percobaan akses tidak selalu berhasil dikompromikan. Pada 14 Oktober 2026, ConnectWise mengambil langkah penanganan awal. Perusahaan kemudian menerbitkan pemberitahuan keamanan pada 16 Oktober. Layanan terkait termasuk Cloud Backup, SaaS Security, serta Cloud Management yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Untuk menghadapi ancaman tersebut, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Sebagai tindakan awal lainnya, administrator disarankan meninjau lingkungan Microsoft 365 yang pernah menggunakan integrasi. Proses peninjauan ini sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya judul aplikasi pada daftar integrasi. Hal ini membantu meningkatkan ketepatan investigasi. Sebagai bagian dari rekomendasi keamanan menekankan pelestarian bukti digital sebelum melakukan perubahan yang tidak dapat dibatalkan. Berkat pendekatan yang terstruktur, tim keamanan lebih mudah memahami ruang lingkup insiden.
Untuk meningkatkan perlindungan cloud, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan catatan operasi API. Evaluasi keamanan perlu memperhatikan proses login berbasis aplikasi, perubahan rahasia autentikasi, serta pemberian privilege tanpa otorisasi. Ketika kompromi berhasil dikonfirmasi, administrator harus mempertimbangkan rotasi kredensial terdampak. Prinsip least privilege membantu memperkuat strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Sebagai tindakan tambahan, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar tim keamanan memiliki waktu respons yang lebih baik.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Laporan keamanan terbaru Microsoft memperlihatkan bahwa kemajuan otomatisasi berbasis AI menghadirkan tantangan baru dalam perlindungan sistem digital. Melalui penggunaan ARTEX, pelaku berhasil meningkatkan kecepatan operasi tertentu terhadap lingkungan Microsoft 365. Kasus ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Walaupun serangan menjangkau banyak lingkungan pelanggan, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Sebagai pelajaran dari insiden ini, organisasi perlu memperkuat pemantauan dan menjalankan respons insiden yang terstruktur. Menurut Anda, apakah pengembangan sistem pertahanan otomatis akan menjadi kebutuhan utama perusahaan di masa depan? Silakan bagikan pendapat Anda tentang tantangan serangan siber berbasis AI.
