Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Pengungkapan terbaru dari Microsoft menunjukkan bahwa aktivitas kejahatan dunia maya mengalami perubahan signifikan seiring perkembangan sistem otomatisasi digital. Berdasarkan hasil investigasi, Microsoft Threat Intelligence melacak Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Aktor ancaman ini diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Melalui kompromi tersebut, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang telah mempercayai integrasi perangkat lunak tersebut.
Menurut penelitian Microsoft, Storm-0940 telah aktif sejak 2021. Pada aktivitas serangan sebelumnya, kelompok tersebut mengandalkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Apabila kompromi awal berhasil dilakukan, pelaku mencoba meningkatkan hak akses melalui identitas digital yang disalahgunakan. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Perubahan tersebut menambah tekanan terhadap tim keamanan karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Bagian paling menarik dalam aktivitas Storm-0940 adalah penggunaan kerangka kerja ARTEX. Teknologi ARTEX adalah sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Secara konseptual, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk menjalankan rangkaian penilaian kerentanan. Perangkat ini menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut mendukung penilaian keamanan organisasi. Namun demikian, teknologi yang sama dapat disalahgunakan pelaku ancaman.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX berperan membantu pelaksanaan pemindaian lingkungan target, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Penggunaan sistem berbasis kecerdasan buatan membantu menjalankan banyak pekerjaan secara paralel. Menurut hasil pengamatan Microsoft, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Meskipun demikian, tidak semua organisasi yang disasar berhasil dikompromikan. Kondisi tersebut memperlihatkan perlunya respons keamanan yang lebih cepat.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Agar mekanisme kompromi lebih jelas, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Integrasi cloud lintas organisasi memungkinkan satu aplikasi digunakan berdasarkan izin yang sebelumnya diberikan. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut mendukung operasional perangkat lunak tanpa meminta persetujuan baru pada setiap proses. Jika material autentikasi jatuh ke tangan penyerang, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Pada insiden yang dianalisis, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Setelah akses tersebut diperoleh, sistem berbantuan AI melakukan percobaan akses ke infrastruktur Microsoft 365 dengan mengandalkan hubungan otorisasi yang sudah ada. Dalam beberapa tenant yang terdampak, Microsoft mengidentifikasi penggunaan akses berikutnya melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan modifikasi izin tertentu. Aktivitas manipulasi identitas ini berpotensi menciptakan akses persisten bahkan setelah aplikasi yang terdampak dinonaktifkan. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Microsoft mengungkap, kampanye Storm-0940 memiliki cakupan internasional. Setidaknya mulai September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Sektor yang menjadi sasaran menjangkau industri pertahanan dan energi, termasuk perusahaan semikonduktor. Pada salah satu rangkaian percobaan autentikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Aktivitas otomatis tersebut menargetkan 327 akun di delapan organisasi. Meskipun jumlahnya besar, Microsoft tidak mengamati keberhasilan login dari rangkaian password spraying itu.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Jumlah tenant yang ditargetkan menunjukkan luasnya jangkauan serangan. Walaupun jumlah sasaran sangat besar, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Setelah itu, ConnectWise menerbitkan pemberitahuan keamanan pada 16 Oktober. Layanan terkait mencakup Cloud Backup, SaaS Security, dan Cloud Management yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Sebagai langkah perlindungan, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Selain itu, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Proses peninjauan ini sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya label yang terlihat dalam antarmuka. Hal ini mengurangi risiko kesalahan identifikasi. Microsoft juga menganjurkan penyimpanan log investigasi sebelum melakukan perubahan yang tidak dapat dibatalkan. Melalui langkah tersebut, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Sebagai pemeriksaan lanjutan, organisasi sebaiknya mengevaluasi log Microsoft Entra, Microsoft 365, dan catatan operasi API. Pemeriksaan sebaiknya mencakup aktivitas identitas aplikasi, perubahan rahasia autentikasi, serta pemberian privilege tanpa otorisasi. Jika investigasi menemukan akses tidak sah, administrator harus mempertimbangkan rotasi kredensial terdampak. Konsep pemberian hak akses minimum memiliki manfaat besar strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Sebagai tindakan tambahan, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar tim keamanan memiliki waktu respons yang lebih baik.
Masa Depan Keamanan Siber Menghadapi Agen AI Peretas
Temuan mengenai kampanye Storm-0940 memperlihatkan bahwa perkembangan TEKNOLOGI kecerdasan buatan menghadirkan tantangan baru dalam perlindungan sistem digital. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku berhasil meningkatkan kecepatan operasi tertentu terhadap infrastruktur digital perusahaan. Kasus ConnectWise juga menegaskan pentingnya pengelolaan identitas aplikasi. Walaupun serangan menjangkau banyak lingkungan pelanggan, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Oleh karena itu, organisasi perlu memperkuat pemantauan dan menerapkan prinsip hak akses minimum. Dari sudut pandang Anda, apakah pengembangan sistem pertahanan otomatis dapat membantu menghadapi serangan yang semakin cepat? Mari berbagi pandangan mengenai perkembangan ini tentang pentingnya perlindungan aplikasi cloud.
