Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Laporan keamanan terkini dari Microsoft menunjukkan bahwa aktivitas kejahatan dunia maya semakin berkembang seiring penggunaan teknologi AI. Dalam laporan tersebut, Microsoft Threat Intelligence menemukan keterlibatan Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Kelompok tersebut diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Target utamanya berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Melalui kompromi tersebut, penyerang berupaya menjangkau lingkungan pelanggan yang sebelumnya memberikan izin aplikasi.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 telah aktif sejak 2021. Sebelum memanfaatkan agen AI, kelompok tersebut mengandalkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Ketika berhasil masuk ke sistem, pelaku mencoba meningkatkan hak akses melalui akun yang berhasil dikompromikan. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Pemanfaatan otomatisasi tersebut membuat waktu respons menjadi semakin penting karena serangan dapat berjalan secara paralel.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Bagian paling menarik dalam kampanye serangan tersebut adalah penggunaan kerangka kerja ARTEX. Kerangka kerja ARTEX dikenal sebagai sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Berdasarkan prinsip pengoperasiannya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk mendukung pengujian keamanan otomatis. Sistem otomatisasi itu menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Akan tetapi, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX digunakan dalam otomatisasi pemindaian lingkungan target, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Penggunaan sistem berbasis kecerdasan buatan mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Menurut hasil pengamatan Microsoft, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Meskipun demikian, sebagian besar percobaan penargetan tidak berhasil. Hasil analisis itu menunjukkan kebutuhan deteksi berkecepatan tinggi.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Agar mekanisme kompromi lebih jelas, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Aplikasi multi-tenant memungkinkan satu aplikasi digunakan berdasarkan mekanisme otorisasi yang telah disetujui. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut mendukung operasional perangkat lunak tanpa meminta persetujuan baru pada setiap proses. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Pada insiden yang dianalisis, pelaku menguasai material autentikasi aplikasi tertentu. Selanjutnya, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan mengandalkan hubungan otorisasi yang sudah ada. Pada sejumlah lingkungan, Microsoft mengidentifikasi penggunaan akses berikutnya melalui Microsoft Graph, termasuk pengumpulan data konfigurasi cloud, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Perubahan tersebut berpotensi menciptakan akses persisten bahkan setelah aplikasi yang terdampak dinonaktifkan. Meski demikian, keberhasilan login tidak otomatis membuktikan pencurian data.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Microsoft mengungkap, kampanye Storm-0940 memiliki cakupan internasional. Dalam aktivitas yang teramati sejak September, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Kategori organisasi yang dituju menjangkau manufaktur serta teknologi, termasuk organisasi penelitian. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mendeteksi jumlah percobaan gagal melebihi 151 ribu pada periode 10 hingga 14 Oktober 2026. Aktivitas otomatis tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft tidak mengamati keberhasilan login dari rangkaian password spraying itu.
Pada rangkaian serangan terhadap pelanggan Cloud Backup, ARTEX membantu menjangkau lebih dari 2.250 tenant melalui upaya login. Skala percobaan akses ini memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Walaupun jumlah sasaran sangat besar, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise mengambil langkah penanganan awal. Pada perkembangan berikutnya, penyedia layanan tersebut mengumumkan informasi awal kepada mitra pada 16 Oktober. Bagian operasional yang terdampak mencakup Cloud Backup, SaaS Security, dan Cloud Management yang mengalami penangguhan untuk penanganan keamanan.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Sebagai langkah perlindungan, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Di samping pembatasan akses, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Proses peninjauan ini sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya nama tampilan layanan. Hal ini mengurangi risiko kesalahan identifikasi. Dalam panduan mitigasinya, Microsoft menekankan pelestarian bukti digital sebelum menjalankan tindakan permanen terhadap lingkungan cloud. Melalui langkah tersebut, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Untuk meningkatkan perlindungan cloud, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan catatan operasi API. Evaluasi keamanan perlu memperhatikan proses login berbasis aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta perubahan role administratif. Ketika kompromi berhasil dikonfirmasi, administrator sebaiknya membatasi akses sesuai prosedur respons insiden. Pendekatan izin sesuai kebutuhan membantu memperkuat strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Sebagai tindakan tambahan, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar tim keamanan memiliki waktu respons yang lebih baik.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Pengungkapan Microsoft memperlihatkan bahwa kemajuan otomatisasi berbasis AI menghadirkan tantangan baru dalam industri keamanan siber. Melalui penggunaan ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap layanan cloud dan aplikasi tepercaya. Insiden kompromi layanan ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Kendati operasi memiliki cakupan sangat luas, tidak semua percobaan berakhir dengan kompromi. Oleh karena itu, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menerapkan prinsip hak akses minimum. Bagaimana pendapat Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman mampu meningkatkan perlindungan infrastruktur digital? Jangan ragu menyampaikan pemikiran Anda tentang pentingnya perlindungan aplikasi cloud.
