Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Pengungkapan terbaru dari Microsoft memperlihatkan bahwa aktivitas kejahatan dunia maya memasuki tahap yang lebih kompleks seiring pemanfaatan kecerdasan buatan. Berdasarkan hasil investigasi, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Pelaku yang diidentifikasi Microsoft dikaitkan secara langsung dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Melalui kompromi tersebut, penyerang berupaya menjangkau lingkungan pelanggan yang memiliki hubungan layanan dengan ConnectWise.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut mengandalkan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Ketika berhasil masuk ke sistem, pelaku melakukan aktivitas lanjutan melalui akun yang berhasil dikompromikan. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX memungkinkan peningkatan kecepatan beberapa tahapan serangan. Perkembangan metode ini menimbulkan tantangan baru karena serangan dapat berjalan secara paralel.
Teknologi ARTEX Mempercepat Otomatisasi Aktivitas Peretasan
Salah satu aspek terpenting dalam kampanye serangan tersebut adalah penerapan platform pengujian keamanan ARTEX. Teknologi ARTEX adalah framework penetration testing open source. Dalam rancangan teknologinya, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk mendukung pengujian keamanan otomatis. Kerangka kerja tersebut dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Namun demikian, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX digunakan dalam otomatisasi pemindaian lingkungan target, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Kemampuan otomatisasi ini mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Microsoft melaporkan, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Namun penting untuk dipahami, tidak semua organisasi yang disasar berhasil dikompromikan. Hasil analisis itu memperlihatkan perlunya respons keamanan yang lebih cepat.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Agar mekanisme kompromi lebih jelas, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Integrasi cloud lintas organisasi memungkinkan satu aplikasi digunakan berdasarkan mekanisme otorisasi yang telah disetujui. Pada penggunaan yang sah, integrasi tersebut mendukung operasional perangkat lunak tanpa mengharuskan pengguna melakukan login berulang. Ketika identitas aplikasi berhasil dikompromikan, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Berdasarkan temuan mengenai aplikasi Cloud Backup, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Selanjutnya, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan memanfaatkan izin aplikasi sebelumnya. Dalam beberapa tenant yang terdampak, Microsoft mengidentifikasi penggunaan akses berikutnya melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan modifikasi izin tertentu. Tindakan penyerang tersebut berpotensi menciptakan akses persisten bahkan setelah integrasi awal diperbaiki. Walaupun autentikasi mencurigakan ditemukan, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 menargetkan organisasi secara global. Setidaknya mulai September 2026, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Kategori organisasi yang dituju menjangkau pemerintahan dan keuangan, termasuk lembaga hukum dan nonprofit. Pada salah satu rangkaian percobaan autentikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Aktivitas otomatis tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Walaupun aktivitasnya sangat intensif, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Pada rangkaian serangan terhadap pelanggan Cloud Backup, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Angka tersebut memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Walaupun jumlah sasaran sangat besar, tenant yang menerima percobaan akses tidak selalu berhasil dikompromikan. Dalam perkembangan tanggal 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Setelah itu, ConnectWise menerbitkan pemberitahuan keamanan pada 16 Oktober. Layanan terkait termasuk Cloud Backup, SaaS Security, serta Cloud Management yang mengalami penangguhan untuk penanganan keamanan.
Panduan Microsoft untuk Mengamankan Aplikasi Cloud
Sebagai langkah perlindungan, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Sebagai tindakan awal lainnya, administrator perlu memeriksa seluruh tenant yang relevan. Pemeriksaan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya nama tampilan layanan. Langkah tersebut berguna untuk menemukan aplikasi yang mungkin terlewat. Microsoft juga meminta organisasi menjaga catatan audit sebelum melakukan perubahan yang tidak dapat dibatalkan. Dengan demikian, tim keamanan lebih mudah memahami ruang lingkup insiden.
Langkah penting berikutnya, organisasi sebaiknya mengevaluasi log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Evaluasi keamanan perlu memperhatikan aktivitas identitas aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta peningkatan hak akses yang tidak biasa. Apabila aktivitas mencurigakan terbukti, administrator perlu mencabut izin yang tidak diperlukan. Pendekatan izin sesuai kebutuhan membantu memperkuat strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Tidak kalah penting, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar indikasi kompromi dapat segera ditindaklanjuti.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Temuan mengenai kampanye Storm-0940 memperlihatkan bahwa perkembangan TEKNOLOGI kecerdasan buatan dapat memperbesar risiko tertentu dalam industri keamanan siber. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap lingkungan Microsoft 365. Kasus ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Meskipun ribuan tenant menjadi sasaran, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Oleh karena itu, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menjalankan respons insiden yang terstruktur. Dari sudut pandang Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman akan menjadi kebutuhan utama perusahaan di masa depan? Silakan bagikan pendapat Anda tentang masa depan keamanan digital.
