Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Temuan penelitian dari Microsoft menunjukkan bahwa ancaman keamanan siber memasuki tahap yang lebih kompleks seiring perkembangan sistem otomatisasi digital. Melalui publikasi keamanan itu, Microsoft Threat Intelligence melacak Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Pelaku yang diidentifikasi Microsoft diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Bagian layanan yang menjadi perhatian berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Melalui kompromi tersebut, penyerang berupaya menjangkau lingkungan pelanggan yang memiliki hubungan layanan dengan ConnectWise.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut mengandalkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Apabila kompromi awal berhasil dilakukan, pelaku berusaha memperluas kendali melalui identitas digital yang disalahgunakan. Pada rangkaian serangan tahun 2026, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perubahan tersebut menambah tekanan terhadap tim keamanan karena serangan dapat berjalan secara paralel.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Komponen utama dalam kampanye serangan tersebut adalah penerapan platform pengujian keamanan ARTEX. Kerangka kerja ARTEX dikenal sebagai perangkat lunak pengujian penetrasi bersumber terbuka. Secara konseptual, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk menjalankan rangkaian penilaian kerentanan. Kerangka kerja tersebut menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Dalam penggunaan yang sah, kemampuan tersebut mendukung penilaian keamanan organisasi. Meskipun memiliki fungsi pengujian yang sah, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Pada operasi yang diidentifikasi Microsoft, ARTEX berperan membantu pelaksanaan pemindaian lingkungan target, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Kemampuan otomatisasi ini mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Microsoft melaporkan, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Namun penting untuk dipahami, sebagian besar percobaan penargetan tidak berhasil. Kondisi tersebut menunjukkan kebutuhan deteksi berkecepatan tinggi.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Agar mekanisme kompromi lebih jelas, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Integrasi cloud lintas organisasi memungkinkan satu aplikasi digunakan berdasarkan izin yang sebelumnya diberikan. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut membantu menjalankan layanan tanpa meminta persetujuan baru pada setiap proses. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Dalam kasus ConnectWise, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Dalam aktivitas lanjutan, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan mengandalkan hubungan otorisasi yang sudah ada. Dalam beberapa tenant yang terdampak, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pengumpulan data konfigurasi cloud, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Aktivitas manipulasi identitas ini mungkin memungkinkan keberlanjutan akses tidak sah bahkan setelah kredensial awal diganti. Meski demikian, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 memiliki cakupan internasional. Dalam aktivitas yang teramati sejak September, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Bidang industri yang terdampak penargetan mencakup manufaktur serta teknologi, termasuk perusahaan semikonduktor. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Meskipun jumlahnya besar, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Jumlah tenant yang ditargetkan memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Namun demikian, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Dalam perkembangan tanggal 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Pada perkembangan berikutnya, penyedia layanan tersebut menerbitkan pemberitahuan keamanan pada 16 Oktober. Produk yang menjadi perhatian termasuk Cloud Backup, SaaS Security, serta Cloud Management yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Untuk menghadapi ancaman tersebut, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Selain itu, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Proses peninjauan ini perlu memakai identitas aplikasi yang akurat, bukan hanya label yang terlihat dalam antarmuka. Hal ini membantu meningkatkan ketepatan investigasi. Sebagai bagian dari rekomendasi keamanan menekankan pelestarian bukti digital sebelum menjalankan tindakan permanen terhadap lingkungan cloud. Berkat pendekatan yang terstruktur, tim keamanan memiliki informasi pendukung investigasi.
Sebagai pemeriksaan lanjutan, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Investigasi dapat diarahkan pada aktivitas identitas aplikasi, penambahan kredensial baru, serta pemberian privilege tanpa otorisasi. Ketika kompromi berhasil dikonfirmasi, administrator harus mempertimbangkan rotasi kredensial terdampak. Pendekatan izin sesuai kebutuhan menjadi bagian penting strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Tidak kalah penting, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar indikasi kompromi dapat segera ditindaklanjuti.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Laporan keamanan terbaru Microsoft menunjukkan bahwa kemajuan otomatisasi berbasis AI menghadirkan tantangan baru dalam industri keamanan siber. Melalui penggunaan ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap lingkungan Microsoft 365. Insiden kompromi layanan ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Walaupun serangan menjangkau banyak lingkungan pelanggan, tidak semua percobaan berakhir dengan kompromi. Sebagai pelajaran dari insiden ini, organisasi sebaiknya meningkatkan pengendalian akses dan menjaga kesiapan menghadapi serangan otomatis. Dari sudut pandang Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman mampu meningkatkan perlindungan infrastruktur digital? Jangan ragu menyampaikan pemikiran Anda tentang pentingnya perlindungan aplikasi cloud.
