Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Laporan keamanan terkini dari Microsoft menunjukkan bahwa risiko serangan digital mengalami perubahan signifikan seiring penggunaan teknologi AI. Melalui publikasi keamanan itu, Microsoft Threat Intelligence melacak Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Kelompok tersebut dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Bagian layanan yang menjadi perhatian berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Akibat penyusupan terhadap layanan tepercaya, penyerang mencoba mengakses sistem perusahaan lain yang memiliki hubungan layanan dengan ConnectWise.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 telah aktif sejak 2021. Sebelum memanfaatkan agen AI, kelompok tersebut mengandalkan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Setelah memperoleh akses, pelaku melakukan aktivitas lanjutan melalui akun yang berhasil dikompromikan. Dalam kampanye terbaru, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perkembangan metode ini menambah tekanan terhadap tim keamanan karena aktivitas mencurigakan dapat berlangsung sangat cepat.
Teknologi ARTEX Mempercepat Otomatisasi Aktivitas Peretasan
Salah satu aspek terpenting dalam kampanye serangan tersebut adalah penggunaan kerangka kerja ARTEX. Teknologi ARTEX adalah perangkat lunak pengujian penetrasi bersumber terbuka. Secara konseptual, ARTEX menggabungkan beberapa agen kecerdasan buatan untuk menjalankan rangkaian penilaian kerentanan. Sistem otomatisasi itu dibangun dengan komponen perangkat lunak berbasis Go dan antarmuka Next.js. Dalam penggunaan yang sah, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Namun demikian, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX berperan membantu pelaksanaan aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Dukungan agen AI tersebut mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Meskipun demikian, banyak upaya yang teramati tidak mencapai tujuan penyerang. Hasil analisis itu menegaskan pentingnya pemantauan otomatis.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Agar mekanisme kompromi lebih jelas, pengguna perlu mengetahui peran aplikasi multi-tenant dan OAuth dalam ekosistem perangkat lunak perusahaan. Aplikasi multi-tenant mendukung layanan bagi beberapa pelanggan berdasarkan persetujuan administrator pelanggan. Dalam kondisi normal, integrasi tersebut mendukung operasional perangkat lunak tanpa mengharuskan pengguna melakukan login berulang. Ketika identitas aplikasi berhasil dikompromikan, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Pada insiden yang dianalisis, pelaku menguasai material autentikasi aplikasi tertentu. Dalam aktivitas lanjutan, sistem berbantuan AI melakukan percobaan akses ke infrastruktur Microsoft 365 dengan memanfaatkan izin aplikasi sebelumnya. Dalam beberapa tenant yang terdampak, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Aktivitas manipulasi identitas ini mungkin memungkinkan keberlanjutan akses tidak sah bahkan setelah integrasi awal diperbaiki. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak otomatis membuktikan pencurian data.
Skala Serangan ConnectWise dan Temuan Keamanan Microsoft
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Setidaknya mulai September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Bidang industri yang terdampak penargetan menjangkau industri pertahanan dan energi, termasuk organisasi penelitian. Pada salah satu rangkaian percobaan autentikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut menargetkan 327 akun di delapan organisasi. Meskipun jumlahnya besar, Microsoft tidak mengamati keberhasilan login dari rangkaian password spraying itu.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX membantu menjangkau lebih dari 2.250 tenant melalui upaya login. Skala percobaan akses ini menggambarkan kemampuan otomatisasi tingkat tinggi. Perlu dipahami, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Dalam perkembangan tanggal 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Perusahaan kemudian menerbitkan pemberitahuan keamanan pada 16 Oktober. Layanan terkait melibatkan Cloud Backup serta dua layanan terkait lainnya yang mengalami penangguhan untuk penanganan keamanan.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Sebagai langkah perlindungan, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Sebagai tindakan awal lainnya, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Evaluasi keamanan tersebut dianjurkan menggunakan identifier resmi aplikasi, bukan hanya judul aplikasi pada daftar integrasi. Hal ini mengurangi risiko kesalahan identifikasi. Sebagai bagian dari rekomendasi keamanan menganjurkan penyimpanan log investigasi sebelum melakukan perubahan yang tidak dapat dibatalkan. Dengan demikian, tim keamanan lebih mudah memahami ruang lingkup insiden.
Sebagai pemeriksaan lanjutan, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Evaluasi keamanan perlu memperhatikan proses login berbasis aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta perubahan role administratif. Jika investigasi menemukan akses tidak sah, administrator harus mempertimbangkan rotasi kredensial terdampak. Prinsip least privilege memiliki manfaat besar strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Tidak kalah penting, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar percobaan serangan dapat dikenali lebih cepat.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Laporan keamanan terbaru Microsoft memberikan gambaran bahwa kemajuan otomatisasi berbasis AI mengubah kecepatan ancaman dalam perlindungan sistem digital. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap infrastruktur digital perusahaan. Insiden kompromi layanan ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Walaupun serangan menjangkau banyak lingkungan pelanggan, jumlah sasaran tidak sama dengan jumlah korban yang berhasil dibobol. Oleh karena itu, organisasi sebaiknya meningkatkan pengendalian akses dan menjaga kesiapan menghadapi serangan otomatis. Menurut Anda, apakah pengembangan sistem pertahanan otomatis akan menjadi kebutuhan utama perusahaan di masa depan? Silakan bagikan pendapat Anda tentang masa depan keamanan digital.
