Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas

Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.

Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global

Pengungkapan terbaru dari Microsoft menunjukkan bahwa ancaman keamanan siber memasuki tahap yang lebih kompleks seiring penggunaan teknologi AI. Melalui publikasi keamanan itu, Microsoft Threat Intelligence melacak Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Kelompok tersebut dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Bagian layanan yang menjadi perhatian berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Akibat penyusupan terhadap layanan tepercaya, penyerang berupaya menjangkau lingkungan pelanggan yang telah mempercayai integrasi perangkat lunak tersebut.

Menurut penelitian Microsoft, Storm-0940 diketahui beroperasi sejak tahun 2021. Dalam pola operasi yang telah diamati, kelompok tersebut memanfaatkan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Ketika berhasil masuk ke sistem, pelaku mencoba meningkatkan hak akses melalui identitas digital yang disalahgunakan. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX memungkinkan peningkatan kecepatan beberapa tahapan serangan. Pemanfaatan otomatisasi tersebut menambah tekanan terhadap tim keamanan karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.

Teknologi ARTEX Mempercepat Otomatisasi Aktivitas Peretasan

Bagian paling menarik dalam aktivitas Storm-0940 adalah penerapan platform pengujian keamanan ARTEX. Teknologi ARTEX adalah sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Dalam rancangan teknologinya, ARTEX menggabungkan beberapa agen kecerdasan buatan untuk menjalankan rangkaian penilaian kerentanan. Kerangka kerja tersebut menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Akan tetapi, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.

Ketika digunakan oleh kelompok ancaman tersebut, ARTEX berperan membantu pelaksanaan aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Penggunaan sistem berbasis kecerdasan buatan membantu menjalankan banyak pekerjaan secara paralel. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Meskipun demikian, banyak upaya yang teramati tidak mencapai tujuan penyerang. Hasil analisis itu menegaskan pentingnya pemantauan otomatis.

Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise

Sebelum menilai risiko terhadap pelanggan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Perangkat lunak yang melayani banyak tenant memungkinkan satu aplikasi digunakan berdasarkan persetujuan administrator pelanggan. Dalam kondisi normal, integrasi tersebut mendukung operasional perangkat lunak tanpa meminta persetujuan baru pada setiap proses. Jika material autentikasi jatuh ke tangan penyerang, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.

Pada insiden yang dianalisis, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Selanjutnya, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan mengandalkan hubungan otorisasi yang sudah ada. Untuk sebagian sistem pelanggan, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan modifikasi izin tertentu. Perubahan tersebut dapat mempertahankan jalur masuk tambahan bahkan setelah integrasi awal diperbaiki. Meski demikian, keberhasilan login tidak otomatis membuktikan pencurian data.

Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940

Microsoft mengungkap, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Sejak September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Sektor yang menjadi sasaran mencakup pemerintahan dan keuangan, termasuk organisasi penelitian. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Walaupun aktivitasnya sangat intensif, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.

Dalam aktivitas terkait kompromi ConnectWise, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Skala percobaan akses ini memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Walaupun jumlah sasaran sangat besar, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Setelah itu, ConnectWise menyampaikan advisory awal tanggal 16 Oktober. Bagian operasional yang terdampak termasuk Cloud Backup, SaaS Security, serta Cloud Management yang mengalami penangguhan untuk penanganan keamanan.

Panduan Microsoft untuk Mengamankan Aplikasi Cloud

Sebagai langkah perlindungan, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Selain itu, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Evaluasi keamanan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya label yang terlihat dalam antarmuka. Langkah tersebut membantu meningkatkan ketepatan investigasi. Dalam panduan mitigasinya, Microsoft menganjurkan penyimpanan log investigasi sebelum melakukan perubahan yang tidak dapat dibatalkan. Dengan demikian, tim keamanan dapat menelusuri aktivitas secara lebih akurat.

Sebagai pemeriksaan lanjutan, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan riwayat komunikasi aplikasi. Investigasi dapat diarahkan pada autentikasi service principal, penambahan kredensial baru, serta pemberian privilege tanpa otorisasi. Jika investigasi menemukan akses tidak sah, administrator harus mempertimbangkan rotasi kredensial terdampak. Prinsip least privilege menjadi bagian penting strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Sebagai tindakan tambahan, organisasi perlu memantau anomali secara berkelanjutan agar percobaan serangan dapat dikenali lebih cepat.

Kesimpulan tentang Serangan AI terhadap ConnectWise

Laporan keamanan terbaru Microsoft memberikan gambaran bahwa penggunaan sistem agen cerdas mengubah kecepatan ancaman dalam perlindungan sistem digital. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku berhasil meningkatkan kecepatan operasi tertentu terhadap lingkungan Microsoft 365. Kasus ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Meskipun ribuan tenant menjadi sasaran, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Sebagai pelajaran dari insiden ini, organisasi sebaiknya meningkatkan pengendalian akses dan menjalankan respons insiden yang terstruktur. Bagaimana pendapat Anda, apakah pemanfaatan AI dalam keamanan siber akan menjadi kebutuhan utama perusahaan di masa depan? Jangan ragu menyampaikan pemikiran Anda tentang tantangan serangan siber berbasis AI.