Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Temuan penelitian dari Microsoft memperlihatkan bahwa ancaman keamanan siber mengalami perubahan signifikan seiring pemanfaatan kecerdasan buatan. Berdasarkan hasil investigasi, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Kelompok tersebut diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Melalui kompromi tersebut, penyerang mencoba mengakses sistem perusahaan lain yang memiliki hubungan layanan dengan ConnectWise.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 telah aktif sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut memanfaatkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Ketika berhasil masuk ke sistem, pelaku mencoba meningkatkan hak akses melalui kredensial milik lingkungan korban. Pada rangkaian serangan tahun 2026, penggunaan ARTEX memungkinkan peningkatan kecepatan beberapa tahapan serangan. Perkembangan metode ini menimbulkan tantangan baru karena aktivitas mencurigakan dapat berlangsung sangat cepat.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Salah satu aspek terpenting dalam operasi yang dianalisis Microsoft adalah penggunaan kerangka kerja ARTEX. ARTEX merupakan perangkat lunak pengujian penetrasi bersumber terbuka. Berdasarkan prinsip pengoperasiannya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk menjalankan rangkaian penilaian kerentanan. Kerangka kerja tersebut dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Dalam penggunaan yang sah, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Akan tetapi, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Pada operasi yang diidentifikasi Microsoft, ARTEX dimanfaatkan untuk mempercepat pengumpulan informasi mengenai sistem, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Dukungan agen AI tersebut memungkinkan berbagai aktivitas berlangsung cepat. Microsoft melaporkan, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Meskipun demikian, tidak semua organisasi yang disasar berhasil dikompromikan. Temuan ini menegaskan pentingnya pemantauan otomatis.
Penyalahgunaan Aplikasi OAuth dan Akses Microsoft 365
Sebelum menilai risiko terhadap pelanggan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Perangkat lunak yang melayani banyak tenant memberikan akses aplikasi ke banyak lingkungan organisasi berdasarkan persetujuan administrator pelanggan. Dalam kondisi normal, integrasi tersebut membantu menjalankan layanan tanpa meminta persetujuan baru pada setiap proses. Jika material autentikasi jatuh ke tangan penyerang, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Berdasarkan temuan mengenai aplikasi Cloud Backup, pelaku menguasai material autentikasi aplikasi tertentu. Dalam aktivitas lanjutan, sistem berbantuan AI melakukan percobaan akses ke infrastruktur Microsoft 365 dengan menggunakan kepercayaan yang telah diberikan. Dalam beberapa tenant yang terdampak, Microsoft mengamati aktivitas lanjutan melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan modifikasi izin tertentu. Aktivitas manipulasi identitas ini dapat mempertahankan jalur masuk tambahan bahkan setelah kredensial awal diganti. Meski demikian, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Microsoft mengungkap, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Setidaknya mulai September 2026, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Sektor yang menjadi sasaran menjangkau industri pertahanan dan energi, termasuk lembaga hukum dan nonprofit. Dalam bagian kampanye yang diperiksa, Microsoft mendeteksi jumlah percobaan gagal melebihi 151 ribu pada periode 10 hingga 14 Oktober 2026. Aktivitas otomatis tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX membantu menjangkau lebih dari 2.250 tenant melalui upaya login. Angka tersebut memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Perlu dipahami, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Setelah itu, ConnectWise menyampaikan advisory awal tanggal 16 Oktober. Layanan terkait melibatkan Cloud Backup serta dua layanan terkait lainnya yang terpengaruh oleh tindakan pembatasan operasional.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Dalam upaya mengurangi risiko kompromi, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Sebagai tindakan awal lainnya, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Pemeriksaan tersebut perlu memakai identitas aplikasi yang akurat, bukan hanya nama tampilan layanan. Hal ini mengurangi risiko kesalahan identifikasi. Microsoft juga meminta organisasi menjaga catatan audit sebelum menghapus konfigurasi aplikasi. Melalui langkah tersebut, tim keamanan memiliki informasi pendukung investigasi.
Untuk meningkatkan perlindungan cloud, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Pemeriksaan sebaiknya mencakup autentikasi service principal, modifikasi sertifikat dan kredensial aplikasi, serta pemberian privilege tanpa otorisasi. Ketika kompromi berhasil dikonfirmasi, administrator perlu mencabut izin yang tidak diperlukan. Konsep pemberian hak akses minimum menjadi bagian penting strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Sebagai tindakan tambahan, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar indikasi kompromi dapat segera ditindaklanjuti.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Temuan mengenai kampanye Storm-0940 memperlihatkan bahwa perkembangan TEKNOLOGI kecerdasan buatan dapat memperbesar risiko tertentu dalam pengelolaan infrastruktur perusahaan. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku berhasil meningkatkan kecepatan operasi tertentu terhadap infrastruktur digital perusahaan. Kasus ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Walaupun serangan menjangkau banyak lingkungan pelanggan, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Dengan mempertimbangkan temuan tersebut, organisasi perlu memperkuat pemantauan dan menerapkan prinsip hak akses minimum. Bagaimana pendapat Anda, apakah pengembangan sistem pertahanan otomatis mampu meningkatkan perlindungan infrastruktur digital? Mari berbagi pandangan mengenai perkembangan ini tentang masa depan keamanan digital.
