Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Laporan keamanan terkini dari Microsoft memperlihatkan bahwa aktivitas kejahatan dunia maya mengalami perubahan signifikan seiring pemanfaatan kecerdasan buatan. Berdasarkan hasil investigasi, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Aktor ancaman ini dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Target utamanya berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Melalui kompromi tersebut, penyerang berupaya menjangkau lingkungan pelanggan yang memiliki hubungan layanan dengan ConnectWise.
Menurut penelitian Microsoft, Storm-0940 telah aktif sejak 2021. Sebelum memanfaatkan agen AI, kelompok tersebut mengandalkan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Apabila kompromi awal berhasil dilakukan, pelaku melakukan aktivitas lanjutan melalui identitas digital yang disalahgunakan. Dalam kampanye terbaru, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Pemanfaatan otomatisasi tersebut membuat waktu respons menjadi semakin penting karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Komponen utama dalam kampanye serangan tersebut adalah penggunaan kerangka kerja ARTEX. Kerangka kerja ARTEX dikenal sebagai perangkat lunak pengujian penetrasi bersumber terbuka. Berdasarkan prinsip pengoperasiannya, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk mendukung pengujian keamanan otomatis. Sistem otomatisasi itu menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Dalam penggunaan yang sah, kemampuan tersebut dapat membantu mengevaluasi perlindungan sistem. Namun demikian, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Dalam kampanye Storm-0940, ARTEX berperan membantu pelaksanaan aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Penggunaan sistem berbasis kecerdasan buatan memungkinkan berbagai aktivitas berlangsung cepat. Microsoft melaporkan, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Namun penting untuk dipahami, tidak semua organisasi yang disasar berhasil dikompromikan. Hasil analisis itu menunjukkan kebutuhan deteksi berkecepatan tinggi.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Agar mekanisme kompromi lebih jelas, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Integrasi cloud lintas organisasi mendukung layanan bagi beberapa pelanggan berdasarkan izin yang sebelumnya diberikan. Pada penggunaan yang sah, integrasi tersebut membantu menjalankan layanan tanpa mengharuskan pengguna melakukan login berulang. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Pada insiden yang dianalisis, pelaku menguasai material autentikasi aplikasi tertentu. Setelah akses tersebut diperoleh, sistem berbantuan AI melakukan percobaan akses ke infrastruktur Microsoft 365 dengan menggunakan kepercayaan yang telah diberikan. Dalam beberapa tenant yang terdampak, Microsoft mengamati aktivitas lanjutan melalui Microsoft Graph, termasuk pengumpulan data konfigurasi cloud, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Tindakan penyerang tersebut dapat mempertahankan jalur masuk tambahan bahkan setelah kredensial awal diganti. Walaupun autentikasi mencurigakan ditemukan, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Microsoft mengungkap, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Sejak September 2026, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Kategori organisasi yang dituju menjangkau manufaktur serta teknologi, termasuk perusahaan semikonduktor. Pada salah satu rangkaian percobaan autentikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Operasi autentikasi itu menargetkan 327 akun di delapan organisasi. Meskipun jumlahnya besar, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Angka tersebut menggambarkan kemampuan otomatisasi tingkat tinggi. Walaupun jumlah sasaran sangat besar, tenant yang menerima percobaan akses tidak selalu berhasil dikompromikan. Dalam perkembangan tanggal 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Pada perkembangan berikutnya, penyedia layanan tersebut mengumumkan informasi awal kepada mitra pada 16 Oktober. Layanan terkait melibatkan Cloud Backup serta dua layanan terkait lainnya yang terpengaruh oleh tindakan pembatasan operasional.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Sebagai langkah perlindungan, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Sebagai tindakan awal lainnya, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Proses peninjauan ini dianjurkan menggunakan identifier resmi aplikasi, bukan hanya judul aplikasi pada daftar integrasi. Langkah tersebut berguna untuk menemukan aplikasi yang mungkin terlewat. Dalam panduan mitigasinya, Microsoft menganjurkan penyimpanan log investigasi sebelum menghapus konfigurasi aplikasi. Dengan demikian, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Sebagai pemeriksaan lanjutan, organisasi sebaiknya mengevaluasi log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Pemeriksaan sebaiknya mencakup proses login berbasis aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta peningkatan hak akses yang tidak biasa. Ketika kompromi berhasil dikonfirmasi, administrator perlu mencabut izin yang tidak diperlukan. Prinsip least privilege membantu memperkuat strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Sebagai tindakan tambahan, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar tim keamanan memiliki waktu respons yang lebih baik.
Masa Depan Keamanan Siber Menghadapi Agen AI Peretas
Laporan keamanan terbaru Microsoft memberikan gambaran bahwa perkembangan TEKNOLOGI kecerdasan buatan menghadirkan tantangan baru dalam perlindungan sistem digital. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap infrastruktur digital perusahaan. Kasus ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Meskipun ribuan tenant menjadi sasaran, jumlah sasaran tidak sama dengan jumlah korban yang berhasil dibobol. Sebagai pelajaran dari insiden ini, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menerapkan prinsip hak akses minimum. Bagaimana pendapat Anda, apakah pengembangan sistem pertahanan otomatis akan menjadi kebutuhan utama perusahaan di masa depan? Silakan bagikan pendapat Anda tentang pentingnya perlindungan aplikasi cloud.
