Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Temuan penelitian dari Microsoft memperlihatkan bahwa risiko serangan digital semakin berkembang seiring perkembangan sistem otomatisasi digital. Melalui publikasi keamanan itu, Microsoft Threat Intelligence melacak Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Kelompok tersebut diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Dengan memanfaatkan akses aplikasi yang disalahgunakan, penyerang berupaya menjangkau lingkungan pelanggan yang sebelumnya memberikan izin aplikasi.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 diketahui beroperasi sejak tahun 2021. Sebelum memanfaatkan agen AI, kelompok tersebut menggunakan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Ketika berhasil masuk ke sistem, pelaku mencoba meningkatkan hak akses melalui identitas digital yang disalahgunakan. Pada rangkaian serangan tahun 2026, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perubahan tersebut menambah tekanan terhadap tim keamanan karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Bagian paling menarik dalam aktivitas Storm-0940 adalah pemanfaatan sistem AI bernama ARTEX. ARTEX merupakan sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Secara konseptual, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk menjalankan rangkaian penilaian kerentanan. Perangkat ini dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut dapat membantu mengevaluasi perlindungan sistem. Akan tetapi, teknologi yang sama dapat disalahgunakan pelaku ancaman.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX berperan membantu pelaksanaan pemindaian lingkungan target, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Dukungan agen AI tersebut memungkinkan berbagai aktivitas berlangsung cepat. Microsoft melaporkan, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Namun penting untuk dipahami, sebagian besar percobaan penargetan tidak berhasil. Temuan ini memperlihatkan perlunya respons keamanan yang lebih cepat.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Sebelum menilai risiko terhadap pelanggan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Aplikasi multi-tenant memungkinkan satu aplikasi digunakan berdasarkan izin yang sebelumnya diberikan. Pada penggunaan yang sah, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa meminta persetujuan baru pada setiap proses. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut berpotensi disalahgunakan untuk memasuki sistem pelanggan.
Berdasarkan temuan mengenai aplikasi Cloud Backup, pelaku menguasai material autentikasi aplikasi tertentu. Setelah akses tersebut diperoleh, sistem berbantuan AI melakukan percobaan akses ke infrastruktur Microsoft 365 dengan memanfaatkan izin aplikasi sebelumnya. Untuk sebagian sistem pelanggan, Microsoft mengidentifikasi penggunaan akses berikutnya melalui Microsoft Graph, termasuk pengumpulan data konfigurasi cloud, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Aktivitas manipulasi identitas ini mungkin memungkinkan keberlanjutan akses tidak sah bahkan setelah integrasi awal diperbaiki. Meski demikian, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Microsoft mengungkap, kampanye Storm-0940 menargetkan organisasi secara global. Setidaknya mulai September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Kategori organisasi yang dituju meliputi industri pertahanan dan energi, termasuk perusahaan semikonduktor. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mendeteksi jumlah percobaan gagal melebihi 151 ribu pada periode 10 hingga 14 Oktober 2026. Operasi autentikasi itu diarahkan kepada ratusan identitas pada delapan organisasi. Meskipun jumlahnya besar, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Skala percobaan akses ini menggambarkan kemampuan otomatisasi tingkat tinggi. Namun demikian, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Dalam perkembangan tanggal 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Perusahaan kemudian menyampaikan advisory awal tanggal 16 Oktober. Bagian operasional yang terdampak termasuk Cloud Backup, SaaS Security, serta Cloud Management yang dinonaktifkan sementara sebagai langkah kehati-hatian.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Dalam upaya mengurangi risiko kompromi, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Di samping pembatasan akses, administrator disarankan meninjau lingkungan Microsoft 365 yang pernah menggunakan integrasi. Proses peninjauan ini dianjurkan menggunakan identifier resmi aplikasi, bukan hanya label yang terlihat dalam antarmuka. Langkah tersebut membantu meningkatkan ketepatan investigasi. Dalam panduan mitigasinya, Microsoft menganjurkan penyimpanan log investigasi sebelum menjalankan tindakan permanen terhadap lingkungan cloud. Dengan demikian, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Untuk meningkatkan perlindungan cloud, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan riwayat komunikasi aplikasi. Evaluasi keamanan perlu memperhatikan aktivitas identitas aplikasi, perubahan rahasia autentikasi, serta peningkatan hak akses yang tidak biasa. Jika investigasi menemukan akses tidak sah, administrator sebaiknya membatasi akses sesuai prosedur respons insiden. Pendekatan izin sesuai kebutuhan memiliki manfaat besar strategi pertahanan karena akses administratif perlu dibatasi secara proporsional. Sebagai tindakan tambahan, organisasi perlu memantau anomali secara berkelanjutan agar tim keamanan memiliki waktu respons yang lebih baik.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Temuan mengenai kampanye Storm-0940 memberikan gambaran bahwa kemajuan otomatisasi berbasis AI dapat memperbesar risiko tertentu dalam perlindungan sistem digital. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku berhasil meningkatkan kecepatan operasi tertentu terhadap layanan cloud dan aplikasi tepercaya. Kasus ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Kendati operasi memiliki cakupan sangat luas, jumlah sasaran tidak sama dengan jumlah korban yang berhasil dibobol. Sebagai pelajaran dari insiden ini, organisasi perlu memperkuat pemantauan dan menjaga kesiapan menghadapi serangan otomatis. Bagaimana pendapat Anda, apakah pengembangan sistem pertahanan otomatis akan menjadi kebutuhan utama perusahaan di masa depan? Jangan ragu menyampaikan pemikiran Anda tentang tantangan serangan siber berbasis AI.
