Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Temuan penelitian dari Microsoft memperlihatkan bahwa risiko serangan digital memasuki tahap yang lebih kompleks seiring pemanfaatan kecerdasan buatan. Berdasarkan hasil investigasi, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Aktor ancaman ini dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Akibat penyusupan terhadap layanan tepercaya, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang memiliki hubungan layanan dengan ConnectWise.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 telah aktif sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut mengandalkan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Apabila kompromi awal berhasil dilakukan, pelaku melakukan aktivitas lanjutan melalui kredensial milik lingkungan korban. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perkembangan metode ini membuat waktu respons menjadi semakin penting karena aktivitas mencurigakan dapat berlangsung sangat cepat.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Komponen utama dalam operasi yang dianalisis Microsoft adalah penerapan platform pengujian keamanan ARTEX. Kerangka kerja ARTEX dikenal sebagai sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Dalam rancangan teknologinya, ARTEX menggabungkan beberapa agen kecerdasan buatan untuk mengotomatisasi aktivitas pemeriksaan sistem. Kerangka kerja tersebut dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut mendukung penilaian keamanan organisasi. Meskipun memiliki fungsi pengujian yang sah, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Pada operasi yang diidentifikasi Microsoft, ARTEX digunakan dalam otomatisasi pemindaian lingkungan target, percobaan autentikasi, dan penyalahgunaan aplikasi OAuth. Kemampuan otomatisasi ini mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Namun penting untuk dipahami, sebagian besar percobaan penargetan tidak berhasil. Temuan ini menegaskan pentingnya pemantauan otomatis.
Penyalahgunaan Aplikasi OAuth dan Akses Microsoft 365
Untuk memahami dampak serangan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Aplikasi multi-tenant mendukung layanan bagi beberapa pelanggan berdasarkan izin yang sebelumnya diberikan. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut mendukung operasional perangkat lunak tanpa meminta persetujuan baru pada setiap proses. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Pada insiden yang dianalisis, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Dalam aktivitas lanjutan, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan menggunakan kepercayaan yang telah diberikan. Pada sejumlah lingkungan, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Aktivitas manipulasi identitas ini dapat mempertahankan jalur masuk tambahan bahkan setelah integrasi awal diperbaiki. Meski demikian, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Berdasarkan telemetri yang dianalisis, kampanye Storm-0940 memiliki cakupan internasional. Setidaknya mulai September 2026, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Kategori organisasi yang dituju meliputi pemerintahan dan keuangan, termasuk organisasi penelitian. Dalam bagian kampanye yang diperiksa, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Operasi autentikasi itu melibatkan sasaran berupa 327 akun dari delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft tidak mengamati keberhasilan login dari rangkaian password spraying itu.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX membantu menjangkau lebih dari 2.250 tenant melalui upaya login. Skala percobaan akses ini menunjukkan luasnya jangkauan serangan. Perlu dipahami, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Pada 14 Oktober 2026, ConnectWise mengambil langkah penanganan awal. Setelah itu, ConnectWise mengumumkan informasi awal kepada mitra pada 16 Oktober. Bagian operasional yang terdampak mencakup Cloud Backup, SaaS Security, dan Cloud Management yang terpengaruh oleh tindakan pembatasan operasional.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Sebagai langkah perlindungan, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Selain itu, administrator perlu memeriksa seluruh tenant yang relevan. Proses peninjauan ini sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya nama tampilan layanan. Langkah tersebut membantu meningkatkan ketepatan investigasi. Microsoft juga menekankan pelestarian bukti digital sebelum menghapus konfigurasi aplikasi. Berkat pendekatan yang terstruktur, tim keamanan memiliki informasi pendukung investigasi.
Langkah penting berikutnya, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Pemeriksaan sebaiknya mencakup aktivitas identitas aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta pemberian privilege tanpa otorisasi. Jika investigasi menemukan akses tidak sah, administrator perlu mencabut izin yang tidak diperlukan. Konsep pemberian hak akses minimum menjadi bagian penting strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Sebagai tindakan tambahan, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar indikasi kompromi dapat segera ditindaklanjuti.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Temuan mengenai kampanye Storm-0940 menunjukkan bahwa perkembangan TEKNOLOGI kecerdasan buatan mengubah kecepatan ancaman dalam industri keamanan siber. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap lingkungan Microsoft 365. Insiden kompromi layanan ConnectWise juga menegaskan pentingnya pengelolaan identitas aplikasi. Walaupun serangan menjangkau banyak lingkungan pelanggan, tidak semua percobaan berakhir dengan kompromi. Sebagai pelajaran dari insiden ini, organisasi perlu memperkuat pemantauan dan menjaga kesiapan menghadapi serangan otomatis. Bagaimana pendapat Anda, apakah pemanfaatan AI dalam keamanan siber akan menjadi kebutuhan utama perusahaan di masa depan? Silakan bagikan pendapat Anda tentang pentingnya perlindungan aplikasi cloud.
