Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Temuan penelitian dari Microsoft mengungkapkan bahwa risiko serangan digital mengalami perubahan signifikan seiring pemanfaatan kecerdasan buatan. Melalui publikasi keamanan itu, Microsoft Threat Intelligence melacak Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Pelaku yang diidentifikasi Microsoft diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Bagian layanan yang menjadi perhatian berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Melalui kompromi tersebut, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang telah mempercayai integrasi perangkat lunak tersebut.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 diketahui beroperasi sejak tahun 2021. Sebelum memanfaatkan agen AI, kelompok tersebut memanfaatkan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Ketika berhasil masuk ke sistem, pelaku mencoba meningkatkan hak akses melalui kredensial milik lingkungan korban. Dalam kampanye terbaru, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Perubahan tersebut menimbulkan tantangan baru karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Bagian paling menarik dalam operasi yang dianalisis Microsoft adalah pemanfaatan sistem AI bernama ARTEX. Kerangka kerja ARTEX dikenal sebagai framework penetration testing open source. Berdasarkan prinsip pengoperasiannya, ARTEX memanfaatkan sejumlah agen berbasis model bahasa besar untuk mengotomatisasi aktivitas pemeriksaan sistem. Sistem otomatisasi itu menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut mendukung penilaian keamanan organisasi. Namun demikian, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Dalam kampanye Storm-0940, ARTEX berperan membantu pelaksanaan pemindaian lingkungan target, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Dukungan agen AI tersebut memungkinkan berbagai aktivitas berlangsung cepat. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Meskipun demikian, tidak semua organisasi yang disasar berhasil dikompromikan. Kondisi tersebut menegaskan pentingnya pemantauan otomatis.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Sebelum menilai risiko terhadap pelanggan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Perangkat lunak yang melayani banyak tenant memberikan akses aplikasi ke banyak lingkungan organisasi berdasarkan persetujuan administrator pelanggan. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut mendukung operasional perangkat lunak tanpa membutuhkan autentikasi manual setiap saat. Jika material autentikasi jatuh ke tangan penyerang, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Pada insiden yang dianalisis, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Setelah akses tersebut diperoleh, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan mengandalkan hubungan otorisasi yang sudah ada. Dalam beberapa tenant yang terdampak, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan modifikasi izin tertentu. Aktivitas manipulasi identitas ini dapat mempertahankan jalur masuk tambahan bahkan setelah integrasi awal diperbaiki. Walaupun autentikasi mencurigakan ditemukan, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Berdasarkan telemetri yang dianalisis, kampanye Storm-0940 menargetkan organisasi secara global. Sejak September 2026, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Sektor yang menjadi sasaran menjangkau pemerintahan dan keuangan, termasuk lembaga hukum dan nonprofit. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Aktivitas otomatis tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Walaupun aktivitasnya sangat intensif, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Skala percobaan akses ini memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Walaupun jumlah sasaran sangat besar, tenant yang menerima percobaan akses tidak selalu berhasil dikompromikan. Dalam perkembangan tanggal 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Pada perkembangan berikutnya, penyedia layanan tersebut mengumumkan informasi awal kepada mitra pada 16 Oktober. Bagian operasional yang terdampak termasuk Cloud Backup, SaaS Security, serta Cloud Management yang terpengaruh oleh tindakan pembatasan operasional.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Untuk menghadapi ancaman tersebut, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Selain itu, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Pemeriksaan tersebut dianjurkan menggunakan identifier resmi aplikasi, bukan hanya label yang terlihat dalam antarmuka. Hal ini berguna untuk menemukan aplikasi yang mungkin terlewat. Sebagai bagian dari rekomendasi keamanan meminta organisasi menjaga catatan audit sebelum menjalankan tindakan permanen terhadap lingkungan cloud. Melalui langkah tersebut, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Sebagai pemeriksaan lanjutan, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Pemeriksaan sebaiknya mencakup autentikasi service principal, modifikasi sertifikat dan kredensial aplikasi, serta peningkatan hak akses yang tidak biasa. Apabila aktivitas mencurigakan terbukti, administrator perlu mencabut izin yang tidak diperlukan. Prinsip least privilege menjadi bagian penting strategi pertahanan karena akses administratif perlu dibatasi secara proporsional. Sebagai tindakan tambahan, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar tim keamanan memiliki waktu respons yang lebih baik.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Pengungkapan Microsoft memperlihatkan bahwa perkembangan TEKNOLOGI kecerdasan buatan menghadirkan tantangan baru dalam perlindungan sistem digital. Berkat otomatisasi menggunakan kerangka kerja ARTEX, pelaku berhasil meningkatkan kecepatan operasi tertentu terhadap layanan cloud dan aplikasi tepercaya. Peristiwa serangan rantai pasok ini juga memperlihatkan risiko izin cloud yang berlebihan. Kendati operasi memiliki cakupan sangat luas, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Dengan mempertimbangkan temuan tersebut, organisasi sebaiknya meningkatkan pengendalian akses dan menjaga kesiapan menghadapi serangan otomatis. Menurut Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman dapat membantu menghadapi serangan yang semakin cepat? Silakan bagikan pendapat Anda tentang tantangan serangan siber berbasis AI.
