Microsoft Ungkap Serangan Rantai Pasok ConnectWise yang Melibatkan Agen AI Peretas
Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Laporan keamanan terkini dari Microsoft mengungkapkan bahwa aktivitas kejahatan dunia maya semakin berkembang seiring penggunaan teknologi AI. Berdasarkan hasil investigasi, Microsoft Threat Intelligence menemukan keterlibatan Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Aktor ancaman ini dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Dengan memanfaatkan akses aplikasi yang disalahgunakan, penyerang mencoba mengakses sistem perusahaan lain yang memiliki hubungan layanan dengan ConnectWise.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 diketahui beroperasi sejak tahun 2021. Pada aktivitas serangan sebelumnya, kelompok tersebut memanfaatkan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Ketika berhasil masuk ke sistem, pelaku melakukan aktivitas lanjutan melalui kredensial milik lingkungan korban. Pada rangkaian serangan tahun 2026, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Perubahan tersebut menambah tekanan terhadap tim keamanan karena aktivitas mencurigakan dapat berlangsung sangat cepat.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Bagian paling menarik dalam aktivitas Storm-0940 adalah penggunaan kerangka kerja ARTEX. Kerangka kerja ARTEX dikenal sebagai framework penetration testing open source. Secara konseptual, ARTEX menggabungkan beberapa agen kecerdasan buatan untuk mengotomatisasi aktivitas pemeriksaan sistem. Perangkat ini dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Akan tetapi, teknologi yang sama dapat disalahgunakan pelaku ancaman.
Dalam kampanye Storm-0940, ARTEX berperan membantu pelaksanaan pengumpulan informasi mengenai sistem, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Dukungan agen AI tersebut mengurangi kebutuhan intervensi manual dalam sejumlah tahapan. Microsoft melaporkan, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Walaupun kecepatannya mengkhawatirkan, sebagian besar percobaan penargetan tidak berhasil. Hasil analisis itu memperlihatkan perlunya respons keamanan yang lebih cepat.
Bagaimana Serangan Rantai Pasok Menjangkau Pelanggan ConnectWise
Agar mekanisme kompromi lebih jelas, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam ekosistem perangkat lunak perusahaan. Perangkat lunak yang melayani banyak tenant memberikan akses aplikasi ke banyak lingkungan organisasi berdasarkan mekanisme otorisasi yang telah disetujui. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut mendukung operasional perangkat lunak tanpa membutuhkan autentikasi manual setiap saat. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Berdasarkan temuan mengenai aplikasi Cloud Backup, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Setelah akses tersebut diperoleh, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan memanfaatkan izin aplikasi sebelumnya. Dalam beberapa tenant yang terdampak, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan modifikasi izin tertentu. Tindakan penyerang tersebut berpotensi menciptakan akses persisten bahkan setelah kredensial awal diganti. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 memiliki cakupan internasional. Dalam aktivitas yang teramati sejak September, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Sektor yang menjadi sasaran mencakup manufaktur serta teknologi, termasuk organisasi penelitian. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Aktivitas otomatis tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Pada rangkaian serangan terhadap pelanggan Cloud Backup, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Jumlah tenant yang ditargetkan menggambarkan kemampuan otomatisasi tingkat tinggi. Perlu dipahami, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Pada 14 Oktober 2026, ConnectWise mulai menjalankan investigasi dan respons insiden. Perusahaan kemudian menyampaikan advisory awal tanggal 16 Oktober. Bagian operasional yang terdampak melibatkan Cloud Backup serta dua layanan terkait lainnya yang mengalami penangguhan untuk penanganan keamanan.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Sebagai langkah perlindungan, Microsoft menyarankan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Selain itu, administrator perlu memeriksa seluruh tenant yang relevan. Evaluasi keamanan tersebut dianjurkan menggunakan identifier resmi aplikasi, bukan hanya label yang terlihat dalam antarmuka. Metode pemeriksaan itu berguna untuk menemukan aplikasi yang mungkin terlewat. Microsoft juga menekankan pelestarian bukti digital sebelum melakukan perubahan yang tidak dapat dibatalkan. Dengan demikian, tim keamanan lebih mudah memahami ruang lingkup insiden.
Langkah penting berikutnya, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Pemeriksaan sebaiknya mencakup proses login berbasis aplikasi, modifikasi sertifikat dan kredensial aplikasi, serta peningkatan hak akses yang tidak biasa. Jika investigasi menemukan akses tidak sah, administrator perlu mencabut izin yang tidak diperlukan. Konsep pemberian hak akses minimum memiliki manfaat besar strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Sebagai tindakan tambahan, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar tim keamanan memiliki waktu respons yang lebih baik.
Masa Depan Keamanan Siber Menghadapi Agen AI Peretas
Temuan mengenai kampanye Storm-0940 memberikan gambaran bahwa kemajuan otomatisasi berbasis AI mengubah kecepatan ancaman dalam industri keamanan siber. Melalui penggunaan ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap infrastruktur digital perusahaan. Insiden kompromi layanan ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Kendati operasi memiliki cakupan sangat luas, jumlah sasaran tidak sama dengan jumlah korban yang berhasil dibobol. Oleh karena itu, organisasi sebaiknya meningkatkan pengendalian akses dan menerapkan prinsip hak akses minimum. Menurut Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman mampu meningkatkan perlindungan infrastruktur digital? Jangan ragu menyampaikan pemikiran Anda tentang masa depan keamanan digital.
