Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Laporan keamanan terkini dari Microsoft menunjukkan bahwa ancaman keamanan siber semakin berkembang seiring penggunaan teknologi AI. Berdasarkan hasil investigasi, Microsoft Threat Intelligence mengidentifikasi Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Kelompok tersebut diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Bagian layanan yang menjadi perhatian berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Dengan memanfaatkan akses aplikasi yang disalahgunakan, penyerang mencoba mengakses sistem perusahaan lain yang sebelumnya memberikan izin aplikasi.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 telah aktif sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut menggunakan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Apabila kompromi awal berhasil dilakukan, pelaku berusaha memperluas kendali melalui kredensial milik lingkungan korban. Pada rangkaian serangan tahun 2026, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Perubahan tersebut menimbulkan tantangan baru karena serangan dapat berjalan secara paralel.
Teknologi ARTEX Mempercepat Otomatisasi Aktivitas Peretasan
Bagian paling menarik dalam aktivitas Storm-0940 adalah pemanfaatan sistem AI bernama ARTEX. Teknologi ARTEX adalah sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Secara konseptual, ARTEX menggunakan sistem multi-agent berbasis large language model untuk menjalankan rangkaian penilaian kerentanan. Kerangka kerja tersebut dikembangkan menggunakan bahasa Go dan antarmuka Next.js. Dalam penggunaan yang sah, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Namun demikian, teknologi yang sama dapat disalahgunakan pelaku ancaman.
Pada operasi yang diidentifikasi Microsoft, ARTEX digunakan dalam otomatisasi aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Dukungan agen AI tersebut membantu menjalankan banyak pekerjaan secara paralel. Menurut hasil pengamatan Microsoft, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Meskipun demikian, banyak upaya yang teramati tidak mencapai tujuan penyerang. Kondisi tersebut menunjukkan kebutuhan deteksi berkecepatan tinggi.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Untuk memahami dampak serangan, penting untuk mengenali peran aplikasi multi-tenant dan OAuth dalam infrastruktur Microsoft 365. Aplikasi multi-tenant memberikan akses aplikasi ke banyak lingkungan organisasi berdasarkan mekanisme otorisasi yang telah disetujui. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa mengharuskan pengguna melakukan login berulang. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Dalam kasus ConnectWise, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Selanjutnya, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan menggunakan kepercayaan yang telah diberikan. Dalam beberapa tenant yang terdampak, Microsoft mengidentifikasi penggunaan akses berikutnya melalui Microsoft Graph, termasuk pengumpulan data konfigurasi cloud, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Tindakan penyerang tersebut dapat mempertahankan jalur masuk tambahan bahkan setelah kredensial awal diganti. Meski demikian, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Berdasarkan telemetri yang dianalisis, kampanye Storm-0940 menargetkan organisasi secara global. Dalam aktivitas yang teramati sejak September, kelompok tersebut memanfaatkan agen AI dalam operasi berskala luas. Sektor yang menjadi sasaran mencakup pemerintahan dan keuangan, termasuk organisasi penelitian. Pada salah satu rangkaian percobaan autentikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Walaupun aktivitasnya sangat intensif, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Skala percobaan akses ini memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Namun demikian, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Dalam perkembangan tanggal 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Setelah itu, ConnectWise menerbitkan pemberitahuan keamanan pada 16 Oktober. Bagian operasional yang terdampak melibatkan Cloud Backup serta dua layanan terkait lainnya yang mengalami penangguhan untuk penanganan keamanan.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Dalam upaya mengurangi risiko kompromi, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar mempertahankan penonaktifan koneksi tertentu. Selain itu, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Pemeriksaan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya label yang terlihat dalam antarmuka. Langkah tersebut membantu meningkatkan ketepatan investigasi. Microsoft juga meminta organisasi menjaga catatan audit sebelum menjalankan tindakan permanen terhadap lingkungan cloud. Melalui langkah tersebut, tim keamanan lebih mudah memahami ruang lingkup insiden.
Langkah penting berikutnya, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Evaluasi keamanan perlu memperhatikan autentikasi service principal, modifikasi sertifikat dan kredensial aplikasi, serta pemberian privilege tanpa otorisasi. Ketika kompromi berhasil dikonfirmasi, administrator sebaiknya membatasi akses sesuai prosedur respons insiden. Konsep pemberian hak akses minimum memiliki manfaat besar strategi pertahanan karena setiap integrasi sebaiknya memperoleh hak seperlunya. Sebagai tindakan tambahan, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar indikasi kompromi dapat segera ditindaklanjuti.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Pengungkapan Microsoft memperlihatkan bahwa kemajuan otomatisasi berbasis AI mengubah kecepatan ancaman dalam pengelolaan infrastruktur perusahaan. Melalui penggunaan ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap lingkungan Microsoft 365. Insiden kompromi layanan ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Meskipun ribuan tenant menjadi sasaran, jumlah sasaran tidak sama dengan jumlah korban yang berhasil dibobol. Dengan mempertimbangkan temuan tersebut, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menerapkan prinsip hak akses minimum. Bagaimana pendapat Anda, apakah pengembangan sistem pertahanan otomatis dapat membantu menghadapi serangan yang semakin cepat? Mari berbagi pandangan mengenai perkembangan ini tentang tantangan serangan siber berbasis AI.
