Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Pengungkapan terbaru dari Microsoft mengungkapkan bahwa risiko serangan digital mengalami perubahan signifikan seiring penggunaan teknologi AI. Melalui publikasi keamanan itu, Microsoft Threat Intelligence melacak Storm-0940, yaitu kelompok peretas yang oleh Microsoft dikategorikan selaras dengan negara China. Kelompok tersebut dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Dengan memanfaatkan akses aplikasi yang disalahgunakan, penyerang mencoba mengakses sistem perusahaan lain yang telah mempercayai integrasi perangkat lunak tersebut.
Menurut penelitian Microsoft, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Pada aktivitas serangan sebelumnya, kelompok tersebut mengandalkan teknik seperti password spraying dan serangan terhadap perangkat lunak yang dapat diakses dari jaringan luar. Apabila kompromi awal berhasil dilakukan, pelaku mencoba meningkatkan hak akses melalui akun yang berhasil dikompromikan. Pada rangkaian serangan tahun 2026, penggunaan ARTEX memungkinkan peningkatan kecepatan beberapa tahapan serangan. Pemanfaatan otomatisasi tersebut menimbulkan tantangan baru karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Microsoft Jelaskan Penggunaan Kecerdasan Buatan oleh Peretas
Komponen utama dalam aktivitas Storm-0940 adalah penggunaan kerangka kerja ARTEX. Teknologi ARTEX adalah framework penetration testing open source. Secara konseptual, ARTEX menggunakan sistem multi-agent berbasis large language model untuk menjalankan rangkaian penilaian kerentanan. Sistem otomatisasi itu menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Untuk kebutuhan pengujian berizin, kemampuan tersebut dapat membantu mengevaluasi perlindungan sistem. Meskipun memiliki fungsi pengujian yang sah, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Ketika digunakan oleh kelompok ancaman tersebut, ARTEX berperan membantu pelaksanaan pengumpulan informasi mengenai sistem, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Kemampuan otomatisasi ini membantu menjalankan banyak pekerjaan secara paralel. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX berhasil mencapai akses istimewa dalam waktu kurang dari tiga jam. Namun penting untuk dipahami, banyak upaya yang teramati tidak mencapai tujuan penyerang. Hasil analisis itu menunjukkan kebutuhan deteksi berkecepatan tinggi.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Sebelum menilai risiko terhadap pelanggan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Perangkat lunak yang melayani banyak tenant mendukung layanan bagi beberapa pelanggan berdasarkan mekanisme otorisasi yang telah disetujui. Pada penggunaan yang sah, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa mengharuskan pengguna melakukan login berulang. Ketika identitas aplikasi berhasil dikompromikan, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Dalam kasus ConnectWise, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Setelah akses tersebut diperoleh, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan memanfaatkan izin aplikasi sebelumnya. Pada sejumlah lingkungan, Microsoft mengamati aktivitas lanjutan melalui Microsoft Graph, termasuk pemeriksaan informasi direktori, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Aktivitas manipulasi identitas ini berpotensi menciptakan akses persisten bahkan setelah integrasi awal diperbaiki. Kendati aktivitas akses teridentifikasi, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Skala Serangan ConnectWise dan Temuan Keamanan Microsoft
Berdasarkan telemetri yang dianalisis, kampanye Storm-0940 memiliki cakupan internasional. Setidaknya mulai September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Bidang industri yang terdampak penargetan mencakup pemerintahan dan keuangan, termasuk organisasi penelitian. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut diarahkan kepada ratusan identitas pada delapan organisasi. Meskipun jumlahnya besar, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Ketika penyalahgunaan aplikasi ConnectWise berlangsung, ARTEX mendukung percobaan akses terhadap lebih dari 2.250 lingkungan pelanggan. Skala percobaan akses ini memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Perlu dipahami, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Perusahaan kemudian menyampaikan advisory awal tanggal 16 Oktober. Produk yang menjadi perhatian melibatkan Cloud Backup serta dua layanan terkait lainnya yang mengalami penangguhan untuk penanganan keamanan.
Strategi Mencegah Penyalahgunaan Kredensial dan Hak Akses
Untuk menghadapi ancaman tersebut, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Selain itu, administrator perlu memeriksa seluruh tenant yang relevan. Evaluasi keamanan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya judul aplikasi pada daftar integrasi. Langkah tersebut membantu meningkatkan ketepatan investigasi. Sebagai bagian dari rekomendasi keamanan menganjurkan penyimpanan log investigasi sebelum menjalankan tindakan permanen terhadap lingkungan cloud. Berkat pendekatan yang terstruktur, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Langkah penting berikutnya, organisasi sebaiknya mengevaluasi log Microsoft Entra, Microsoft 365, dan catatan operasi API. Pemeriksaan sebaiknya mencakup proses login berbasis aplikasi, perubahan rahasia autentikasi, serta peningkatan hak akses yang tidak biasa. Apabila aktivitas mencurigakan terbukti, administrator sebaiknya membatasi akses sesuai prosedur respons insiden. Prinsip least privilege memiliki manfaat besar strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Tidak kalah penting, organisasi dianjurkan menggunakan pemantauan keamanan otomatis agar indikasi kompromi dapat segera ditindaklanjuti.
Pelajaran Penting dari Kampanye Storm-0940 dan Kompromi Rantai Pasok
Laporan keamanan terbaru Microsoft memperlihatkan bahwa penggunaan sistem agen cerdas dapat memperbesar risiko tertentu dalam pengelolaan infrastruktur perusahaan. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap lingkungan Microsoft 365. Kasus ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Meskipun ribuan tenant menjadi sasaran, tidak semua percobaan berakhir dengan kompromi. Dengan mempertimbangkan temuan tersebut, organisasi perlu memperkuat pemantauan dan menjalankan respons insiden yang terstruktur. Menurut Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman mampu meningkatkan perlindungan infrastruktur digital? Mari berbagi pandangan mengenai perkembangan ini tentang masa depan keamanan digital.
