Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Serangan Rantai Pasok ConnectWise Menjadi Sorotan Keamanan Global
Pengungkapan terbaru dari Microsoft memperlihatkan bahwa risiko serangan digital semakin berkembang seiring pemanfaatan kecerdasan buatan. Melalui publikasi keamanan itu, Microsoft Threat Intelligence menemukan keterlibatan Storm-0940, yaitu kelompok ancaman yang dinilai berafiliasi dengan negara China. Kelompok tersebut diduga bertanggung jawab dengan kompromi aplikasi multi-tenant milik ConnectWise. Target utamanya berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Akibat penyusupan terhadap layanan tepercaya, penyerang mencoba mengakses sistem perusahaan lain yang memiliki hubungan layanan dengan ConnectWise.
Menurut penelitian Microsoft, Storm-0940 diketahui beroperasi sejak tahun 2021. Dalam pola operasi yang telah diamati, kelompok tersebut menggunakan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Ketika berhasil masuk ke sistem, pelaku melakukan aktivitas lanjutan melalui akun yang berhasil dikompromikan. Dalam kampanye terbaru, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Pemanfaatan otomatisasi tersebut menimbulkan tantangan baru karena aktivitas mencurigakan dapat berlangsung sangat cepat.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Komponen utama dalam operasi yang dianalisis Microsoft adalah penerapan platform pengujian keamanan ARTEX. ARTEX merupakan sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Dalam rancangan teknologinya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk mengotomatisasi aktivitas pemeriksaan sistem. Sistem otomatisasi itu menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut mendukung penilaian keamanan organisasi. Meskipun memiliki fungsi pengujian yang sah, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Dalam kampanye Storm-0940, ARTEX digunakan dalam otomatisasi aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Kemampuan otomatisasi ini memungkinkan berbagai aktivitas berlangsung cepat. Microsoft melaporkan, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Namun penting untuk dipahami, sebagian besar percobaan penargetan tidak berhasil. Temuan ini menunjukkan kebutuhan deteksi berkecepatan tinggi.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Agar mekanisme kompromi lebih jelas, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam ekosistem perangkat lunak perusahaan. Aplikasi multi-tenant memungkinkan satu aplikasi digunakan berdasarkan persetujuan administrator pelanggan. Pada penggunaan yang sah, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa mengharuskan pengguna melakukan login berulang. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Pada insiden yang dianalisis, pelaku menguasai material autentikasi aplikasi tertentu. Dalam aktivitas lanjutan, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan mengandalkan hubungan otorisasi yang sudah ada. Untuk sebagian sistem pelanggan, Microsoft mengidentifikasi penggunaan akses berikutnya melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Aktivitas manipulasi identitas ini dapat mempertahankan jalur masuk tambahan bahkan setelah aplikasi yang terdampak dinonaktifkan. Meski demikian, keberhasilan login belum tentu menunjukkan adanya eksfiltrasi informasi.
Ratusan Organisasi Menjadi Sasaran Kampanye Storm-0940
Dalam publikasi keamanannya, Microsoft menjelaskan, kampanye Storm-0940 menjangkau berbagai wilayah dunia. Dalam aktivitas yang teramati sejak September, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Sektor yang menjadi sasaran menjangkau pemerintahan dan keuangan, termasuk organisasi penelitian. Dalam bagian kampanye yang diperiksa, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Operasi autentikasi itu diarahkan kepada ratusan identitas pada delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Pada rangkaian serangan terhadap pelanggan Cloud Backup, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Jumlah tenant yang ditargetkan menggambarkan kemampuan otomatisasi tingkat tinggi. Namun demikian, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Pada 14 Oktober 2026, ConnectWise mulai menjalankan investigasi dan respons insiden. Perusahaan kemudian menyampaikan advisory awal tanggal 16 Oktober. Produk yang menjadi perhatian mencakup Cloud Backup, SaaS Security, dan Cloud Management yang mengalami penangguhan untuk penanganan keamanan.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Untuk menghadapi ancaman tersebut, Microsoft merekomendasikan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Selain itu, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Evaluasi keamanan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya nama tampilan layanan. Langkah tersebut membantu meningkatkan ketepatan investigasi. Microsoft juga meminta organisasi menjaga catatan audit sebelum melakukan perubahan yang tidak dapat dibatalkan. Melalui langkah tersebut, tim keamanan dapat menelusuri aktivitas secara lebih akurat.
Sebagai pemeriksaan lanjutan, organisasi perlu meninjau log Microsoft Entra, Microsoft 365, dan aktivitas Microsoft Graph. Evaluasi keamanan perlu memperhatikan autentikasi service principal, modifikasi sertifikat dan kredensial aplikasi, serta perubahan role administratif. Apabila aktivitas mencurigakan terbukti, administrator perlu mencabut izin yang tidak diperlukan. Pendekatan izin sesuai kebutuhan menjadi bagian penting strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Tidak kalah penting, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar tim keamanan memiliki waktu respons yang lebih baik.
Kesimpulan tentang Serangan AI terhadap ConnectWise
Laporan keamanan terbaru Microsoft memberikan gambaran bahwa penggunaan sistem agen cerdas dapat memperbesar risiko tertentu dalam pengelolaan infrastruktur perusahaan. Melalui penggunaan ARTEX, pelaku mampu mempercepat sejumlah tahap serangan terhadap layanan cloud dan aplikasi tepercaya. Kasus ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Kendati operasi memiliki cakupan sangat luas, keberhasilan autentikasi tidak otomatis membuktikan pencurian data. Sebagai pelajaran dari insiden ini, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menjalankan respons insiden yang terstruktur. Bagaimana pendapat Anda, apakah penggunaan kecerdasan buatan untuk mendeteksi ancaman dapat membantu menghadapi serangan yang semakin cepat? Mari berbagi pandangan mengenai perkembangan ini tentang masa depan keamanan digital.
