Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Microsoft Mengungkap Serangan Siber terhadap ConnectWise
Laporan keamanan terkini dari Microsoft memperlihatkan bahwa risiko serangan digital mengalami perubahan signifikan seiring perkembangan sistem otomatisasi digital. Melalui publikasi keamanan itu, Microsoft Threat Intelligence menemukan keterlibatan Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Pelaku yang diidentifikasi Microsoft dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah layanan pencadangan berbasis cloud. Akibat penyusupan terhadap layanan tepercaya, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang sebelumnya memberikan izin aplikasi.
Dalam evaluasi aktivitas ancaman yang dipublikasikan, Storm-0940 diketahui beroperasi sejak tahun 2021. Dalam pola operasi yang telah diamati, kelompok tersebut menggunakan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Apabila kompromi awal berhasil dilakukan, pelaku berusaha memperluas kendali melalui identitas digital yang disalahgunakan. Dalam kampanye terbaru, penggunaan ARTEX membantu mempercepat beberapa tahapan serangan. Pemanfaatan otomatisasi tersebut menimbulkan tantangan baru karena serangan dapat berjalan secara paralel.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Komponen utama dalam kampanye serangan tersebut adalah pemanfaatan sistem AI bernama ARTEX. Kerangka kerja ARTEX dikenal sebagai sistem pengujian keamanan yang kode sumbernya tersedia secara terbuka. Dalam rancangan teknologinya, ARTEX menggunakan sistem multi-agent berbasis large language model untuk menjalankan rangkaian penilaian kerentanan. Sistem otomatisasi itu dibangun dengan komponen perangkat lunak berbasis Go dan antarmuka Next.js. Dalam penggunaan yang sah, kemampuan tersebut mendukung penilaian keamanan organisasi. Akan tetapi, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Dalam kampanye Storm-0940, ARTEX digunakan dalam otomatisasi pengumpulan informasi mengenai sistem, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Dukungan agen AI tersebut membantu menjalankan banyak pekerjaan secara paralel. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Meskipun demikian, tidak semua organisasi yang disasar berhasil dikompromikan. Temuan ini menunjukkan kebutuhan deteksi berkecepatan tinggi.
Penyalahgunaan Aplikasi OAuth dan Akses Microsoft 365
Untuk memahami dampak serangan, pengguna perlu mengetahui peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Integrasi cloud lintas organisasi mendukung layanan bagi beberapa pelanggan berdasarkan izin yang sebelumnya diberikan. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut memungkinkan otomatisasi pekerjaan tanpa meminta persetujuan baru pada setiap proses. Namun apabila kredensial aplikasi dicuri, hubungan kepercayaan tersebut mungkin dimanfaatkan untuk mengakses lingkungan cloud.
Dalam kasus ConnectWise, pelaku memperoleh kendali terhadap identitas beberapa aplikasi cloud. Selanjutnya, sistem berbantuan AI melakukan percobaan akses ke infrastruktur Microsoft 365 dengan mengandalkan hubungan otorisasi yang sudah ada. Dalam beberapa tenant yang terdampak, Microsoft mengamati aktivitas lanjutan melalui Microsoft Graph, termasuk pengumpulan data konfigurasi cloud, perubahan kredensial aplikasi, dan modifikasi izin tertentu. Tindakan penyerang tersebut mungkin memungkinkan keberlanjutan akses tidak sah bahkan setelah kredensial awal diganti. Walaupun autentikasi mencurigakan ditemukan, keberhasilan login tidak otomatis membuktikan pencurian data.
Skala Serangan ConnectWise dan Temuan Keamanan Microsoft
Microsoft mengungkap, kampanye Storm-0940 memiliki cakupan internasional. Dalam aktivitas yang teramati sejak September, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Sektor yang menjadi sasaran mencakup industri pertahanan dan energi, termasuk perusahaan semikonduktor. Pada salah satu rangkaian percobaan autentikasi, Microsoft mencatat lebih dari 151.000 kegagalan login pada periode 10 hingga 14 Oktober 2026. Operasi autentikasi itu melibatkan sasaran berupa 327 akun dari delapan organisasi. Walaupun aktivitasnya sangat intensif, Microsoft melaporkan bahwa percobaan tersebut tidak menghasilkan akses berhasil.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Jumlah tenant yang ditargetkan memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Perlu dipahami, percobaan autentikasi bukan bukti seluruh pelanggan dibobol. Pada 14 Oktober 2026, ConnectWise memulai penyelidikan serta tindakan pengamanan. Perusahaan kemudian menyampaikan advisory awal tanggal 16 Oktober. Produk yang menjadi perhatian melibatkan Cloud Backup serta dua layanan terkait lainnya yang terpengaruh oleh tindakan pembatasan operasional.
Langkah Perlindungan dari Serangan Rantai Pasok Berbasis AI
Dalam upaya mengurangi risiko kompromi, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar mengikuti penangguhan koneksi sampai tersedia petunjuk pemulihan resmi. Selain itu, administrator harus mengidentifikasi aplikasi ConnectWise yang terhubung. Proses peninjauan ini perlu memakai identitas aplikasi yang akurat, bukan hanya nama tampilan layanan. Langkah tersebut mengurangi risiko kesalahan identifikasi. Microsoft juga menekankan pelestarian bukti digital sebelum menjalankan tindakan permanen terhadap lingkungan cloud. Berkat pendekatan yang terstruktur, tim keamanan memiliki informasi pendukung investigasi.
Untuk meningkatkan perlindungan cloud, organisasi sebaiknya mengevaluasi log Microsoft Entra, Microsoft 365, dan catatan operasi API. Pemeriksaan sebaiknya mencakup aktivitas identitas aplikasi, perubahan rahasia autentikasi, serta peningkatan hak akses yang tidak biasa. Ketika kompromi berhasil dikonfirmasi, administrator sebaiknya membatasi akses sesuai prosedur respons insiden. Prinsip least privilege memiliki manfaat besar strategi pertahanan karena akses administratif perlu dibatasi secara proporsional. Selain itu, organisasi perlu memantau anomali secara berkelanjutan agar indikasi kompromi dapat segera ditindaklanjuti.
Masa Depan Keamanan Siber Menghadapi Agen AI Peretas
Laporan keamanan terbaru Microsoft memberikan gambaran bahwa kemajuan otomatisasi berbasis AI dapat memperbesar risiko tertentu dalam pengelolaan infrastruktur perusahaan. Melalui penggunaan ARTEX, pelaku berhasil meningkatkan kecepatan operasi tertentu terhadap infrastruktur digital perusahaan. Kasus ConnectWise juga menunjukkan dampak penyalahgunaan hubungan kepercayaan pihak ketiga. Meskipun ribuan tenant menjadi sasaran, tidak semua percobaan berakhir dengan kompromi. Oleh karena itu, organisasi sebaiknya meningkatkan pengendalian akses dan menerapkan prinsip hak akses minimum. Menurut Anda, apakah pemanfaatan AI dalam keamanan siber akan menjadi kebutuhan utama perusahaan di masa depan? Mari berbagi pandangan mengenai perkembangan ini tentang masa depan keamanan digital.
