Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Pengungkapan terbaru dari Microsoft memperlihatkan bahwa ancaman keamanan siber mengalami perubahan signifikan seiring pemanfaatan kecerdasan buatan. Melalui publikasi keamanan itu, Microsoft Threat Intelligence melacak Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Kelompok tersebut dinilai memiliki keterlibatan dengan kompromi aplikasi multi-tenant milik ConnectWise. Sasaran yang terdampak berkaitan dengan ConnectWise Cloud Backup, sebuah platform perlindungan data daring. Dengan memanfaatkan akses aplikasi yang disalahgunakan, penyerang mencoba mengakses sistem perusahaan lain yang memiliki hubungan layanan dengan ConnectWise.
Berdasarkan analisis tim keamanan Microsoft, Storm-0940 telah aktif sejak 2021. Sebelum memanfaatkan agen AI, kelompok tersebut memanfaatkan teknik seperti password spraying dan penyalahgunaan kelemahan layanan publik. Apabila kompromi awal berhasil dilakukan, pelaku mencoba meningkatkan hak akses melalui akun yang berhasil dikompromikan. Melalui operasi yang diteliti Microsoft, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Perubahan tersebut membuat waktu respons menjadi semakin penting karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Komponen utama dalam operasi yang dianalisis Microsoft adalah pemanfaatan sistem AI bernama ARTEX. ARTEX merupakan perangkat lunak pengujian penetrasi bersumber terbuka. Dalam rancangan teknologinya, ARTEX menggabungkan beberapa agen kecerdasan buatan untuk mendukung pengujian keamanan otomatis. Sistem otomatisasi itu menggunakan Go sebagai bahasa pengembangan dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut bermanfaat untuk menemukan kelemahan infrastruktur. Akan tetapi, teknologi yang sama mungkin dipakai tanpa persetujuan pemilik sistem.
Dalam kampanye Storm-0940, ARTEX digunakan dalam otomatisasi aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan eksploitasi hubungan kepercayaan aplikasi. Kemampuan otomatisasi ini memungkinkan berbagai aktivitas berlangsung cepat. Dalam temuan penelitian tersebut, beberapa serangan berbantuan ARTEX memperoleh hak akses cloud tingkat tinggi sebelum tiga jam berlalu. Meskipun demikian, tidak semua organisasi yang disasar berhasil dikompromikan. Hasil analisis itu menunjukkan kebutuhan deteksi berkecepatan tinggi.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Sebelum menilai risiko terhadap pelanggan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam lingkungan komputasi cloud. Aplikasi multi-tenant memberikan akses aplikasi ke banyak lingkungan organisasi berdasarkan izin yang sebelumnya diberikan. Ketika sistem bekerja sebagaimana mestinya, integrasi tersebut mendukung operasional perangkat lunak tanpa membutuhkan autentikasi manual setiap saat. Jika material autentikasi jatuh ke tangan penyerang, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Pada insiden yang dianalisis, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Setelah akses tersebut diperoleh, sistem berbantuan AI mencoba masuk ke lingkungan pelanggan dengan menggunakan kepercayaan yang telah diberikan. Pada sejumlah lingkungan, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan percobaan peningkatan privilege. Tindakan penyerang tersebut dapat mempertahankan jalur masuk tambahan bahkan setelah aplikasi yang terdampak dinonaktifkan. Walaupun autentikasi mencurigakan ditemukan, keberhasilan login tidak selalu berarti informasi pelanggan telah diambil.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Berdasarkan telemetri yang dianalisis, kampanye Storm-0940 menargetkan organisasi secara global. Setidaknya mulai September 2026, kelompok tersebut menjalankan penargetan terhadap ratusan perusahaan. Bidang industri yang terdampak penargetan mencakup manufaktur serta teknologi, termasuk organisasi penelitian. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mendeteksi jumlah percobaan gagal melebihi 151 ribu pada periode 10 hingga 14 Oktober 2026. Percobaan tersebut melibatkan sasaran berupa 327 akun dari delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft tidak menemukan autentikasi berhasil dalam bagian kampanye tersebut.
Dalam aktivitas terkait kompromi ConnectWise, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Jumlah tenant yang ditargetkan menggambarkan kemampuan otomatisasi tingkat tinggi. Perlu dipahami, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Dalam perkembangan tanggal 14 Oktober, ConnectWise mulai menjalankan investigasi dan respons insiden. Setelah itu, ConnectWise menyampaikan advisory awal tanggal 16 Oktober. Produk yang menjadi perhatian termasuk Cloud Backup, SaaS Security, serta Cloud Management yang mengalami penangguhan untuk penanganan keamanan.
Panduan Microsoft untuk Mengamankan Aplikasi Cloud
Untuk menghadapi ancaman tersebut, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Di samping pembatasan akses, administrator disarankan meninjau lingkungan Microsoft 365 yang pernah menggunakan integrasi. Proses peninjauan ini sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya judul aplikasi pada daftar integrasi. Langkah tersebut membantu meningkatkan ketepatan investigasi. Microsoft juga meminta organisasi menjaga catatan audit sebelum menjalankan tindakan permanen terhadap lingkungan cloud. Melalui langkah tersebut, tim keamanan memiliki informasi pendukung investigasi.
Untuk meningkatkan perlindungan cloud, organisasi sebaiknya mengevaluasi log Microsoft Entra, Microsoft 365, dan catatan operasi API. Evaluasi keamanan perlu memperhatikan aktivitas identitas aplikasi, penambahan kredensial baru, serta perubahan role administratif. Ketika kompromi berhasil dikonfirmasi, administrator harus mempertimbangkan rotasi kredensial terdampak. Pendekatan izin sesuai kebutuhan memiliki manfaat besar strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Sebagai tindakan tambahan, organisasi sebaiknya menerapkan deteksi aktivitas tidak biasa agar tim keamanan memiliki waktu respons yang lebih baik.
Masa Depan Keamanan Siber Menghadapi Agen AI Peretas
Temuan mengenai kampanye Storm-0940 memberikan gambaran bahwa penggunaan sistem agen cerdas mengubah kecepatan ancaman dalam pengelolaan infrastruktur perusahaan. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap lingkungan Microsoft 365. Kasus ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Walaupun serangan menjangkau banyak lingkungan pelanggan, tidak semua percobaan berakhir dengan kompromi. Dengan mempertimbangkan temuan tersebut, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menerapkan prinsip hak akses minimum. Menurut Anda, apakah pengembangan sistem pertahanan otomatis akan menjadi kebutuhan utama perusahaan di masa depan? Jangan ragu menyampaikan pemikiran Anda tentang masa depan keamanan digital.
