Microsoft mengungkap kampanye serangan siber berskala global yang melibatkan penyalahgunaan teknologi kecerdasan buatan untuk mempercepat pembobolan sistem perusahaan. Dalam laporan keamanan yang diterbitkan pada 21 Oktober 2026, Microsoft mengidentifikasi kelompok peretas Storm-0940 sebagai pihak yang diduga bertanggung jawab atas kompromi rantai pasok layanan ConnectWise Cloud Backup. Kelompok tersebut menggunakan kerangka kerja agen AI bernama ARTEX untuk mengotomatiskan berbagai aktivitas serangan. Peristiwa ini menjadi perhatian industri TEKNOLOGI karena memperlihatkan bagaimana kecerdasan buatan dapat mempercepat serangan terhadap layanan cloud, aplikasi tepercaya, dan infrastruktur digital perusahaan dalam waktu yang sangat singkat.
Kelompok Storm-0940 Diduga Terlibat dalam Kompromi ConnectWise
Pengungkapan terbaru dari Microsoft menunjukkan bahwa risiko serangan digital semakin berkembang seiring perkembangan sistem otomatisasi digital. Dalam laporan tersebut, Microsoft Threat Intelligence melacak Storm-0940, yaitu aktor siber yang menurut Microsoft terkait kepentingan negara China. Aktor ancaman ini dikaitkan secara langsung dengan kompromi aplikasi multi-tenant milik ConnectWise. Bagian layanan yang menjadi perhatian berkaitan dengan ConnectWise Cloud Backup, sebuah sistem backup untuk lingkungan bisnis. Melalui kompromi tersebut, penyerang melakukan autentikasi ke sejumlah tenant pelanggan yang telah mempercayai integrasi perangkat lunak tersebut.
Menurut penelitian Microsoft, Storm-0940 memiliki riwayat aktivitas setidaknya sejak 2021. Dalam pola operasi yang telah diamati, kelompok tersebut mengandalkan teknik seperti password spraying dan eksploitasi aplikasi yang terhubung internet. Setelah memperoleh akses, pelaku melakukan aktivitas lanjutan melalui identitas digital yang disalahgunakan. Pada rangkaian serangan tahun 2026, penggunaan ARTEX berperan dalam mengotomatisasi beberapa tahapan serangan. Perkembangan metode ini menimbulkan tantangan baru karena berbagai proses eksplorasi sistem dapat dilakukan hampir bersamaan.
Cara Kerja Agen AI ARTEX dalam Serangan Siber
Bagian paling menarik dalam aktivitas Storm-0940 adalah penggunaan kerangka kerja ARTEX. Kerangka kerja ARTEX dikenal sebagai perangkat lunak pengujian penetrasi bersumber terbuka. Berdasarkan prinsip pengoperasiannya, ARTEX menggabungkan beberapa agen kecerdasan buatan untuk menjalankan rangkaian penilaian kerentanan. Kerangka kerja tersebut dibangun dengan komponen perangkat lunak berbasis Go dan antarmuka Next.js. Ketika dimanfaatkan oleh profesional keamanan, kemampuan tersebut mendukung penilaian keamanan organisasi. Namun demikian, teknologi yang sama berisiko dimanfaatkan untuk serangan ilegal.
Dalam kampanye Storm-0940, ARTEX dimanfaatkan untuk mempercepat aktivitas pengintaian terhadap infrastruktur, percobaan autentikasi, dan aktivitas lanjutan terhadap integrasi cloud. Kemampuan otomatisasi ini membantu menjalankan banyak pekerjaan secara paralel. Microsoft melaporkan, beberapa serangan berbantuan ARTEX mencapai kendali berprivilege tinggi pada lingkungan tertentu dalam waktu di bawah tiga jam. Meskipun demikian, tidak semua organisasi yang disasar berhasil dikompromikan. Hasil analisis itu memperlihatkan perlunya respons keamanan yang lebih cepat.
Risiko Kredensial Aplikasi Cloud yang Berhasil Dikompromikan
Untuk memahami dampak serangan, perlu dipahami peran aplikasi multi-tenant dan OAuth dalam ekosistem perangkat lunak perusahaan. Integrasi cloud lintas organisasi mendukung layanan bagi beberapa pelanggan berdasarkan izin yang sebelumnya diberikan. Dalam kondisi normal, integrasi tersebut membantu menjalankan layanan tanpa mengharuskan pengguna melakukan login berulang. Ketika identitas aplikasi berhasil dikompromikan, hubungan kepercayaan tersebut dapat menjadi jalur akses tidak sah.
Pada insiden yang dianalisis, pelaku menyalahgunakan kredensial aplikasi yang dikompromikan. Selanjutnya, sistem berbantuan AI menjalankan autentikasi terhadap tenant pengguna dengan menggunakan kepercayaan yang telah diberikan. Untuk sebagian sistem pelanggan, Microsoft menemukan operasi setelah autentikasi melalui Microsoft Graph, termasuk aktivitas pengintaian struktur lingkungan, perubahan kredensial aplikasi, dan upaya mengubah hak istimewa. Perubahan tersebut dapat mempertahankan jalur masuk tambahan bahkan setelah kredensial awal diganti. Kendati aktivitas akses teridentifikasi, keberhasilan login tidak otomatis membuktikan pencurian data.
Aktivitas Serangan AI Menjangkau Ribuan Tenant Cloud
Microsoft mengungkap, kampanye Storm-0940 memiliki cakupan internasional. Setidaknya mulai September 2026, kelompok tersebut menggunakan ARTEX untuk menyasar ratusan organisasi. Kategori organisasi yang dituju meliputi pemerintahan dan keuangan, termasuk organisasi penelitian. Untuk aktivitas password spraying yang teridentifikasi, Microsoft mengamati lebih dari 151 ribu autentikasi gagal pada periode 10 hingga 14 Oktober 2026. Operasi autentikasi itu melibatkan sasaran berupa 327 akun dari delapan organisasi. Kendati percobaan dilakukan secara masif, Microsoft tidak mengamati keberhasilan login dari rangkaian password spraying itu.
Pada rangkaian serangan terhadap pelanggan Cloud Backup, ARTEX digunakan untuk mencoba autentikasi ke lebih dari 2.250 tenant. Jumlah tenant yang ditargetkan memperlihatkan potensi dampak hubungan aplikasi multi-tenant. Perlu dipahami, jumlah target tidak sama dengan jumlah korban yang kehilangan data. Ketika masalah keamanan ditemukan pada 14 Oktober, ConnectWise memulai penyelidikan serta tindakan pengamanan. Setelah itu, ConnectWise menerbitkan pemberitahuan keamanan pada 16 Oktober. Bagian operasional yang terdampak mencakup Cloud Backup, SaaS Security, dan Cloud Management yang terpengaruh oleh tindakan pembatasan operasional.
Panduan Microsoft untuk Mengamankan Aplikasi Cloud
Dalam upaya mengurangi risiko kompromi, Microsoft menganjurkan organisasi yang menggunakan integrasi terdampak agar tidak langsung mengaktifkan kembali aplikasi yang terdampak. Di samping pembatasan akses, administrator disarankan meninjau lingkungan Microsoft 365 yang pernah menggunakan integrasi. Pemeriksaan tersebut sebaiknya dilakukan berdasarkan ID aplikasi, bukan hanya nama tampilan layanan. Hal ini membantu meningkatkan ketepatan investigasi. Dalam panduan mitigasinya, Microsoft menekankan pelestarian bukti digital sebelum menghapus konfigurasi aplikasi. Melalui langkah tersebut, tim keamanan memiliki informasi pendukung investigasi.
Sebagai pemeriksaan lanjutan, organisasi dianjurkan memeriksa log Microsoft Entra, Microsoft 365, dan riwayat komunikasi aplikasi. Pemeriksaan sebaiknya mencakup autentikasi service principal, modifikasi sertifikat dan kredensial aplikasi, serta perubahan role administratif. Jika investigasi menemukan akses tidak sah, administrator harus mempertimbangkan rotasi kredensial terdampak. Prinsip least privilege memiliki manfaat besar strategi pertahanan karena aplikasi tidak perlu memiliki izin berlebihan. Selain itu, organisasi perlu memantau anomali secara berkelanjutan agar tim keamanan memiliki waktu respons yang lebih baik.
Masa Depan Keamanan Siber Menghadapi Agen AI Peretas
Temuan mengenai kampanye Storm-0940 memberikan gambaran bahwa penggunaan sistem agen cerdas menghadirkan tantangan baru dalam industri keamanan siber. Dengan memanfaatkan agen AI berbasis ARTEX, pelaku dapat mengotomatisasi aktivitas penargetan terhadap infrastruktur digital perusahaan. Kasus ConnectWise juga memperlihatkan risiko izin cloud yang berlebihan. Meskipun ribuan tenant menjadi sasaran, jumlah sasaran tidak sama dengan jumlah korban yang berhasil dibobol. Sebagai pelajaran dari insiden ini, organisasi harus memprioritaskan pemeriksaan aplikasi pihak ketiga dan menjaga kesiapan menghadapi serangan otomatis. Dari sudut pandang Anda, apakah pemanfaatan AI dalam keamanan siber mampu meningkatkan perlindungan infrastruktur digital? Jangan ragu menyampaikan pemikiran Anda tentang pentingnya perlindungan aplikasi cloud.
