Microsoft pada 21 Oktober 2026 mengaitkan kelompok yang mereka lacak sebagai Storm-0940 dengan kompromi supply chain terhadap aplikasi multi-tenant ConnectWise Cloud Backup. Dalam penilaian tersebut, aktor yang disebut selaras dengan kepentingan negara China menggunakan ARTEX, kerangka penetration testing berbasis agen AI, untuk mengotomatisasi pengintaian, penyemprotan kata sandi, dan upaya memperoleh akses ke lingkungan cloud.
Aktivitas yang diamati Microsoft berlangsung antara 10 dan 14 Oktober 2026. Kampanye itu mencatat lebih dari 151.000 kegagalan login, dengan puncak sekitar 2.900 percobaan per menit. Targetnya mencakup 327 akun di delapan organisasi, sementara aktivitas yang berkaitan dengan kampanye tersebut menjangkau lebih dari 2.250 tenant Microsoft 365.
Penilaian ini menempatkan serangan supply chain ConnectWise Storm-0940 dalam konteks risiko yang lebih luas bagi layanan cloud multi-tenant. Ketika satu aplikasi memiliki koneksi ke banyak lingkungan pelanggan, kompromi terhadap aplikasi atau kredensial terkait dapat membuka jalur menuju organisasi lain. Namun, Microsoft menekankan melalui rangkaian temuannya bahwa agen AI mempercepat dan memperluas pekerjaan penyerang, bukan membobol sistem secara mandiri tanpa infrastruktur, kredensial, dan akses awal yang telah dikompromikan.
Peran ARTEX dalam kampanye
Menurut Microsoft, Storm-0940 memakai ARTEX untuk menjalankan aktivitas operasional dalam skala besar. Kerangka tersebut digambarkan sebagai alat penetration testing berbasis agen AI yang dapat membantu mengotomatisasi berbagai tahapan pengujian dan serangan.
Dalam kampanye yang dikaitkan dengan ConnectWise, otomatisasi itu mencakup pengintaian terhadap target, penyemprotan kata sandi, serta upaya memperoleh akses ke lingkungan cloud. Banyaknya percobaan login dalam waktu singkat menunjukkan bagaimana otomatisasi dapat meningkatkan volume operasi dibandingkan pendekatan manual.
Microsoft juga menyebut beberapa serangan ARTEX lain yang dikaitkan dengan aktor yang sama. Dalam kasus-kasus tersebut, akses istimewa disebut dapat dicapai kurang dari tiga jam setelah penargetan awal. Temuan ini menggambarkan dampak praktis agen AI bagi penyerang: mempercepat perpindahan dari pemetaan target ke upaya eskalasi akses, terutama ketika organisasi memiliki kredensial lemah, izin berlebih, atau koneksi aplikasi yang tidak diawasi.
Rantai kompromi ConnectWise Cloud Backup
ConnectWise Cloud Backup merupakan aplikasi multi-tenant yang terhubung ke lingkungan pelanggan. Karena karakteristik tersebut, aplikasi menjadi bagian penting dalam rantai kompromi yang sedang diselidiki. Akses tidak sah terhadap layanan atau koneksi aplikasinya berpotensi memberi penyerang visibilitas dan jalur interaksi dengan lingkungan Microsoft 365 milik pelanggan.
ConnectWise sebelumnya mengungkap insiden akses tidak sah pada Cloud Backup. Perusahaan meminta pelanggan menonaktifkan koneksi aplikasi terkait dan memeriksa sejumlah sumber log, termasuk Microsoft Entra, Microsoft 365, dan Microsoft Graph.
Microsoft menyatakan atribusi terhadap Storm-0940 didasarkan pada penilaian mereka. Salah satu unsur yang mendukung penilaian itu adalah tumpang tindih infrastruktur dengan indikator yang dibagikan dalam investigasi ConnectWise. Meski demikian, atribusi tersebut belum dikonfirmasi secara publik oleh semua pihak independen. Karena itu, keterlibatan Storm-0940 perlu dipahami sebagai kesimpulan analisis Microsoft, bukan fakta yang telah disepakati seluruh penyelidik.
Data serangan menunjukkan skala otomatisasi
Angka yang dipaparkan Microsoft memberikan gambaran mengenai skala kampanye. Lebih dari 151.000 kegagalan login selama empat hari terjadi terhadap 327 akun di delapan organisasi. Dengan puncak sekitar 2.900 percobaan per menit, pola tersebut konsisten dengan penggunaan otomatisasi untuk menguji banyak kombinasi kredensial dalam waktu singkat.
Jangkauan ke lebih dari 2.250 tenant Microsoft 365 juga menunjukkan bahwa risiko tidak berhenti pada organisasi yang menjadi target awal. Dalam lingkungan cloud yang saling terhubung melalui aplikasi, service principal, dan izin lintas layanan, satu insiden dapat menimbulkan kebutuhan pemeriksaan pada banyak tenant pelanggan.
Namun, metrik tersebut tidak berarti seluruh tenant telah berhasil ditembus. Data yang tersedia menyebut adanya jangkauan aktivitas dan percobaan akses, bukan konfirmasi bahwa semua tenant mengalami kompromi. Perbedaan antara kegagalan login, akses yang berhasil, dan eskalasi hak istimewa penting diperhatikan saat organisasi menilai dampak insiden.
Rekomendasi pemeriksaan bagi organisasi
Microsoft memperingatkan organisasi agar meninjau koneksi aplikasi dan komponen identitas yang mungkin digunakan untuk mengakses lingkungan cloud. Pemeriksaan sebaiknya mencakup service principal, pemberian izin, perubahan peran administrator, serta catatan aktivitas autentikasi dan audit.
- Periksa log sign-in Microsoft Entra untuk pola percobaan login berulang, lokasi atau waktu yang tidak biasa, dan akses terhadap akun yang ditargetkan.
- Tinjau log audit Microsoft 365 untuk perubahan izin, pembuatan atau modifikasi service principal, serta perubahan peran administrator.
- Evaluasi koneksi aplikasi yang terkait dengan Cloud Backup atau layanan pihak ketiga lain, termasuk izin yang diberikan dan kebutuhan aksesnya.
- Periksa aktivitas Microsoft Graph yang tidak sesuai dengan pola penggunaan normal, terutama jika berkaitan dengan pembacaan data atau perubahan konfigurasi.
- Nonaktifkan koneksi aplikasi yang direkomendasikan ConnectWise sambil melakukan pemeriksaan dan validasi lebih lanjut.
Organisasi juga perlu membedakan antara akses aplikasi yang sah dan aktivitas yang muncul akibat penyalahgunaan kredensial atau izin. Pencabutan izin secara terburu-buru dapat mengganggu layanan, tetapi membiarkan koneksi berisiko tetap aktif dapat memperpanjang peluang akses. Karena itu, keputusan mitigasi perlu didasarkan pada log, tingkat hak akses, dan hubungan aplikasi dengan sistem penting.
AI mempercepat operasi, bukan menggantikan prasyarat serangan
Kasus ini memperlihatkan perubahan pada kecepatan dan skala operasi serangan. Agen AI dapat membantu penyerang mengolah informasi, memilih target, menjalankan percobaan autentikasi, dan menyesuaikan langkah berikutnya. Otomatisasi semacam itu meningkatkan tekanan terhadap sistem deteksi yang harus membedakan aktivitas pengguna normal dari ribuan permintaan dalam waktu singkat.
Meski demikian, penggunaan ARTEX tidak menghapus kebutuhan penyerang terhadap infrastruktur operasional, kredensial, kelemahan konfigurasi, atau akses awal. Keberhasilan serangan tetap bergantung pada kondisi lingkungan korban dan kemampuan mempertahankan akses. Pemahaman ini penting agar organisasi tidak melihat AI sebagai pelaku tunggal, melainkan sebagai pengganda kemampuan dalam rantai serangan yang sudah memiliki prasyarat teknis.
Investigasi terhadap serangan supply chain ConnectWise Storm-0940 masih perlu dibaca dengan memperhatikan batas atribusi yang disampaikan Microsoft. Untuk saat ini, langkah paling relevan bagi pelanggan adalah meninjau koneksi aplikasi, hak akses, perubahan administratif, serta log Microsoft Entra, Microsoft 365, dan Microsoft Graph guna mengidentifikasi aktivitas yang tidak sah.
