Setiap aplikasi luar yang dihubungkan perusahaan Anda ke Microsoft 365, baik untuk backup, tanda tangan elektronik, maupun pengelolaan email, memegang kunci yang membuka email dan file Anda tanpa kata sandi dan tanpa kode verifikasi. Itulah yang dimanfaatkan penyerang bulan ini: mereka mencuri kredensial aplikasi ConnectWise Cloud Backup (sebelumnya SkyKick), memakainya untuk menargetkan lebih dari 2.250 lingkungan Microsoft 365 di seluruh dunia, dan dalam beberapa kasus mendapatkan hak Administrator Global dalam waktu kurang dari 3 jam. Lakukan tiga hal hari ini: minta kepala TI Anda daftar aplikasi yang terhubung ke akun Anda beserta izinnya, nonaktifkan apa pun yang tidak Anda kenali atau tidak lagi dipakai, dan periksa siapa yang ditambahkan ke peran Administrator Global sejak 1 Oktober.

Apa yang sebenarnya terjadi?

Menurut laporan keamanan Microsoft yang terbit pada 21 Oktober 2026, serangan ini dilakukan oleh kelompok yang terkait dengan Tiongkok yang dilacak Microsoft sebagai Storm-0940, dengan memakai ARTEX, alat uji penetrasi sumber terbuka berbasis AI. Antara 10 dan 14 Oktober, kelompok ini menjalankan kampanye otomatis untuk menebak kata sandi yang menghasilkan lebih dari 151.000 upaya masuk gagal terhadap 327 akun di 8 organisasi, dengan puncak pada 11 Oktober sekitar 2.900 percobaan per menit.

Lalu datang langkah yang lebih berbahaya. Penyerang memperoleh kredensial aplikasi ConnectWise Cloud Backup, layanan yang mencadangkan email dan file Microsoft 365 dan dipakai banyak perusahaan melalui penyedia layanan TI yang mengelola sistem mereka. Karena aplikasi tersebut sudah mendapat persetujuan untuk mengakses data pelanggan, penyerang bisa masuk sebagai aplikasi itu sendiri, bukan sebagai karyawan, sehingga mereka tidak memerlukan kata sandi siapa pun ataupun kode dua faktor. Setelah masuk, mereka mengubah kredensial aplikasi, memberi diri mereka peran Administrator Global (Global Administrator), dan menjelajahi lingkungan melalui Microsoft Graph.

Bagaimana ConnectWise menanggapinya?

Menurut halaman pemberitahuan resmi ConnectWise Trust Center, perusahaan menemukan masalah ini pada 14 Oktober, mengumumkannya pada 16 Oktober, dan pada pukul 07:00 UTC tanggal 17 Oktober menonaktifkan tujuh identitas aplikasi yang terkait dengan layanan tersebut, sekaligus menghentikan Cloud Backup bersama SaaS Security dan Cloud Management. ConnectWise menyatakan arsip backup tetap terenkripsi dan terisolasi tanpa tanda-tanda disusupi, dan menargetkan pengaktifan kembali mitra secara bertahap mulai Senin, 26 Oktober.

Pemberitahuan yang sama memuat satu kalimat yang perlu dibaca setiap pemilik usaha: menonaktifkan koneksi itu mencegah login baru melaluinya, tetapi tidak membatalkan perubahan yang sudah dibuat penyerang di dalam tenant Anda. Akun admin yang ditambahkan penyerang, atau aplikasi yang kuncinya ia ganti, tetap seperti itu sampai tim Anda sendiri menghapusnya.

Mengapa ini penting meski Anda tidak pernah memakai ConnectWise

Ini bukan cerita tentang satu produk. Setiap akun Microsoft 365 punya daftar aplikasi luar yang pernah disetujui seorang karyawan atau admin: alat tanda tangan, kalender janji temu, sistem backup, add-on AI yang membaca email. Sebagian memiliki izin untuk seluruh organisasi, artinya bisa membaca email dan file semua karyawan, dan izin itu tetap berlaku lama setelah semua orang melupakan aplikasinya. Jika penyedia aplikasi dibobol, kuncinya menjadi kunci penyerang.

Ada pelajaran kedua. Perusahaan yang mengandalkan Cloud Backup sudah lebih dari seminggu tanpa layanan backup yang mereka bayar. Jika satu vendor menyimpan satu-satunya salinan Anda sekaligus memegang kunci data aktif Anda, Anda telah menumpuk dua risiko di satu tempat.

Lima langkah yang perlu Anda minta dari tim minggu ini

  • Inventarisasi aplikasi terhubung: di pusat admin Microsoft Entra, buka Enterprise apps, lalu All applications, dan tinjau tab Permissions seperti dijelaskan dalam panduan resmi Microsoft untuk meninjau izin aplikasi. Mulailah dari aplikasi yang memiliki izin untuk seluruh organisasi.
  • Nonaktifkan, jangan hapus: jika Anda menemukan aplikasi ConnectWise atau SkyKick, nonaktifkan sampai perusahaan itu menerbitkan instruksi untuk layanan Anda. Microsoft menyarankan aplikasi tetap dinonaktifkan alih-alih dihapus agar bukti investigasi tidak hilang.
  • Tinjau peran admin: minta daftar semua orang yang memegang peran Administrator Global dan setiap perubahannya sejak 1 Oktober. Anda harus mengenal setiap nama di daftar itu.
  • Periksa log: tinjau log masuk dan log audit setidaknya sejak 1 Oktober dan cari aktivitas dari 144.172.64.99, 144.172.64.60, dan 144.172.64.128, alamat yang dipublikasikan ConnectWise. Kecocokan saja tidak membuktikan penyusupan, tetapi layak diselidiki.
  • Hentikan persetujuan sembarangan: aktifkan alur kerja persetujuan admin agar tidak ada karyawan yang bisa memberi aplikasi baru akses ke data perusahaan dengan satu klik, seperti dijelaskan dalam panduan Microsoft untuk mengonfigurasi persetujuan pengguna.

Jika Anda membaca artikel kami tentang rilis LiteLLM yang disusupi, polanya sama: penyerang tidak mendobrak pintu Anda, ia masuk lewat pintu vendor yang Anda percayai. Dan jika ini membuat Anda memikirkan ulang backup, lihat panduan kami tentang backup dan pemulihan bencana.

Pandangan Origami

Di sini penyerang tidak membutuhkan celah di Microsoft maupun karyawan yang tertipu; mereka memakai kepercayaan yang diberikan perusahaan sendiri kepada aplikasi luar lalu dilupakan. Karena itu di Origami kami memperlakukan setiap integrasi yang kami bangun dengan Microsoft 365 atau platform cloud mana pun sebagai izin yang membutuhkan alasan, penanggung jawab, dan tanggal peninjauan: akses seminimal yang dibutuhkan integrasi, kunci yang diganti secara berkala, dan catatan jelas tentang apa yang dilakukan aplikasi atas nama perusahaan Anda. Jika Anda ingin aplikasi yang terhubung ke akun perusahaan Anda ditinjau, atau integrasi yang tidak memegang lebih dari yang dibutuhkan, hubungi kami.

Sumber