Alat penggodaman AI melancarkan 2,900 cubaan log masuk seminit: adakah pengesahan dua faktor sudah diaktifkan pada akaun syarikat anda?

ARTEX, alat penggodaman yang menjalankan serangannya dengan ejen AI, kini boleh dicapai oleh mana-mana penyerang: pada 5 November 2026 Censys mengira lebih 1,465 pelayan terdedah di internet yang menjalankannya, dan sebuah kumpulan yang dikaitkan dengan China telah menggunakannya dalam kempen meneka kata laluan yang memuncak pada 2,900 cubaan log masuk seminit. Perlindungan paling murah dan pantas ialah pengesahan dua faktor: kajian Microsoft mendapati ia mengurangkan risiko akaun diceroboh sebanyak 99.22%. Lakukan tiga perkara minggu ini: wajibkan pengesahan dua faktor pada semua akaun e-mel dan pentadbir, matikan protokol e-mel lama, dan minta laporan tentang siapa yang belum mendaftar. Jika syarikat anda menyambungkan aplikasi luar kepada Microsoft 365, baca juga artikel kami tentang pencerobohan ConnectWise, kerana kelemahan itu tidak tertutup dengan pengesahan dua faktor sahaja.

Apakah ARTEX dan mengapa ia penting kepada anda?

ARTEX ialah rangka kerja sumber terbuka untuk ujian penembusan automatik yang diterbitkan oleh pembangunnya di GitHub pada 26 Julai 2026. Menurut laporan Censys yang diterbitkan pada 5 November 2026, satu ejen AI merancang serangan dan memecahkannya kepada tugasan, ejen lain menjalankan alat imbasan dan melaporkan hasilnya, dan kitaran ini berulang sehingga matlamat tercapai. Microsoft menyifatkannya sebagai alat yang menjalankan serangan daripada peninjauan hingga kecurian data dengan sedikit campur tangan manusia.

Selepas penggunaannya dalam serangan sebenar terbongkar, pembangunnya mengumumkan ia akan menjadi sumber tertutup dan memadam repositorinya, tetapi salinan arkib dan versi yang ditukar nama masih tersebar. Censys mengira kira-kira 815 pemasangan bebas selepas mengecualikan pelayan yang dikonfigurasi secara serupa, termasuk 726 pelayan di Amerika Syarikat, 387 di Hong Kong dan 177 di China. Secara praktikal, kerja yang dahulu memerlukan satu pasukan penyerang kini hanya memerlukan seorang dan satu alat percuma.

Apakah yang sebenarnya dilakukan oleh penyerang dengannya?

Dalam laporannya yang diterbitkan pada 21 Oktober 2026, Microsoft mendokumentasikan kempen kumpulan yang dijejakinya sebagai Storm-0940, yang menggunakan ARTEX untuk meneka kata laluan secara automatik antara 10 hingga 14 Oktober:

• 327 akaun dalam 8 organisasi diserang dengan semburan kata laluan, iaitu mencuba kata laluan biasa pada banyak akaun.
• Lebih 151,000 log masuk gagal, lebih 111,000 daripadanya dalam satu hari, dengan kemuncak 2,900 cubaan seminit pada 11 Oktober.
• 48 akaun masing-masing menerima lebih 1,000 cubaan gagal.
• Dalam serangan lain oleh kumpulan yang sama, kurang daripada 3 jam berlalu antara sasaran pertama dan akses berkeistimewaan kepada infrastruktur awan.

Microsoft berkata ia tidak melihat sebarang log masuk berjaya daripada kempen tersebut, kerana penguncian akaun menyerap sebahagian besarnya. Namun TechCrunch merumuskan pada 6 November bahawa banyak serangan seperti ini mengeksploitasi kelemahan mudah: kata laluan lemah atau yang sudah diketahui, dan ketiadaan pengesahan berbilang faktor.

Mengapa kata laluan sahaja tidak lagi mencukupi

Memang tidak mencukupi. Mesin tidak penat dan tidak tidur, dan setiap akaun dengan kata laluan yang diguna semula atau pernah bocor akan dicuba lambat-laun. Pengesahan dua faktor menambah faktor kedua yang tidak dimiliki penyerang: kod dalam aplikasi pada telefon pekerja, kunci keselamatan atau kunci laluan. Penyelidik Microsoft menganalisis akaun sebenar yang menunjukkan aktiviti mencurigakan dan mendapati, dalam kajian yang mereka terbitkan, bahawa pengesahan dua faktor mengurangkan risiko pencerobohan sebanyak 99.22%, dan sebanyak 98.56% walaupun kata laluan sudah bocor. Mereka juga mendapati aplikasi pengesah mengatasi kod SMS, walaupun kedua-duanya jauh lebih baik daripada tiada langsung.

Amaran penting daripada dokumentasi Microsoft: protokol e-mel lama seperti IMAP, POP3 dan SMTP tidak menyokong pengesahan dua faktor, jadi penyerang boleh log masuk melaluinya dan memintas seluruh perlindungan. Pengaktifan belum lengkap selagi protokol ini tidak dimatikan.

Apakah kata kawalan Pihak Berkuasa Keselamatan Siber Kebangsaan?

Kawalan Keselamatan Siber Penting ECC-2:2024 yang dikeluarkan oleh Pihak Berkuasa Keselamatan Siber Kebangsaan Arab Saudi (NCA) mewajibkan pengesahan berbilang faktor sekurang-kurangnya di tiga tempat:

• Kawalan 2-2-3-2: untuk akses jauh dan untuk akaun berkeistimewaan.
• Kawalan 2-4-3-2: untuk akses jauh dan akses mel web kepada e-mel.
• Kawalan 2-15-3-5: untuk akses pengguna kepada aplikasi web luaran.

Kawalan ini mengikat agensi kerajaan, syarikat bersekutunya dan entiti swasta yang memiliki, mengendalikan atau menempatkan infrastruktur kebangsaan kritikal, dan Pihak Berkuasa sangat menggalakkan semua entiti lain di Kerajaan Arab Saudi untuk menggunakannya. Jika anda membekalkan perkhidmatan kepada agensi kerajaan, jangkakan soalan mengenainya dalam penilaian pembekal.

Langkah untuk mengaktifkannya minggu ini

• Microsoft 365: dalam pusat pentadbir Microsoft Entra buka Entra ID, kemudian Overview, kemudian Properties, kemudian Manage security defaults, dan aktifkannya. Lalai keselamatan adalah percuma, tidak memerlukan lesen tambahan, mewajibkan pengesahan dua faktor bagi pentadbir dan menyekat protokol lama. Microsoft mengesyorkan dua akaun pentadbir kecemasan yang tidak terikat kepada mana-mana pekerja supaya anda tidak terkunci di luar.
• Google Workspace: di Menu, kemudian Security, kemudian Authentication, kemudian 2-step verification, benarkan kakitangan mendaftar dahulu, kemudian wajibkan mulai tarikh yang ditetapkan. Google membenarkan tempoh pendaftaran pengguna baharu dari 1 hari hingga 6 bulan, dan anda boleh mewajibkan kunci keselamatan atau kunci laluan untuk pengurusan dan kewangan.
• Keutamaan: mulakan dengan akaun pentadbir, kewangan dan e-mel, kemudian kakitangan lain, kemudian sistem lain seperti sistem perakaunan, kedai dalam talian dan panel pengehosan.
• Susulan: minta laporan mingguan tentang siapa yang belum mendaftar, dan jangan beri pengecualian kecuali yang sementara dengan sebab bertulis.

Pandangan Origami

Yang berubah bukan jenis serangan, kerana meneka kata laluan ialah cara lama, tetapi kosnya: kini ia automatik, murah dan tersedia untuk sesiapa sahaja. Perniagaan yang e-mel dan sistem perakaunannya masih dibuka dengan kata laluan sahaja sedang bertaruh bahawa penyerang tidak akan sampai, dan pertaruhan itu akan kalah lama-kelamaan.

Sebab itu setiap sistem yang diserahkan oleh Origami dibina supaya log masuk melalui sekurang-kurangnya dua faktor, disambungkan kepada log masuk tunggal apabila perniagaan sudah mempunyai akaun Microsoft atau Google, seperti yang kami terangkan dalam artikel kami tentang pengesahan selamat dan SSO. Jika anda mahu cara pasukan anda log masuk ke sistem anda disemak, atau disambungkan kepada satu akaun yang dilindungi, hubungi kami.

Kesimpulan

Alat serangan AI percuma kini mencuba beribu-ribu kata laluan seminit tanpa penat. Pengesahan dua faktor bersama mematikan protokol lama menutup sebahagian besar pintu itu, dan ia boleh diaktifkan dalam Microsoft 365 dan Google dalam beberapa hari tanpa kos tambahan. Mulakan hari ini dengan pengurusan dan kewangan, dan jangan tunggu akaun anda muncul dalam senarai mangsa laporan seterusnya.

Sumber

• Microsoft Security Blog: Storm-0940 uses ARTEX in ConnectWise supply chain compromise, 21 Oktober 2026
• Censys: laporan ARTEX dan pelayan terdedah, 5 November 2026
• Pihak Berkuasa Keselamatan Siber Kebangsaan (NCA): Essential Cybersecurity Controls ECC-2:2024
• Microsoft Research: How effective is multifactor authentication at deterring cyberattacks?
• Microsoft Learn: Configure security defaults for Microsoft Entra ID
• Google Workspace: Deploy 2-Step Verification
• TechCrunch: Hundreds of ARTEX AI hacking tools found publicly exposed to the web, 6 November 2026