Akun Microsoft 365 Target Serangan Rantai Pasok

Akun Microsoft 365 Target Serangan Rantai Pasok – Pada pertengahan Oktober 2026, insiden keamanan yang melibatkan ConnectWise Cloud Backup, sebelumnya dikenal sebagai SkyKick Cloud Backup, memicu kekhawatiran terhadap keamanan lingkungan Microsoft 365 milik pelanggan.

Penyerang menyalahgunakan kredensial aplikasi yang terkait dengan layanan tersebut untuk memperoleh akses ke sejumlah lingkungan pelanggan tanpa harus masuk menggunakan akun pengguna biasa.

ConnectWise menyediakan layanan pencadangan dan pengelolaan cloud yang digunakan oleh penyedia layanan teknologi informasi untuk membantu melindungi data pelanggan.

Agar dapat menjalankan fungsinya, aplikasi pencadangan memerlukan izin tertentu untuk mengakses layanan seperti:

Exchange Online.
OneDrive.
SharePoint.
Microsoft Teams.

Masalah muncul ketika kredensial aplikasi yang seharusnya digunakan untuk operasional layanan disalahgunakan. Karena aplikasi tersebut telah memperoleh izin dari pelanggan, penyerang berpotensi memanfaatkan izin yang sudah tersedia untuk mengakses sumber daya di lingkungan Microsoft 365 yang terhubung.

Kasus ini merupakan contoh serangan rantai pasok (supply-chain attack), yaitu serangan yang memanfaatkan hubungan kepercayaan terhadap penyedia layanan, perangkat lunak, atau komponen pihak ketiga untuk menjangkau target lain.

Dalam kasus ini, jalur serangan berasal dari kredensial aplikasi penyedia layanan, bukan semata-mata dari kata sandi pengguna yang dicuri.

Bagaimana Penyerang Memanfaatkan Akses Aplikasi?

Dalam arsitektur Microsoft 365, aplikasi pihak ketiga dapat diberi identitas dan izin untuk mengakses sumber daya pelanggan melalui Microsoft Entra ID. Identitas aplikasi tersebut dikenal sebagai service principal.

Mekanisme ini dibutuhkan agar layanan otomatis, seperti pencadangan, dapat bekerja tanpa meminta pengguna masuk setiap kali proses dijalankan.

Namun, apabila kredensial yang digunakan untuk mengautentikasi aplikasi jatuh ke tangan penyerang, mekanisme yang sah tersebut dapat disalahgunakan.

Rantai serangannya dapat dijelaskan melalui beberapa tahap:

Kredensial aplikasi disalahgunakan. Penyerang memperoleh atau menggunakan kredensial milik aplikasi yang memiliki akses ke lingkungan pelanggan.
Aplikasi melakukan autentikasi. Dengan kredensial tersebut, penyerang mencoba memperoleh token akses untuk berinteraksi dengan layanan Microsoft 365.
Izin yang telah diberikan dimanfaatkan. Akses yang tersedia bagi aplikasi dapat membuka peluang untuk membaca atau memodifikasi data, bergantung pada izin yang dimiliki.
Akses lanjutan berpotensi dibangun. Dalam sejumlah aktivitas yang diamati, terdapat upaya menaikkan hak akses dan menambahkan kredensial aplikasi. Tindakan semacam ini dapat membuat akses tidak sah bertahan lebih lama.

Laporan insiden menyebutkan sedikitnya 162 lingkungan pelanggan terkonfirmasi mengalami aktivitas masuk tanpa izin dalam pemantauan salah satu penyedia keamanan.

Penyelidikan juga menemukan aktivitas yang mengarah pada upaya pemberian hak administrator pada sejumlah lingkungan. Namun, angka tersebut tidak berarti semua lingkungan mengalami pencurian data, dan cakupan keseluruhan insiden masih perlu dibedakan dari jumlah yang berhasil dikonfirmasi.

Mengapa Autentikasi Multifaktor Belum Tentu Cukup?

Autentikasi multifaktor (multi-factor authentication atau MFA) merupakan perlindungan penting terhadap pencurian akun. Akan tetapi, mekanisme ini tidak selalu menghentikan penyalahgunaan kredensial aplikasi.

MFA umumnya melindungi proses masuk pengguna, misalnya dengan meminta kode tambahan atau persetujuan melalui perangkat. Sementara itu, aplikasi otomatis dapat menggunakan kredensial dan izin yang telah diberikan sebelumnya untuk memperoleh token akses tanpa proses masuk interaktif oleh pengguna.

Artinya, organisasi tidak cukup hanya memastikan semua karyawan telah mengaktifkan MFA. Mereka juga perlu mengawasi identitas aplikasi, izin yang diberikan kepada pihak ketiga, serta perubahan hak akses di lingkungan cloud.

Insiden ini juga menunjukkan bahwa menonaktifkan layanan yang terdampak merupakan langkah penahanan yang penting, tetapi belum tentu menyelesaikan seluruh risiko. Kredensial atau izin tambahan yang telanjur dibuat penyerang mungkin masih perlu diperiksa dan dicabut secara terpisah.

Langkah Pencegahan bagi Organisasi dan Pengguna

Untuk mengurangi risiko serangan serupa, organisasi perlu memeriksa bukan hanya akun karyawan, tetapi juga aplikasi dan layanan eksternal yang terhubung ke sistem mereka.

Bagi administrator dan tim keamanan TI:

Audit izin aplikasi pihak ketiga. Inventarisasi aplikasi yang terhubung ke Microsoft 365 dan Microsoft Entra ID. Pastikan setiap aplikasi benar-benar diperlukan dan hanya memiliki izin minimum sesuai fungsinya.
Pantau aktivitas autentikasi aplikasi. Periksa log masuk aplikasi, sumber koneksi yang tidak biasa, perubahan izin, serta penambahan kredensial atau sertifikat yang tidak dikenali.
Tinjau hak administrator. Waspadai aplikasi yang memperoleh peran berprivilege tinggi tanpa persetujuan atau alasan operasional yang jelas.
Siapkan prosedur pencabutan akses. Jika penyedia layanan mengalami insiden, organisasi perlu dapat menonaktifkan koneksi terkait, mencabut kredensial yang terdampak, dan memeriksa kemungkinan akses lanjutan.
Evaluasi keamanan vendor. Ketahui data apa yang dapat diakses penyedia layanan, bagaimana kredensial dikelola, dan bagaimana vendor menangani insiden keamanan.

Bagi pengguna dan pemilik usaha:

Aktifkan MFA pada akun pengguna, terutama akun administrator dan akun yang memiliki akses ke data penting.
Waspadai pemberitahuan perubahan akses atau aktivitas masuk yang tidak dikenal.
Simpan cadangan data penting dan pastikan proses pemulihan dapat dilakukan ketika layanan pencadangan utama terganggu.
Jika organisasi menggunakan layanan yang terdampak, ikuti pemberitahuan resmi penyedia layanan dan minta tim TI memeriksa lingkungan sebelum koneksi diaktifkan kembali.

ConnectWise telah menangguhkan akses ke layanan terkait sebagai langkah perlindungan dan menyatakan penyelidikan masih berlangsung. Perusahaan juga menyampaikan bahwa saat itu belum ditemukan indikasi kompromi terhadap data arsip cadangan yang tersimpan.

Pernyataan tersebut tidak serta-merta memastikan bahwa seluruh lingkungan pelanggan bebas dari akses tidak sah, sehingga pemeriksaan di sisi pelanggan tetap diperlukan.

Pengelolaan Akses vendor

Insiden ConnectWise memperlihatkan bahwa layanan yang digunakan untuk melindungi data pun dapat menjadi jalur serangan apabila kredensial atau izin aksesnya disalahgunakan.

Dalam ekosistem cloud yang saling terhubung, keamanan tidak hanya bergantung pada kekuatan kata sandi dan MFA, tetapi juga pada pengelolaan identitas aplikasi serta pengawasan akses pihak ketiga.

Organisasi perlu memperlakukan akses vendor sebagai bagian dari permukaan serangan yang harus diawasi secara berkala. Dengan membatasi izin, memantau aktivitas aplikasi, dan menyiapkan prosedur respons insiden, risiko dari kompromi satu penyedia layanan dapat dikurangi sebelum berkembang menjadi gangguan yang lebih luas.

Baca artikel lainnya: