Kalau kantor Anda memakai jasa pengelola TI (MSP) atau memakai layanan backup cloud untuk Microsoft 365, ada berita yang perlu dibaca hari ini. Kredensial sebuah aplikasi pihak ketiga — ConnectWise Cloud Backup (dulu bernama SkyKick Backup) — jatuh ke tangan penyerang, dan kredensial itu bisa dipakai masuk ke semua tenant Microsoft 365 yang memasang aplikasi tersebut. Huntress mencatat 173 tenant mitra/pelanggan sudah menerima login tidak sah dengan kredensial itu. Microsoft sendiri menyebutnya sebagai "serangan rantai pasok yang aktif".

Apa yang sebenarnya terjadi

Aplikasi backup butuh izin luas: membaca mailbox, OneDrive, SharePoint, Teams, sampai data direktori. Izin itu melekat pada aplikasi, bukan pada user. Jadi penyerang tidak perlu mencuri password satu per satu. Cukup memegang kredensial aplikasi, ia meminta token ke Microsoft Entra ID dan langsung mendapat akses sebesar izin yang sudah disetujui sebelumnya.

Menurut Huntress, token Microsoft Graph diambil dari tenant pelanggan pada 15 Oktober 2026 antara pukul 06.13 dan 08.34 UTC dari satu alamat IP yang sama. Perpindahan antar-tenant berjalan berurutan mengikuti GUID, hanya berselang beberapa detik — pola skrip yang bekerja dari daftar target, bukan manusia yang mengetik satu per satu.

Yang membuat insiden ini lebih serius: di salah satu tenant mitra, aplikasi ConnectWise Cloud Management untuk Microsoft Teams menambahkan dirinya sendiri ke role Global Administrator, lalu menjalankan skrip Python (user agent Python-urllib/3.12) yang menyisipkan client secret baru ke dua aplikasi lain di tenant tersebut. Artinya penyerang tidak hanya masuk, tetapi menyiapkan pintu belakang agar tetap bisa masuk walau kredensial awal dicabut.

Kenapa "logout semua user" tidak menyelesaikan masalah

Ini poin yang sering salah dipahami pengelola TI. Menurut Todyl, mencabut sesi user biasa tidak menghentikan akses lewat aplikasi. Menonaktifkan aplikasi di tenant memang menghentikan penerbitan token baru, tetapi token yang sudah terbit tetap berlaku hingga 90 menit. Selama aplikasi masih aktif di tenant Anda, tenant itu tetap terbuka sampai ConnectWise benar-benar merotasi kredensialnya.

ConnectWise sendiri sudah bergerak: pada 17 Oktober 2026 pukul 07.00 UTC mereka menonaktifkan tujuh identitas aplikasi (Cloud Backup, Cloud Management, Teams, Exchange Online, Graph, Partner Center, SharePoint Online), mencabut sertifikat koneksi, dan menghentikan sementara layanan Cloud Backup. Backup terjadwal berhenti, arsip lama tidak bisa diakses — tetapi ConnectWise menyatakan arsip tetap terenkripsi dan tidak ada bukti data backup mitra diambil. Perlu diingat: mematikan koneksi mencegah login baru, tidak membatalkan perubahan yang sudah dibuat di dalam tenant.

Cara memeriksa tenant Microsoft 365 Anda (30 menit)

1. Cek login aplikasi, bukan login user. Buka Microsoft Entra Admin Center → Monitoring → Sign-in logs → tab Service principal sign-ins. Tab "User sign-ins" biasa tidak akan menampilkan data ini. Filter berdasarkan Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae.
2. Lihat kolom IP. Aktivitas normal aplikasi ini keluar lewat IPv6 privat Azure. Login dari IP publik di luar rentang Microsoft/Azure adalah tanda bahaya. Catat tanggal, IP, dan jumlahnya.
3. Nonaktifkan aplikasi selama ConnectWise belum mengonfirmasi semua kredensial sudah direset: Enterprise applications → pilih aplikasi → Properties → "Enabled for users to sign-in" = No, atau blokir lewat Consent and permissions.
4. Audit kredensial baru. Periksa semua App registrations dan Enterprise applications untuk client secret atau sertifikat yang ditambahkan sejak 13 Oktober 2026. Secret baru yang tidak Anda buat sendiri adalah indikasi penyusupan.
5. Cek role direktori. Buka Entra audit log dan cari entri aplikasi ConnectWise/SkyKick yang menambahkan dirinya ke role direktori, terutama Global Administrator.
6. Aktifkan log aktivitas Microsoft Graph. Akses baca direktori lewat Graph kadang tidak meninggalkan jejak audit biasa. Log ini yang membuat aktivitas tersebut terlihat — aktifkan sebelum kejadian berikutnya, bukan sesudahnya.
7. Rotasi kredensial sendiri. Untuk aplikasi internal yang Anda kelola, ganti secret yang sudah lama, dan catat tanggal kedaluwarsanya.

Penguatan jangka panjang untuk instansi dan UMKM

• Prinsip least privilege pada aplikasi. Aplikasi backup tidak butuh Global Administrator. Beri izin seminimal mungkin, dan tinjau ulang setiap semester.
• Conditional Access for workload identities. Fitur ini membatasi dari mana aplikasi boleh login. Butuh lisensi tambahan, tetapi membuat secret yang disusupkan lebih sulit dipakai. Entra ID Protection juga bisa menandai service principal berisiko.
• Inventaris aplikasi terpasang. Banyak instansi tidak tahu ada berapa aplikasi pihak ketiga yang sudah diberi izin baca seluruh mailbox. Buat daftar, tentukan siapa pemiliknya, hapus yang tidak terpakai.
• MFA tetap wajib untuk semua akun admin, dan akun admin tidak dipakai untuk membaca email sehari-hari.
• Alternatif backup mandiri. Untuk data yang benar-benar kritis, simpan salinan tambahan di luar penyedia backup pihak ketiga — misalnya export terjadwal ke storage yang Anda kendalikan sendiri.

Kesimpulan

Insiden ini bukan soal satu vendor saja, melainkan pola yang akan berulang: aplikasi dengan izin luas menjadi target bernilai tinggi, dan satu kredensial bocor berdampak ke ratusan organisasi sekaligus. Bagi pengelola TI pemerintah daerah, desa, sekolah, dan UMKM, langkah paling murah adalah inventarisasi aplikasi, cek log login service principal, dan tidak memberikan Global Administrator kepada aplikasi yang tidak membutuhkannya. Lakukan pemeriksaan di atas hari ini — hasilnya biasanya langsung terlihat dalam hitungan menit.

Sumber: The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants; ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants; ConnectWise Trust Advisories.