AIを使って世界数百組織をハッキング…マイクロソフト、ハッカー集団背後にある「中国政府の影」を暴露

米マイクロソフトは10月21日、中国政府との関係が疑われるハッカー集団がAIを活用し、世界の数百組織を標的とする大規模なサイバー攻撃を実施していたと発表した。攻撃には「ARTEX」と呼ばれるAI搭載の侵入テストツールが使用され、一部の組織では標的の選定から3時間未満でクラウド環境への特権アクセスを取得されたという。 企業向けのIT管理やクラウドバックアップなどを提供する米ITサービス企業ConnectWiseのアプリケーション認証情報も悪用され、同社のサービスを利用する顧客企業に被害が波及した。同社は10月23日、週末までに復旧環境の試験と安全性確認を終え、順調に進めば翌週前半にバックアップデータの復元機能を再開する見通しを示した。個々の顧客環境については、引き続き不正アクセスの有無を確認する必要があるとしている。 マイクロソフトが攻撃主体として特定したのは「Storm-0940」と呼ばれるグループ。同社によると、この集団は少なくとも2021年から活動しており、主に企業や政府関連組織からの情報窃取を目的としている。 今回の攻撃は2026年9月には始まっていたとみられ、航空宇宙、防衛、自動車、化学、エネルギー、金融、政府機関、法律事務所、半導体、報道機関など、多様な業種を標的とした。攻撃の大半は成功しなかったが、複数の組織でクラウド環境への特権アクセスが確認された。マイクロソフトは、攻撃者が短期間に多くの組織で特権アクセスを継続できる状態を確立したと分析している。

米マイクロソフトは10月21日、中国政府との関係が疑われるハッカー集団がAIを活用し、世界の数百組織を標的とする大規模なサイバー攻撃を実施していたと発表した。攻撃には「ARTEX」と呼ばれるAI搭載の侵入テストツールが使用され、一部の組織では標的の選定から3時間未満でクラウド環境への特権アクセスを取得されたという。 企業向けのIT管理やクラウドバックアップなどを提供する米ITサービス企業ConnectWiseのアプリケーション認証情報も悪用され、同社のサービスを利用する顧客企業に被害が波及した。同社は10月23日、週末までに復旧環境の試験と安全性確認を終え、順調に進めば翌週前半にバックアップデータの復元機能を再開する見通しを示した。個々の顧客環境については、引き続き不正アクセスの有無を確認する必要があるとしている。 マイクロソフトが攻撃主体として特定したのは「Storm-0940」と呼ばれるグループ。同社によると、この集団は少なくとも2021年から活動しており、主に企業や政府関連組織からの情報窃取を目的としている。 今回の攻撃は2026年9月には始まっていたとみられ、航空宇宙、防衛、自動車、化学、エネルギー、金融、政府機関、法律事務所、半導体、報道機関など、多様な業種を標的とした。攻撃の大半は成功しなかったが、複数の組織でクラウド環境への特権アクセスが確認された。マイクロソフトは、攻撃者が短期間に多くの組織で特権アクセスを継続できる状態を確立したと分析している。

攻撃に使用されたARTEXは、企業のネットワークやシステムに脆弱性がないかを調べる「ペネトレーションテスト」のために開発されたオープンソースのツールだ。大規模言語モデルを利用する複数のAIエージェントが、標的の情報収集、脆弱性の調査、攻撃手法の実行などを自動的に進める仕組みを備えている。 マイクロソフトによれば、ARTEXは人間の操作をほとんど必要とせず、設定次第では情報の持ち出しに至るまでの作業を自動化可能であり、この機能が既存の攻撃手法を高速化するために利用された。 攻撃の規模を示す具体的な数字も公表された。10月10日から14日、Storm-0940は8組織の327アカウントを標的に、15万1000回以上のログイン失敗を発生させた。10月11日には1分間に最大2900回のログイン失敗が記録され、1日だけで11万1000回を超えたという。この攻撃では、パスワードを推測して複数のアカウントへのログインを試す「パスワードスプレー攻撃」が使われた。 一方、ConnectWiseを経由した攻撃では、実際に顧客のクラウド環境への侵入が確認された。攻撃者は同社の複数のクラウドアプリケーションの認証情報を入手し、顧客のマイクロソフト365環境へのアクセスを試みた。マイクロソフトによると、攻撃者はARTEXを利用して2250を超える顧客のマイクロソフト365環境へのサインインを試みた。外部サービスにあらかじめ付与されていたアクセス権限を悪用するため、攻撃者は顧客企業の従業員として対話的にログインすることなく、システムに接続できたという。

侵入後には、マイクロソフトのクラウドサービスのデータや機能にアクセスするAPI「Microsoft Graph」を利用し、組織内の情報収集やアプリケーション認証情報の変更、権限の追加などが行われた。マイクロソフトは、ConnectWiseの管理用アプリケーションが自らにグローバル管理者権限を付与した事例も検出している。このような操作によって新たな認証情報が作成された場合、当初悪用されたアプリケーションを無効にしても、攻撃者のアクセス経路が残る可能性がある。 マイクロソフトは今回の活動について、自社の製品やサービスに存在する脆弱性が原因ではないとしている。 ConnectWiseは10月16日に不正アクセスに関する調査を公表し、17日には関連する7つのアプリケーションIDを無効化した。さらにCloud Backupに加え、連携するSaaS SecurityとCloud Managementも予防措置として停止した。同社は19日、17日に実施した対策以降、自社の監視対象環境では攻撃者による活動の成功を確認していないと説明した。 その後、ConnectWiseは10月21日にサービスの段階的な復旧作業を開始。現在、週末までに復旧環境の試験と安全性確認を終え、順調に進めば翌週前半に既存バックアップからのデータ復元機能を再開する見通しが示されている。 顧客に対しては、正式な案内が出るまで関連アプリケーションの接続を無効のまま維持するよう求めている。また、既存のバックアップデータは暗号化された状態で隔離・保全されており、侵害された兆候は確認されていないという。 ほかのConnectWise製品やサービスに今回の事件による影響が及んだ兆候は確認されていない。ただし、各顧客のマイクロソフト365環境については、不正な変更やアクセス権限の残存がないか、個別に調査する必要があるとしている。

マイクロソフトは、攻撃者であるStorm-0940を中国政府と関係する集団としている。ConnectWiseもで、マイクロソフトから共有された脅威情報と自社が把握した証拠に基づき、中国政府と関係する集団が攻撃に関与したとみられるとの認識を示した。 一方、名指しされた中国政府は従来から、国家によるサイバー攻撃への関与を否定している。ロイター通信によると、在米中国大使館は問い合わせ対しても沈黙を貫いている。 米サイバーセキュリティー専門メディア『ザ・レコード』は10月22日、AIを利用した攻撃の自動化と、ITサービス企業を経由して顧客環境に侵入するサプライチェーン攻撃について、マイクロソフトの調査結果を報じた。同メディアは、Storm-0940が2026年9月以降、政府機関や防衛、金融、製造業などの組織に侵入し、認証情報の取得や権限拡大を試みていたと伝えた。マイクロソフトの調査でも、ARTEXによる攻撃は標的の選定から特権アクセスの取得まで3時間未満だった事例が複数確認されている。

被害を受けた可能性のある企業に対し、マイクロソフトは接続済みのアプリケーションやサービスの認証履歴を調べ、権限の変更、不審な認証情報の追加、メールやファイルへの異常なアクセスなどを確認するよう推奨している。 現在利用しているサービスに留まらず、過去に接続を許可したアプリケーションについても確認が必要であり、少なくとも10月15日以降の操作履歴を調べ、記録が残っていれば10月1日まで遡って確認するよう求めている。 また、ConnectWise側も顧客やサービス管理事業者向けの技術資料を公開し、調査を支援している。 10月23日時点で、実際に侵入を受けた組織の確定数や、情報流出が発生した件数、被害総額は公表されていない。2250を超える顧客環境へのサインインが試みられたことは確認されているが、そのすべてで侵入が成功したわけではない。マイクロソフトも、認証の成功だけでは顧客データへのアクセスや外部への持ち出しが行われたと断定できないとしている。ConnectWiseは復旧作業と並行して調査を継続しており、今後は顧客ごとの不正アクセスの有無、追加の認証情報が残されていないか、情報流出が発生したかどうかが調査の焦点となる。