マイクロソフトは10月21日に公表した報告書で、中国共産党の支援を受けるハッカー集団「Storm-0940」が、AIを使った侵入ツール「ARTEX」で、ITサービス企業コネクトワイズへの侵入に成功したと明らかにした。同集団は世界の数百の組織のクラウド環境で、管理者などに限られる強い操作権限を得ていた。標的を選んでから権限を得るまで、3時間もかからなかった例もあるという。

AIツール「ARTEX」で攻撃を自動化　世界の数百組織が標的に

マイクロソフトのセキュリティー研究チームによると、Storm-0940は中国による国家的な支援を受け、2021年から活動している。今年9月には、中国で開発されたARTEXを使い、世界各地の企業や政府機関など、数百の組織に自動で攻撃を仕掛けた。標的は幅広い業種に及んだ。

ARTEXには、AIが自ら判断して作業を進める機能がある。マイクロソフトによると、攻撃者はほとんど手動で操作せずに、ネットワークの調査から、多数のアカウントに同じパスワードでログインを試みる「パスワードスプレー攻撃」、機密情報の盗み出しまでを実行できるという。

攻撃対象は、航空宇宙、防衛、自動車、化学、エネルギー、金融サービス、政府機関、法律関連、製造、メディア、軍、半導体、ソフトウエア、テクノロジー、シンクタンク、非営利団体など多岐にわたる。マイクロソフトのクラウドサービスで、組織ごとに設ける利用環境「テナント」のうち、2250以上に影響が及んだ。

Storm-0940の攻撃手法と経緯

マイクロソフトによると、Storm-0940は10月10日から14日にかけ、ARTEXを使って8組織の327アカウントにパスワードスプレー攻撃を仕掛けた。ログインの失敗回数は計15万回を超え、最も多い時には1分間に2900回に達した。大量のログインを試みることで、防御システムの働きを妨げる狙いもあったという。

続く10月15日から16日にかけて、同集団はシステムの弱点を悪用し、コネクトワイズのクラウド上のバックアップ環境への侵入に成功した。また、同様の手法で2250以上のテナントへのログインを試みた。

その後、一部の被害組織では、外部のサービスなどにアクセス権限を与える仕組み「OAuth」を使ったアプリを通じて、利用者や権限を管理するクラウド上の仕組みに、不正な侵入口となる「バックドア」を設けた。これにより、強い操作権限を維持できるようにした。こうしたバックドアは取り除くのが難しい。

マイクロソフトは、一部の攻撃では標的を選んでから強い操作権限を得るまで、3時間もかからなかったと指摘した。コネクトワイズも10月16日にシステムに弱点があることを公表し、緊急停止した。

コネクトワイズのマニー・リベロ最高経営責任者（CEO）は声明で、マイクロソフトの分析と自社が確認した証拠から、中国共産党の支援を受けるStorm-0940が同社のクラウド環境を攻撃したと明言した。システムは段階的に復旧させているものの、完了には数日かかるとしている。

リベロ氏は「これらの対応だけでは、顧客ごとのテナントに攻撃者がすでに確保しているアクセス手段を取り除くことはできない。別途、調査と対応が必要だ」と説明した。そのうえで、顧客に対し、当面は接続を無効にしたままにするよう勧めた。

日本と韓国でもARTEXを悪用した攻撃

ARTEXは中国で開発され、今年7月にソースコードを公開した。システムに侵入できるかどうかを試し、安全性を確かめるためのツールである。さまざまなAIモデルと組み合わせることで、攻撃に必要な一連の作業を自動化できる。報告書で攻撃への悪用が指摘されたことを受け、開発者は10月8日、ソースコードを非公開にした。

Storm-0940がコネクトワイズを攻撃する前にも、ARTEXは日本や韓国の組織への攻撃に使われていた。アメリカのサイバーセキュリティー企業クラウドストライクによると、9月下旬から10月上旬にかけ、攻撃者がARTEXを使って韓国の新韓銀行やKB国民銀行など複数の金融機関を攻撃し、約6万8千人分の情報が流出した。

GMOインターネットグループ傘下のサイバー犯罪対策センターでセンター長を務める福森大樹氏は10月19日、日本企業への攻撃に使われたサーバーなどを調べた結果、ARTEXの使用を確認したと明らかにした。標的となった企業の業種は、電子商取引、金融、小売り、物流、メディア、教育、マーケティングなどに及ぶ。

福森氏によると、約80社が標的となり、大和証券、JR東日本、ソフトバンクなど、少なくとも8社の情報流出を確認できたという。

同センターは、2026年9月下旬から10月上旬にかけて韓国の金融機関を狙ったサイバー攻撃でもARTEXが使われたとして、「日本企業も同じ手法による攻撃を受けている疑いがある」と指摘した。

ただし、現時点で公表している報告書は、日本と韓国での一連の攻撃がStorm-0940によるものとは断定していない。各報告書では、中国と関係するハッカーが関わった可能性や、中国で開発したツール、中国語の操作画面が使われていたことを指摘している。

マイクロソフトの報告書について、ワシントンの中国大使館から回答は得られなかった。中国側はこれまでも、いかなるハッキング行為への関与も否定してきた。一方、マイクロソフトなどのテクノロジー企業や複数のサイバーセキュリティー機関は、Storm-0940を含む複数のハッカー集団が、中国共産党の指示を受けて活動しているとみている。