本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
マイクロソフトは2026年10月21日公開の分析で、中国国家と連携していると同社が評価する攻撃集団「Storm-0940」が、複数のAIエージェントを使う「ARTEX」で世界の数百の組織への攻撃を自動化したと発表した。また、既に公表されていたConnectWiseのマルチテナントアプリケーション侵害も、同集団によるものと評価した。
AIエージェントによる攻撃、特権アクセス獲得まで3時間未満の事例も
今回の分析は、ConnectWiseの侵害について、攻撃主体の評価と自動化の観測結果を示したものだ。マイクロソフトによると、攻撃者は取得したアプリケーション認証情報と既存の信頼関係を利用し、顧客のMicrosoft 365環境に認証した。対話型のユーザーログインを必要としない仕組みだった。
攻撃に使われたARTEXは、複数のAIエージェントによって侵入テストを自動化するオープンソースの枠組みだ。マイクロソフトは、複数の事例で、標的化からクラウド環境の特権アクセス獲得までが3時間未満だったと報告した。
同社の分析では、標的化の大部分は成功しなかった一方、多くの組織で特権的なクラウドアクセスを継続して確保する状態が成立した。サインインの試行先は2,250超のテナントに及ぶが、これは侵害に成功した件数ではなく、標的となった数百の組織とも異なる集計だ。また、認証に成功しただけで顧客データへのアクセスや持ち出しがあったことを意味するものではない。
マイクロソフトは、この活動が自社のシステム、製品、サービスの侵害や脆弱性に起因するものではないと説明している。
ConnectWiseは段階的復旧を開始、顧客環境の調査は継続
ConnectWiseは公式ステータスページで、Cloud Backup環境のアプリケーションIDへの不正アクセスを確認し、保護措置として接続を停止したと公表した。10月17日には対象の接続を無効化し、証明書を失効させたと説明している。
その後、同社は10月21日にサービスの段階的な復旧を開始したと発表した。22日00時45分（UTC）の更新でも復旧作業が進行中と説明し、完了まで数日を見込んでいる。影響を受けた接続については、正式な再接続の案内があるまで無効のままにするよう求めている。
ただし、別の認証情報や権限変更によって確保されたアクセスは、元の接続を停止しても残る可能性がある。ConnectWiseも、顧客テナント内の変更には別途調査・修復が必要だとしている。
同社は、暗号化されたバックアップ保管領域へのアクセスの証拠はないと説明する一方、自社の調査だけでは顧客のMicrosoft 365環境内の不正活動を判断できないとしている。サービスの復旧が進んでも、顧客側の環境については引き続き確認が必要だ。
