米Microsoftは10月21日（現地時間）、中国国家と連携する攻撃集団「Storm-0940」が、AIエージェントを用いて攻撃を自動化し、世界の数百の組織を狙っていると発表した。10月中旬に判明した米ConnectWiseのクラウドバックアップサービスを経由するサプライチェーン攻撃も、同集団によるものと分析している。
攻撃に使われた「ARTEX」は、AIモデルと組み合わせることで偵察からデータの持ち出しまでを自動化できる、オープンソースの侵入テストツールだ。Microsoftによると、標的を選んでからクラウド環境の管理者級権限を得るまで、3時間かからなかった事例が複数あった。攻撃の大半は失敗したものの、短期間に多くの組織へ侵入し、継続的なアクセス権を確保したとしている。
ConnectWiseの件では、攻撃者がアプリの認証情報を奪い、顧客のMicrosoft 365環境で事前に付与されていた権限を悪用した。2250以上の組織の環境に毎分2900回のペースでサインインを試み、一部では新たな認証情報の追加や管理者権限の付与などを行った。Microsoftは、侵入の痕跡があってもデータの閲覧や持ち出しがあったとは限らないとしている。
Microsoftは、対象アプリを利用中または過去に利用した組織に対し、正式な復旧手順が示されるまで接続を無効に保ち、最初の対応としてアプリを削除しないよう求めている。少なくとも10月15日以降のサインイン記録や監査ログを調べ、不審な権限変更などがないか確認することも推奨している。
MARBLEの対応例：この件の場合
まず、ConnectWiseのクラウドバックアップサービスとMicrosoft 365の接続状況を確かめます。
- 対象サービスの現在または過去の利用と、Microsoft 365への権限付与を確かめる
- 対象アプリを削除せず接続を無効に保つ対応について、導入した会社に確かめる
- 10月15日以降のサインイン記録と監査ログで、不審な権限変更を確かめる
- 新たな認証情報の追加や管理者権限の付与がないかを確かめる
関係するサービス
※金額は一例です。システムの構成や規模、作業の範囲によって変わります。
出典
ITmedia NEWS「中国系攻撃者がAIエージェントで攻撃を自動化、「ConnectWise」のサプライチェーン攻撃に関与 Microsoftが警告」（2026年10月23日）
この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。
