ConnectWiseのサプライチェーン攻撃はARTEX AIエージェント使った中国ハッカーによるもの：マイクロソフトが指摘

佐々山 Tacos

2026.10.23

[開く][閉じる]

ConnectWiseのサプライチェーン攻撃はARTEX AIエージェント使った中国ハッカーによるもの：マイクロソフトが指摘

ConnectWiseのサプライチェーン攻撃はARTEX AIエージェント使った中国ハッカーによるもの：マイクロソフトが指摘

The Record – October 23rd, 2026

ConnectWiseに対する最近のサプライチェーン攻撃は、中国政府と関連するハッキンググループStorm-0940によるものであるとの評価をマイクロソフトが公表。同社によれば、Storm-0940はAIペンテストツールフレームワークのARTEXを使用し、世界各地の組織を侵害しようとしているという。

ConnectWiseは、10月16日頃から同社サービス「Cloud Backup」に影響を与えるサプライチェーン攻撃を受け、Cloud Backupを含む複数のサービスの提供停止を余儀なくされていた。攻撃者は、Cloud Backup環境内のアプリケーションアイデンティティへ不正にアクセスし、複数顧客のMicrosoft 365テナントを侵害したとされている。

関連記事：ConnectWise通じたサプライチェーン攻撃でMicrosoft 365テナントが侵害される

マイクロソフトによれば、公に報告されているConnectWise関連のIPアドレスに基づき、このサプライチェーン攻撃をStorm-0940に関連づけることができたという。同社は、Storm-0940がこの攻撃でARTEXを使用し、スキャン・偵察・パスワードスプレーのほか、下流の被害者におけるOAuthアプリケーションの悪用を加速させていたと述べている。

Storm-0940は、ConnectWise Cloud Backup環境内のアプリケーションアイデンティティへ不正にアクセスした後、ARTEXを使用して2,250件超のテナントへのサインインを試行。サインイン試行は毎分2,900回と、人間の防御担当者では検知や対応がほぼ追いつかないようなペースだったとされる。マイクロソフトは、OAuthアプリケーションの悪用はStorm-0940のツールセットの典型的な構成要素であるとしながらも、「今回のケースでは、同アクターはARTEXを使うことで活動をマシンスピードの水準まで加速させた」とコメントしている。ただし、こうした試行の多くは失敗に終わっていたとされる。

ARTEXは、およそ2か月前にリリースされたエージェント型ペネトレーションテストツール。開発者は「Autumn-27」として知られる人物で、当初はオープンソースツールとしてGitHub上で公開されていた。しかし、韓国や日本の金融機関を狙った複数の攻撃でARTEXが悪用されているとの報道があり、10月8日にAutumn-27は、同ツールをクローズドソースにすると発表。ARTEXは学習や調査のために作られたものであり、攻撃への悪用は本来意図されている用途に反していると述べた。今後ARTEXプロジェクトはアップデートされず、新たなバージョンのリリースやメンテナンスサポートも提供されない予定とされる。

関連記事：AIペンテストツールARTEXを使用した韓国金融機関への攻撃について、クラウドストライクが詳細を報告

マイクロソフトによれば、Storm-0940は2026年9月にはARTEXを使い始めていたとされる。同グループはこのツールを使い、航空宇宙、防衛、自動車、化学、エネルギー、金融サービス、政府、法律、製造、メディア、軍事、半導体、ソフトウェア、テクノロジー、シンクタンク、NPOなど多様な業界の数百の組織をグローバルに狙い、攻撃を自動化していたという。ARTEXを活用した攻撃のうち、数件においてStorm-0940は組織のクラウドインフラへの特権アクセスを獲得したとマイクロソフトは指摘。この中には、攻撃開始から特権アクセス取得までが3時間足らずで行われた事例も複数あったとされる。

中国政府と結びついたアクターとされるStorm-0940は、2021年から活動を続けており、多岐にわたる業界の組織を標的としてデータ窃取を行っている。同アクターは、これまでパスワードスプレー攻撃やインターネットに公開されているアプリケーションの脆弱性を悪用して初期アクセス権を取得し、その後、乗っ取ったアカウントを利用して標的の環境内を移動する手法を使用してきた。同アクターによるARTEXを使用した活動は、「広範な標的を持つ脅威アクターが、エージェント型AIツールと特権認証情報を用いて、多数の組織に対して迅速に侵害を試みることができること」を示しているとマイクロソフトはコメント。観測された攻撃試行の大半は失敗していたものの、多くの組織においてごく短時間のうちにクラウド環境での特権的な永続化が実現されていたと指摘した。