Microsoft 365の2,250超テナントに攻撃試行 AI「ARTEX」でConnectWise認証情報を悪用
2026年10月25日 16:47
Microsoftは10月21日（米国時間）、中国国家と連携する攻撃グループ「Storm-0940」が、AIを使う侵入テスト用フレームワーク「ARTEX」を悪用し、ConnectWiseのクラウドアプリケーションを経由してMicrosoft 365の顧客環境を狙ったと発表した。攻撃の到達範囲は2,250超のテナントに及び、一部では権限変更や継続的なアクセスを確保する操作が確認された。
攻撃者は、各組織であらかじめアクセスを許可されていたアプリケーションの認証情報を利用した。現在または過去にConnectWise Cloud Backupや旧SkyKick製品を利用した組織には、アプリケーションの接続状態と、サインイン・権限変更の記録の確認が求められる。
■AIエージェントで偵察から侵入後の操作まで自動化
Microsoftによると、Storm-0940は遅くとも2026年9月にはARTEXを使い、世界の数百の組織を標的とする攻撃を自動化していた。標的には航空宇宙・防衛、自動車、化学、エネルギー、金融、政府、法律、製造、メディア、軍事、半導体、ソフトウェア、テクノロジー、シンクタンク、非営利組織が含まれる。
同グループによるARTEXを使った攻撃のうち、複数の事例で、最初の標的選定からクラウド環境の特権アクセスを得るまでが3時間未満だった。Microsoftは、多くの攻撃試行が失敗した一方、短時間で多くの組織に特権的なアクセスを維持する足場が築かれたとしている。
ConnectWiseを経由した攻撃では、AIエージェントがスキャンや偵察、パスワード攻撃、OAuthアプリケーションの悪用を加速した。一部の顧客環境では、Microsoft Graphを通じた情報収集、アプリケーション認証情報の変更、ユーザーやグループ、特権ロールに関わる操作が観測された。
Storm-0940は少なくとも2021年から活動し、データ窃取を目的として幅広い業種を狙ってきた。従来もパスワードスプレーやインターネット公開アプリケーションの悪用で侵入し、OAuthアプリケーションへの認証情報追加でアクセスを維持する手口を用いていた。
■ARTEXは複数のAIエージェントで作業を分担
ARTEXは、中国で開発された自律型の侵入テストシステムで、大規模言語モデル（LLM）を使って作業を進める。公開コピーの設計資料では、計画を立てるPlannerと、個別の作業を実行するWorkerが役割を分担する構成が説明されている。
システムは、標的となる資産の情報と、調査の経過や発見事項を別々のグラフで管理する。Plannerが共有タスクリストを更新し、Workerが実行履歴や蓄積した情報を参照することで、複数の作業を並行して進める仕組みだ。
公開資料によると、バックエンドはGoで実装され、Next.jsのフロントエンドとPostgreSQLを備える。こうした情報の共有と作業分担により、一つの環境で得た手掛かりを次の調査や検証につなげられる。
CrowdStrikeは10月7日、9月下旬から10月上旬にかけて韓国の金融機関を狙った別の攻撃で、ARTEXと複数のLLMが使われたと報告した。攻撃者側の公開ディレクトリからClaude Codeのセッション履歴や設定ファイルが見つかり、ARTEXの主要なLLMとしてDeepSeekが使われていたという。同社は、この攻撃者を中国語話者で金銭目的の可能性があると、中程度の確信度で評価した。
ロイターによると、GitHubで「Autumn-27」を名乗る開発者は10月8日、悪用を理由にARTEXの公開更新と保守を終了し、クローズドソース化すると表明した。Cloud Security Allianceは10月10日の調査ノートで、すでに流通したコピーや派生版が残る点を指摘している。
■事前に許可されたアプリケーションの権限を悪用
ConnectWiseは2024年9月にSkyKickを買収した。ConnectWise Cloud Backupは、企業のIT運用を請け負うマネージドサービスプロバイダー（MSP）が、顧客のMicrosoft 365などのデータをバックアップ・復元するために利用するサービスである。
Microsoft 365との連携では、顧客が自組織のテナント内でアプリケーションにアクセス権限を与える。バックアップ対象にはメール、OneDriveやSharePointのファイル、Teams、ディレクトリ情報などが含まれ、アプリケーションは許可された範囲でデータを扱う。
Sophosの分析によると、今回の攻撃では、攻撃者がConnectWise Cloud Backupのアプリケーションとして認証し、Microsoft Graphのアクセストークンを要求していた。この方式では、利用者のパスワードや対話的なサインインを使わず、アプリケーション自身の認証情報を使うため、ユーザー向けの多要素認証（MFA）の追加確認は発生しない。
複数の顧客が同じアプリケーションに同意している場合、その認証情報の侵害が顧客環境へ広がる入口になる。Sophosは、すでにバックアップ契約が有効でなくても、アプリケーションへの同意が残るテナントが走査の対象に含まれていたと報告した。
■パスワード攻撃の後にアプリケーション認証を観測
Microsoftは10月10～14日、攻撃側のIPアドレス「144.172.64[.]99」から、8組織の327アカウントを狙うパスワードスプレー攻撃を確認した。これは、少数のパスワード候補を多数のアカウントで試す手口である。
期間中のサインイン失敗は15万1,000件を超え、10月11日には毎分2,900件に達した。同日の失敗は11万1,000件超で、48アカウントにはそれぞれ1,000回超の失敗が集中した。Microsoftの観測では、このパスワード攻撃で認証成功は確認されなかった。
翌15日には、同じネットワーク範囲から、侵害されたConnectWiseアプリケーションの認証情報を使う顧客環境への認証が観測された。Huntressによると、同日6時13分～8時34分（UTC）には、テナントの識別子順に数秒間隔でトークンを要求する動きがあり、標的一覧を使ったスクリプトによる処理と整合していた。
Huntressは、その後の調査で、関連IPからサインイン活動があった約1,000テナントのうち、300超でサインインが成功したと報告した。また、政策、国家安全保障、貿易、重要鉱物分野の16テナントを絞り込んだ別の攻撃試行も確認した。該当アプリケーションが存在しない環境では、認証が失敗したという。
■別のアプリケーションに残る継続アクセス
Huntressは、ある顧客環境でConnectWise Cloud ManagementのTeams向けアプリケーションがGlobal Administratorロールを自ら付与し、別の二つのアプリケーションに新たな認証情報を追加したと報告した。追加されたクライアントシークレットの有効期限は2028年に設定されていた。
対象の一つは、その顧客専用のHuntressアプリケーションだった。Huntressは10月16日に不正な認証情報を発見して削除したとしている。
こうした認証情報は、侵入口となったConnectWiseの接続とは別の場所に残る。初期の接続を無効化した後も、他のアプリケーションに追加された認証情報や権限を調べ、個別に対処する必要がある。
Huntressは約50テナントで、ConnectWiseのCloud Management系アプリケーションが主にExchange Administratorロールを自ら割り当てた動きも確認した。これらにはConnectWiseの通常の自動処理と同じユーザーエージェントが使われており、同社はベンダー側の自動化に由来する可能性を示している。
■ConnectWiseは段階的なサービス復旧を準備
ConnectWiseは10月16日に最初の注意喚起を公表した。同社の技術資料によると、17日7時（UTC）に七つのアプリケーションIDを無効化し、関連する認証情報を失効させた。Cloud Backupに加え、連携するSaaS SecurityとCloud Managementも停止した。
10月24日14時（UTC）の更新では、証明書の交換を含む復旧作業、テスト、安全性の検証を週末に継続していると説明した。必要な確認を完了できれば、26日から段階的に利用者を受け入れる計画である。
まず既存バックアップからのデータ復元を可能にし、その後、サービス全体への再登録を順次進める方針だ。対象サービスに適用される正式な案内が出るまで、影響を受けたアプリケーション接続は無効のままにするよう求めている。
同社によると、既存のバックアップアーカイブは暗号化され、分離・保全されており、侵害を示す兆候は確認されていない。並行して、利用企業やMSPが管理する個々のMicrosoft 365環境の調査を続ける必要があるとしている。
■利用歴のある環境もアプリケーションとログを確認
ConnectWiseの技術ガイドは、現在利用している環境だけでなく、過去に対象製品を導入した顧客環境も確認するよう求めている。アプリケーションは表示名ではなくIDで照合し、各テナントのObject IDも記録する。
確認対象のアプリケーションIDは、Cloud Backupが「506e08f9-6e9a-4da4-942b-a099a03644ae」、Cloud Managementが「2399d300-6fca-4e6a-a686-399fefe75b83」である。Cloud Managementの各連携用IDは、MS Teamsが「24205314-2b89-4e07-a2a4-579e898a5640」、Exchange Onlineが「b78f6a77-d4e5-46fb-87e5-d1648bd02519」、MS Graphが「0de14c77-b9b0-4137-9360-34878a929827」、Partner Centerが「412dcf96-176d-4b3a-a1b0-4981ad66971e」、SharePoint Onlineが「b2b55f5b-7758-4719-8d8f-88ae172e6bdb」となる。
ガイドは、10月13日から現在までの記録を確認し、保存されていればサインイン調査を10月1日まで広げるよう案内している。関連IPは「144.172.64[.]60」「144.172.64[.]99」「144.172.64[.]128」で、成功と失敗を分けて確認する。
Microsoftが公表したユーザーエージェントには「Python-urllib/3.12」「python-requests/2.31.0」「python-requests/2.34.2」「curl/7.88.1」「azure-toolkit/1.0」がある。これらの情報を、実行したアプリケーション、操作内容、時刻、通常の管理作業の記録と照合する。
初動では対象接続を無効化し、アプリケーションの設定と証拠を保全する。続いて、認証情報の追加、管理者ロールの割り当て、ユーザーやグループ、条件付きアクセスポリシーの変更を調査し、不正な変更が見つかった場合は個別に修復する。データへの影響は、Microsoft Graphの活動記録やMicrosoft 365の監査記録などを組み合わせ、環境ごとに評価する。
■MSPを介した信頼連鎖と防御の見直し
MSPの管理ツールやバックアップサービスは、顧客の環境を運用するために広い権限を持つ。そのため、サービス提供側の侵害が複数の顧客へ波及するリスクを伴う。
2021年にはKaseyaのVSAを悪用したREvilのランサムウェア攻撃が起きた。Kaseyaは当時、直接侵害された顧客は60未満、下流で影響を受けた企業は1,500未満と公表した。今回も、複数の顧客につながる管理サービスの信頼関係が攻撃に利用された。
AIエージェントは、情報の蓄積と作業の並列化によって、攻撃者が多数の標的を調べる負担を下げ得る。防御側には、アプリケーションの権限を業務に必要な範囲に絞り、不要になった連携を整理するとともに、認証情報の追加や特権変更を継続的に監視することが求められる。
ファイブ・アイズのサイバーセキュリティ機関も、2026年6月22日の共同声明で、AIの急速な進歩により、サイバーリスクに関する従来の前提が数カ月で古くなる可能性を指摘した。防御へのAI活用に加え、侵害を想定した迅速な封じ込めと復旧を促している。
Microsoftは今回の活動に対応するDefender XDRの検出と調査用クエリを公開した。また、組織内のAI資産やリスクを把握するSecurity Dashboard for AIも提供している。利用企業は、検知から調査、接続の遮断、不正な認証情報の削除までの対応手順を整え、ConnectWiseの復旧案内に沿ってサービスを再開する必要がある。
元記事: China’s AI Agent Hacked 2,250 Microsoft 365 Tenants in Hours; MFA Didn’t Apply