ConnectWise侵害にARTEX悪用｜2,250超のテナントに試行

2026年10月21日（協定世界時）、Microsoft の脅威情報部門（Microsoft Threat Intelligence）は、米 ConnectWise のクラウドバックアップ製品を入口にした侵害の分析を公表しました。Microsoft は、中国の国家に沿う集団「Storm-0940」がこの侵害に関わったと評価しています。この集団は、ソースが公開されていた侵入テスト用のツール「ARTEX」を使い、サインインの試行や調べ上げを自動化していました。

Microsoft が示した「2,250を超えるテナント」は、サインインが試みられた Microsoft 365 の契約単位の数です。被害を受けた組織の数ではなく、侵害が成立した数は公表されていません。影響を受けうるのは、ConnectWise Cloud Backup（旧 SkyKick）の連携アプリを許可していた Microsoft 365 の環境です。運用代行事業者や販売代理店を通じて導入された環境も含まれます。

Microsoft が10月21日に発表した Storm-0940 の評価

Microsoft の分析の題名は、AIを使った国家主体の大規模な攻撃が、ARTEX によって取引先経由の侵害を可能にした、という趣旨です（原題は英語）。分析は Storm-0940 を、中国の国家に沿う集団と呼んでいます。原文の言い方は、国家に「支援された」ではなく「沿う」です。この集団は遅くとも2026年9月から ARTEX を使っていました。

そのうえで Microsoft は、最近公表された ConnectWise の複数の顧客にまたがるアプリの侵害について、Storm-0940 が関与したと評価すると記しました。評価の確信度を示す語や、帰属の根拠の詳しい説明は分析に載っていません。Microsoft は、Storm-0940 のほかにも複数の地域の攻撃者が ARTEX を使っていることを確認したと書いています。

Microsoft は分析の中で、この活動は Microsoft の企業システムの侵害や脆弱性から生じたものではないと明記しました。入口は、顧客が自ら許可していた外部製品の連携アプリです。

ConnectWise は10月21日22時（協定世界時）の更新で、Microsoft から共有された脅威情報を含む証拠に基づくと、中国の国家に沿う集団が攻撃に関与したとみられる、と書きました。同じ更新では、この集団が公開されているAIエージェントの仕組みを使い、作業を自動化して速めたと説明しています。

Cloud Backup が顧客の Microsoft 365 に置くもの

ConnectWise は、企業の情報システムの運用を請け負う事業者（運用代行事業者、MSP と呼ばれます）向けに、監視や遠隔操作の道具を提供する米国の会社です。入口になったのは、Microsoft 365 のメールやファイルをクラウドに保存するバックアップ製品「Cloud Backup」です。ConnectWise の告知によると、もとは SkyKick の名前で提供されていました。

この製品は、顧客の Microsoft 365 の中身を読み出すために、顧客の環境にアプリとしての通行証を登録して動きます。Microsoft 365 ではこれを「サービスプリンシパル」と呼びます。人のアカウントとは別に、アプリそのものがサインインしてデータに触れます。顧客の管理者が一度許可すると、その後は人の操作なしに動き続けます。

ConnectWise は10月17日7時（協定世界時）、7つのアプリの識別情報を無効にしました。内訳は Cloud Backup が1つ、利用者とライセンスを管理する Cloud Management が6つです。Cloud Management の6つは、本体と、Teams・Exchange Online・Graph・Partner Center・SharePoint Online の5つのサービス向けです。止まった製品は Cloud Backup と、監視と警告の SaaS Security、Cloud Management の3つです。識別子の一覧は ConnectWise の告知にあります。

ConnectWise は10月19日と20日の更新で、販売代理店や販売事業者、マーケットプレイスの事業者に対し、各顧客の管理者に案内を届けるよう求めました。

ARTEX：10月7日の CrowdStrike の報告と10月8日の作者の声明

ARTEX は、攻撃と同じ手順を試して自らのシステムの弱点を探す「侵入テスト」を、AIに進めさせるためのツールです。CrowdStrike は10月7日の報告で、ARTEX を中国で開発され最近公開された、ソースが公開されたエージェント型の侵入テストのツールと説明しました。

CrowdStrike が報告したのは、2026年9月下旬から10月上旬にかけて韓国の金融機関が狙われた件です。報告によると、攻撃者の ARTEX は主なAIモデルとして DeepSeek を使っていました。別の作業では、Zhipu AI の GLM-5.3 と Grok も使われました。CrowdStrike は攻撃者を特定の集団に結びつけていません。攻撃者は中国語話者で金銭目的の可能性が高い、という評価を中程度の確信度で示しました。

翌10月8日、ARTEX の作者は GitHub のプロフィールに中国語の声明を載せました。声明は、ARTEX が一部の悪意ある者に悪用されたと述べ、攻撃は作者と無関係だと書いています。そのうえで、今後は更新せず、ソースを非公開にすると表明しました。プロフィールの主なリポジトリの欄に ARTEX は表示されていません。ただ、リポジトリの現在の状態と、表明より前に取得された版の扱いは、声明とプロフィールからは分かりません。

9月から10月23日までの経緯

時刻は協定世界時で、日本時間は9時間を足します。

日付（協定世界時）	出来事
9月（遅くとも）	Storm-0940 が ARTEX を使い始める
10月7日	CrowdStrike が、9月下旬〜10月上旬に韓国の金融機関が狙われた件で ARTEX の使用を報告。攻撃者は特定の集団に結びつけず
10月8日	ARTEX の作者が更新の停止と非公開化を表明
10月10日〜14日	8組織の327アカウントにパスワードの大量試行。失敗は15万1,000回超。成功した認証は観測されず
10月11日	大量試行が最も多い日。失敗が1分あたり2,900回、1日で11万1,000回超
10月14日	ConnectWise が問題を発見し、調査を始める
10月15日 1時58分〜	連携アプリが自らに役割を付ける動き（約50テナント）。同日、侵害が公に報じられ始める
10月16日 17時47分	ConnectWise が最初の告知を公開。同日 Huntress も報告を公開
10月17日 7時	ConnectWise が7つのアプリの識別情報を無効化
10月19日	影響を受けた環境の全アカウントと認証情報を再設定。同日、GMO系が国内での ARTEX の悪用を発表
10月21日 18時23分	Microsoft が分析を公開。22時に ConnectWise が同じ見方を告知
10月23日 1時	ConnectWise が、週末までに検証を終え、復元の機能を来週の初めに戻す見込みと告知

10月14日から16日の3つの日付は、別々の出来事を指しています。10月14日は、ConnectWise が問題を発見した日です（同社の告知のよくある質問）。10月15日は、Microsoft が侵害が公に報じられ始めたと書く日です。Huntress が連携アプリの役割の変更を最初に記録した日でもあります。10月16日は、ConnectWise が最初の告知を出した日です。

ConnectWise の告知は、10月16日の初版から10月23日1時の更新まで、初版を含めて19の版が出ています。帰属の見方が加わったのは、Microsoft の分析が出た後の10月21日22時の更新です。韓国の件の報告と作者の声明は、どちらも10月14日より前に出ていました。

盗まれたのはアプリの認証情報：Huntress が記録した役割の付与

Microsoft によると、Storm-0940 は不正に得た連携アプリの認証情報を使い、顧客の環境にサインインを試みました。人のアカウントのパスワードを破ったのではありません。使われたのは、アプリに与えられていた正規の通行証です。アプリとしてのサインインは、普段見ている利用者のサインインの画面には出てきません。Entra（Microsoft 365 の認証の仕組み）では、サービスプリンシパルのサインインとして別に記録されます。

Huntress は10月16日の報告で、同社が見守る約50のテナントで、ConnectWise のサービスプリンシパルが自らにディレクトリの役割を付けたと報告しました。最初の記録は10月15日1時58分で、付けられた役割の多くは Exchange の管理者でした。1つのテナントでは、Cloud Management の Teams 向けのアプリが自らに全体管理者（Global Administrator）を付けました。そのアプリは、同じテナントの別の2つのアプリに新しい秘密の文字列を加えています。

Huntress は、Graph（Microsoft 365 の情報を操作するための窓口）を通じたディレクトリの読み取りは監査の記録に残らないと指摘しました。このため、データへのアクセスがなかったとは言い切れません。

Huntress は、10月15日の役割の変更と、その後の認証の動きを、同じ実行者に結びつけていません。前の段階の通信元が分かっていないためです。

影響を受ける範囲：「2,250」は何の数か

影響の範囲をめぐる数字は、出し手によって数えている対象が違います。Microsoft は、Storm-0940 が ARTEX を使って2,250を超えるテナントへのサインインを試みたと書いています。テナントとは、Microsoft 365 を契約している組織ごとの単位で、1社が1つ持つのが普通です。2,250は、アカウントの数でも、被害を受けた組織の数でもありません。

同じ分析で Microsoft は、狙われた範囲の大半は成功しなかったと書きました。一方で、Storm-0940 による攻撃のいくつかは強い権限のアクセスを得ています。侵害が成立した組織の数は公表されていません。各社が出した数字と、数えている対象は次のとおりです。

数字	数えている対象	出し手と時点
2,250超	連携アプリの認証情報でサインインが試みられたテナント	Microsoft（10月21日）
327	パスワードの大量試行の対象になったアカウント（8組織）	Microsoft（10月10日〜14日の分）
15万1,000回超	その大量試行の失敗。成功した認証は観測されず	Microsoft（10月10日〜14日の分）
162	不正なサインインを確認したテナント	Huntress（10月16日19時時点・同社の顧客の範囲）
約50	連携アプリが自らに役割を付けたテナント	Huntress（10月15日1時58分以降・同社の顧客の範囲）
約1,000	攻撃元の通信元からサインインの動きがあったテナント	Huntress（10月17日の更新・同社の顧客の範囲）
300超	そのうち成功したサインイン	Huntress（10月17日の更新）
7	無効にされた ConnectWise のアプリの識別情報	ConnectWise（10月17日7時）

Huntress の数字は同社の顧客の範囲のもので、全体の数ではありません。ConnectWise は10月23日の更新で、保存済みのバックアップは暗号化され隔離されたままで、侵害の兆候はないと書きました。ほかの ConnectWise 製品が影響を受けた兆候もないとの説明です。この2つは ConnectWise 側の話で、顧客ごとの Microsoft 365 の中で何が起きたかとは別の事柄です。

毎分2,900回と3時間未満：Microsoft が数字で示したAIの関与

Microsoft が数字で示した ARTEX の関与は2つです。1つは10月11日の試行の量です。パスワードの大量試行の失敗が1分あたり2,900回に達し、その1日だけで11万1,000回を超えました。もう1つは時間です。最初に狙ってから強い権限のアクセスを得るまでが、3時間未満だった事例が複数ありました。

ConnectWise は告知で、AIによって攻撃者は信頼された接続を機械の速さで試せるようになった、という Microsoft の表現を引きました。CyberScoop は10月21日の記事で、Storm-0940 が調べ上げを速めるために ARTEX を使ったと報じました。同じ記事は、複数の攻撃者が攻撃の速さを上げるために ARTEX を使っていると伝え、10月上旬からAIを使った攻撃の波が続いているという Microsoft の幹部の言葉も載せています。

増えたのは攻撃の回数です。短くなったのは、狙ってから強い権限を取るまでの時間です。使われた入口は、盗まれた連携アプリの認証情報と、強い権限を持ったままのアプリでした。どちらも、AIエージェントのツールが広まる前からある弱点です。大量試行の8組織327アカウントでは、15万1,000回を超える失敗の後も、成功した認証は観測されていません。

1つの認証情報で全顧客に入れる作り：原因として公表されていること

原因について公表されているのは、連携アプリの認証情報が不正に使われた、という段階までです。ConnectWise の告知のよくある質問によると、製品の脆弱性が関わったかどうかは確定していません。認証情報がもともとどう漏れたかも調査中です。

この種の連携アプリは、提供元の環境に置かれた1つの認証情報で、許可したすべての顧客の環境に入れる作りです。今回は、その認証情報の流出が、2,250を超えるテナントへのサインインの試みにつながりました。

ConnectWise は10月21日の更新で、国家主体の攻撃者が取引先の連鎖を狙う理由を書いています。1つの信頼された接続が、多くの組織への扉を開けるからです。

権限の強さも、被害の広がりに関わりました。Huntress の記録では、連携アプリが自らに Exchange の管理者や全体管理者の役割を付けていました。連携アプリは、自らに役割を付けられるだけの権限を持っていました。

CyberScoop が並べた2つの数字：報道と発表のずれ

CyberScoop は10月21日の記事で、Storm-0940 が ARTEX を使い、毎分2,900回のサインイン試行で2,250を超えるテナントに到達した、と書きました。Microsoft の分析の本文では、2つの数字は別の動きを数えています。2,250超は、連携アプリの認証情報で試みたテナントへのサインインです。毎分2,900回は、10月11日のパスワードの大量試行の失敗の数です。

分析の図1は、15万1,000超の失敗・2,250超のテナント・327アカウント・毎分2,900回の4つを1枚に並べています。図の説明は、これらを ARTEX による下流のテナントへの攻撃の一部と書いています。図だけを見ると、2,250のテナントに毎分2,900回の試行があったように読めます。本文では、2つの数字は別の期間の別の動きです。

CyberScoop の同じ記事は、327アカウントへの大量試行を別の作戦として紹介し、Microsoft が侵害された顧客の数を明かしていないことも書いています。報道の中でも、2,250と2,900を結んだ一文と、侵害の数は非公表という一文が並んでいます。

「中国の集団が実行」「Microsoft 365 が破られた」と発表の書き方

報道や投稿でよく見る要約の型と、発表の書き方の違いは4つです。1つ目は帰属です。要約では「中国の集団が実行した」となりがちです。Microsoft は中国の国家に沿う集団と評価し、確信度を示す語と根拠は載せていません。ConnectWise の告知も、関与したとみられる、という書き方です。

2つ目は、Microsoft 365 そのものが破られたという要約です。Microsoft は、自らの企業システムの侵害や脆弱性から生じたものではないと明記しました。入口は、顧客が許可した外部の連携アプリです。3つ目は、AIが攻撃を実行したという要約です。ConnectWise の告知は、公開されているAIエージェントの仕組みで作業を自動化し、速めたと書いています。入口は以前からある認証情報の悪用でした。

4つ目は、ARTEX を使う同じ集団が韓国・日本・ConnectWise を攻撃した、という要約です。Microsoft は複数の地域の攻撃者が ARTEX を使っていると書き、CrowdStrike は韓国の件を特定の集団に結びつけていません。同じ集団の一連の攻撃とは示されていません。ここで挙げた要約は、特定の媒体の見出しの引用ではありません。

韓国・日本の件と Storm-0940 を結ぶ記述はない

Microsoft の分析は、韓国の金融機関で個人データの漏えいが起きた件に ARTEX が結びつけられている、という公の報道に触れています。触れ方は、ARTEX がほかでも使われている例としてで、その件を Storm-0940 によるものとはしていません。CrowdStrike の10月7日の報告も、攻撃者を名前の付いた集団に結びつけていません。

国内では、GMOサイバーセキュリティ byイエラエが10月19日、日本企業を狙う不正アクセスで ARTEX の悪用を確認したと発表しました。ITmedia NEWS が10月20日に報じた内容です。記事によると、その攻撃元が狙っていた日本企業は約20社です。同じ約20社について、記事は2つの数字を伝えています。9社は同じ業種に属していました。8社は9〜10月に情報漏えいを公表していた企業です。2つの数字が重なる企業の数は、記事からは分かりません。

記事によると、観測できる範囲では、その攻撃元はほぼ日本だけを標的にしていました。同社は、日本企業を中心に狙うAIを使った攻撃用の基盤6台も見つけたと報じられています。Microsoft の分析によると、ARTEX は使う言語を韓国語・標準中国語・スペイン語・日本語に切り替えられます。

この日本の件を、Storm-0940 や ConnectWise の件と結びつける記述は、Microsoft の分析にも ConnectWise の告知にもありません。3つの件で共通して確かめられるのは、同じ ARTEX が使われたことまでです。攻撃者が同じかどうか、基盤が同じかどうかは、公表された情報からは分かりません。

10月7日の韓国の件と10月21日の評価の違い

韓国の件と ConnectWise の件は、どちらも ARTEX の名前で報じられています。発表された中身を並べると、狙われたもの、攻撃者の評価、入口がそれぞれ違います。

韓国の件で狙われたのは金融機関で、期間は9月下旬から10月上旬です。CrowdStrike は攻撃者を、中国語話者で金銭目的の可能性が高いと評価しました。根拠として、中国で開発されたツールと中国語の指示文を挙げています。主なAIモデルは DeepSeek でした。

ConnectWise の件で狙われたのは、連携アプリを許可していた Microsoft 365 のテナントです。Microsoft は攻撃者を、中国の国家に沿う Storm-0940 と評価しました。入口は ConnectWise の連携アプリの認証情報で、記録された動きは10月10日から15日にかけてのものです。CrowdStrike の評価は金銭目的の可能性に触れ、Microsoft の評価は国家との関係に触れています。

現時点で分かっていないこと

10月23日の時点で、Microsoft・ConnectWise・Huntress の発表に載っていない点、または調査中とされている点は次の7つです。

• 侵害が成立した組織の数：Microsoft は大半が失敗と書き、成立した数は出していない。ConnectWise は、下流の顧客の侵害は確認していないと書く
• 認証情報がどう漏れたか：ConnectWise が調査中。製品の脆弱性が関わったかどうかも確定していない
• データが読まれたか：Huntress は、Graph によるディレクトリの読み取りが監査の記録に残らないと指摘している
• 帰属の根拠：Storm-0940 と評価した根拠と確信度は、Microsoft の分析に載っていない
• 同じ実行者か：Huntress は、10月15日の役割の変更と後の認証の動きを同じ実行者に結びつけていない
• ARTEX の公開状態：作者は非公開化を表明したが、それより前に取得された版の扱いは分からない
• 復旧の時期：ConnectWise は週末までに検証を終え、復元を来週の初めに戻す見込みとする。確定ではない

ConnectWise は10月18日の更新で、Cloud Backup には、各顧客のテナントで不正な動きがあったかを独自に判断するだけの見え方がないと書きました。下流の顧客の侵害を確認していない、という ConnectWise の説明は、この見え方の範囲での話です。

ConnectWise・Microsoft・Huntress が利用企業に案内していること

ConnectWise は、利用企業と運用代行事業者に、告知に載せたアプリの識別子で連携アプリの有無を確かめるよう求めました。記録を見る範囲は10月13日から現在までで、サインインの記録は残っていれば10月1日まで遡るよう勧めています。販売代理店を通じて導入している場合は、各顧客の管理者に案内を届けるよう求めました。

Microsoft は分析に、Defender と Sentinel で今回の動きを探すための照会の例を載せました。そのうえで、照会の結果が空でもアクセスがなかったことの確認にはならないと書いています。Huntress は、連携アプリを無効にした後も、条件付きアクセスの例外にそのアプリが入っていないかを見直すよう勧めました。アプリの登録に秘密の文字列を持たせることを制限する方針にも触れています。

アプリの識別子と通信元の一覧、画面の場所は、ConnectWise の告知と技術ガイド、Microsoft の分析にあります。復旧の見込みは、ConnectWise が告知の更新で伝えています。

記録の保存期間：10月15日分は無料の契約では10月22日まで

ConnectWise は10月18日の更新で、Microsoft Entra の記録の保存期間を書いています。サインインと監査の記録は、無料の契約で7日、上位の契約（P1・P2）で30日保持するのが通常です。手元の監視基盤に書き出した記録は、それより長く残ることがあります。

日付に当てはめると、無料の契約では、10月15日の記録は10月22日で保存期間が終わります。10月23日の時点で残っているのは、おおむね10月16日以降の記録です。ConnectWise が示した10月13日からの範囲は、無料の契約では一部がすでに消えている可能性が高い状態です。

上位の契約なら、10月13日の記録は11月12日ごろまで、10月1日の記録は10月31日ごろまで残ります。Huntress が役割の変更を最初に記録した10月15日1時58分の前後も、上位の契約ならこの期間に入ります。

• 2026年10月23日（日本時間）までに公開された5つの資料で確かめた内容です。Microsoft の分析（10月21日公開）、ConnectWise の告知（10月23日1時の更新まで）、Huntress の報告（10月19日の更新まで）、CrowdStrike の報告、ARTEX 作者の声明です
• ConnectWise の告知は1日に複数回更新されており、復旧の時期や再接続の案内は変わる可能性があります
• GMO系の国内の調査は、公式ブログの本文を確認できなかったため、ITmedia NEWS の報道の内容として記載しています

まとめ

Microsoft は10月21日、ConnectWise のクラウドバックアップの連携アプリを入口にした侵害に、ARTEX を使う中国の国家に沿う集団 Storm-0940 が関与したと評価しました。入口は Microsoft の欠陥ではなく、顧客が許可していた連携アプリの認証情報です。2,250超はサインインが試みられたテナントの数で、大半は失敗しました。毎分2,900回は、10月11日のパスワードの大量試行の数字です。

ARTEX は韓国の金融機関や日本企業を狙った攻撃でも使われたと報告されています。ただ、それらが Storm-0940 によるものだとは示されていません。侵害が成立した組織の数、認証情報が漏れた経路、データが読まれたかどうかは、10月23日の時点で公表されていません。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。