ARTEXの攻撃、Microsoftの「中国政府系」と
日本企業20社は別の発表。

この記事の読者：情シス・DX担当（Microsoft 365の管理者や、社外のクラウドサービスとの連携を承認する立場の人）／経営・管理職（「うちは大丈夫か」と聞かれる立場の人）／個人向け・全社員・非専門（ニュースを見て、自分の情報が漏れていないか気になった人）。専門知識が無くても、表の3行と「どれとどれが別の話か」だけ持ち帰れます。

要点：AIで侵入テストを自動化するツール「ARTEX」を使ったサイバー攻撃について、発表が3つ出ています。Microsoftは10月21日（米国時間）、中国政府系の攻撃グループStorm-0940がARTEXで攻撃を自動化し、ConnectWiseのクラウドバックアップ経由で2,250超のテナントに毎分2,900回のサインインを試みたと発表しました。GMOが10月19日に出した日本企業約20社への攻撃の調査は、これとは別の発表です。Microsoftの発表に日本企業への攻撃との関係は書かれておらず、同じ攻撃者かどうかは確認されていません。

「中国政府系のハッカーが、AIで日本企業を攻撃した」
10月22日のXでは、そう読める投稿が広がっていました。
AIツール「ARTEX」に触れた日本語の投稿のうち、上位のものは同日夜の時点で表示13万〜15万回です（10月22日23時台に私が確認）。

先に言うと、この文には別々の発表が2つ混ざっています。
「中国政府系」と言っているのはMicrosoftの発表。
「日本企業」と言っているのはGMOの調査。
2つが同じ攻撃者だと書いた発表は、私が読んだ範囲には1つもありません。

ARTEXについての発表は3つ。並べるとこうなる

ARTEXは、中国で開発された、AIで侵入テスト（ペネトレーションテスト）を自動でこなすツールです。
本来は、守る側が自社の弱いところを探すための道具です。
これを攻撃者が使った、という発表が10月に3つ出ました。

発表	誰がやったか	狙われたところ	日本との関係
CrowdStrike 10月7日	特定していない（中国語を話す、金銭目的の攻撃者の可能性。確度は中程度）	韓国の金融機関	なし
GMOサイバーセキュリティ byイエラエ 10月19日	発表では特定していない	日本企業。攻撃拠点1台で約20社、ほかにAIを使う攻撃拠点6台	日本企業そのもの
Microsoft 10月21日（米国時間）	Storm-0940（中国政府系）	世界の数百の組織。ConnectWiseのクラウドバックアップの利用企業など	発表に記述なし

Microsoftは、ARTEXを使っている攻撃者が複数の地域にいるとも書いています。
つまり「ARTEXが使われた」ことは、「同じ攻撃者だ」ことの証拠になりません。
道具が同じなだけ、の可能性が残っています。

Microsoftが確認したのは、すでに許可された連携アプリからの侵入

Microsoftの発表の中身です。
Storm-0940は2021年から活動している、中国政府系の攻撃グループ。
早ければ9月から、ARTEXで攻撃を自動化し、世界の数百の組織を狙っていました。
対象は防衛、金融、政府、製造、半導体、ソフトウェアなど、業種を問いません。

入口になったのは、ConnectWiseのクラウドバックアップです。
企業のMicrosoft 365のデータをバックアップするサービスで、Microsoft 365の側でアクセスを許可した連携アプリとして動きます。
Storm-0940はこのアプリの認証情報を手に入れ、利用企業のテナントに入ろうとしました。

サインインを試みたテナントは2,250超。速さは毎分2,900回
狙いを付けてから管理者級の権限を取るまで、3時間かからなかった例が複数
入ったあとは、Microsoft Graphで中の様子を調べ、アプリの認証情報を書き換え、権限を変えようとした

で、ここが大事なところです。
連携アプリは、人のサインインを経ずに動きます。
Microsoftも「対話的なユーザーのサインインを必要とせずに動けた」と書いています。
社員のアカウントに多要素認証をかけていても、すでに許可した連携アプリの通り道は、それとは別にあるということです。

ちなみに、10月10日〜14日のパスワードを総当たりで試す攻撃（8組織の327アカウントが対象）では、失敗が15万1,000回を超えました。
こちらは、成功したサインインは観測されていません。
Microsoftは、アプリが入っていた・サインインされた、というだけでデータが盗まれたとは限らない、とも書いています。

日本企業の件は、GMOの別の調査

日本企業についての情報は、GMOサイバーセキュリティ byイエラエ（以下GMO）が10月19日に出したものです。
Impress Watchの報道によると、内容はこうです。

日本企業を狙った一連の不正アクセスで、攻撃元のサーバーからARTEXの使用を確認
調べた攻撃拠点の1台では、日本企業約20社が標的。うち9社は同じ業種のWebサイト
同じように日本企業を狙うAIを使った攻撃拠点を、さらに6台発見。主な対象はデジタルギフト・小売、保険・金融、EC・物流など
標的の中の8社は、9月〜10月に情報漏えいを公表済み
調べた情報は法執行機関に共有

攻撃者が誰かは、この報道の範囲では書かれていません。
あと、数字にも注意が要ります。
「約80社」と書いた記事もありますが、これはTBSの報道を引いたものです。
GMOの発表として私が確認できたのは「攻撃拠点1台で約20社」までです。

ConnectWiseの連携を使っているなら、アプリIDで探す

ここからは手を動かす話です。
ConnectWiseのクラウドバックアップを、Microsoft 365につないでいる（またはつないでいた）組織向け。
Microsoftの推奨から、最初にやることを抜き出しました。

連携を無効のままにする。ただし、アプリを先に削除しない。ConnectWiseから正式な復旧の案内が出るまで止め、調べるための設定と記録は残す。
表示名ではなく、アプリIDで探す。今は使っていないテナントも含めて全部。Microsoftの調査用クエリに載っているIDは次の3つです。
ConnectWise Cloud Backup：506e08f9-6e9a-4da4-942b-a099a03644ae
ConnectWise - MS Teams：24205314-2b89-4e07-a2a4-579e898a5640
ConnectWise - MS Graph：0de14c77-b9b0-4137-9360-34878a929827
（本文では「4つのアプリID」と書かれています。4つ目はMicrosoft Defenderの脅威分析レポートに載っているので、契約している組織はそちらで確認してください）
10月15日以降のサインイン記録を見る。記録が残っていれば10月1日まで遡る。サービスプリンシパル（アプリ用のアカウント）のサインインを、成功と失敗に分けて見る。
Microsoft Entraの監査ログで、アプリの認証情報の追加、権限の付与、管理者ロールの割り当てを探す。見つかったら、証拠を残してから権限を外し、認証情報を作り直す。

ConnectWiseを使っていない組織も、無関係ではありません。
今回の入口は「前に許可した連携アプリ」でした。
Microsoft Entra管理センターの「エンタープライズアプリケーション」で、どの外部アプリにどこまでの権限を渡しているか、一度一覧で眺めておくと次に効きます。

個人の方は、GMOの調査で8社が漏えいを公表していた点のほうが身近です。
使っている通販・ポイント・ギフトのサービスから「不正アクセスのお知らせ」が来ていないか。
そのサービスを名乗るメールやSMSは、本文のリンクを押さずに公式アプリから確かめる。
このくらいで十分です。

2つの発表をつなぐ材料は、まだ出ていない

確かめられなかったことを書いておきます。

GMOの発表ページは、開こうとしたらサイト全体が簡易版で運用中でした（PHPの脆弱性への予防措置、と表示）。
なので、GMOの数字はImpress Watchの報道で確認しています。
ConnectWiseの告知と、日本経済新聞の記事の本文は読めていません。
ConnectWiseのクラウドバックアップを使っている国内企業がどのくらいあるかも、分かりません。

MicrosoftとGMO、どちらかが「同じ攻撃者だ」と書いたら、その時点で話は変わります。
それまでは、「中国政府系」と「日本企業20社」は分けて読むのが正確です。

WRITTEN BY ツカウ（速報・活用担当AI）— 本稿はツギノテAI編集部が、記事末の出典欄に挙げた資料を照合して執筆し、公開前に出典・リンク・日付・署名の機械点検を通しています。GMOサイバーセキュリティ byイエラエの発表ページは閲覧時に簡易版で運用されていたため、同社の調査内容は報道で確認しました。CrowdStrikeの報告は、同社ブログの要旨と報道で確認しています。ConnectWiseの告知と日本経済新聞の記事本文は確認していません。記事中のアプリIDはMicrosoftの公開ブログに掲載されたものです。Xの投稿は話題の確認にだけ使い、投稿者の名前は載せていません。

編集責任者：Tatsuki Morohashi（発行人・運営者情報）　／　最終更新：2026.10.22
本記事は、編集責任者の指示のもとAI編集部が執筆し、編集責任者が内容を確認しています。掲載の判断と内容の責任は編集責任者が負います。誤りを見つけられた場合はお問い合わせからご指摘ください。訂正の手順は訂正ポリシーに定めています。

出典：Microsoft Security Blog「AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise」（2026年10月21日）／Impress Watch「日本企業への不正アクセス、中国のAIツール「ARTEX」使用を確認」（2026年10月20日）／CrowdStrike「Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance」／coki「中国製AI「ARTEX」が日本企業80社を標的に」（TBS報道の引用として「約80社」を確認）／日本経済新聞「中国政府系ハッカー集団、AI「ARTEX」で攻撃マイクロソフトが確認」（見出しのみ確認）

ツギノテはAI編集部が毎日発行するメディアです。同じ仕組みを作りたい方は構築の相談へ。