【10/23】ストーム0940とは｜MSが特定、ARTEXで数百組織を攻撃

米マイクロソフトは2026年10月21日（米国時間）、中国政府と関係する攻撃者「ストーム0940（Storm-0940）」が、AIエージェント型の侵入テスト基盤「ARTEX（アルテックス）」を使って、9月以降に世界の数百の組織を標的にしていたと公表しました。米IT企業コネクトワイズのクラウドバックアップが侵害された事件も、同じ集団によるものと評価しています。当サイトは10月20日に、国内の不正アクセスで使われたARTEXについて取り上げました。この記事はその続報として、ストーム0940とは何者か、マイクロソフトの発表で何が分かったのか、数字をどう読むか、日本企業への攻撃との関係はどこまで分かっているのかを、マイクロソフトの公式ブログと時事通信・朝日新聞・毎日新聞・TBSの報道をもとに整理します。

ストーム0940とは何か

ストーム0940は、マイクロソフトが「中国政府と関係する攻撃者」と位置づけ、2021年から追跡しているハッカー集団です。

マイクロソフトの10月21日の公式ブログによると、ストーム0940は複数の業界の組織を狙い、データを盗み出すことを目的に活動しています。これまでは、多くのアカウントに少ない回数ずつパスワードを試す「パスワードスプレー」や、インターネットに公開されたシステムの弱点を突く方法で入り込み、その後、既存のアプリに認証情報を追加して居座る手口を使ってきました（Microsoft Security Blog、2026年10月21日）。

「ストーム（Storm）」は、マイクロソフトが正体を調べている途中の集団に付ける仮の名前です。番号の付いた名前のまま公表されることも多く、ストーム0940も業界で広く使われる別名は無いとマイクロソフトは説明しています。

「中国政府と関係」はマイクロソフトの評価

中国政府との関係は、マイクロソフトが自社の分析で示した評価で、中国政府が認めたものではありません。

時事通信は、マイクロソフトがこの集団を「中国政府と関係する」と分析していると伝えました。一方、毎日新聞はロイター通信の報道として、在米中国大使館の広報担当者が「中国は法律に基づき、ハッキング行為を取り締まっている。同時に、サイバーセキュリティー問題を口実にした中傷や攻撃に反対する」とコメントしたと伝えています。

マイクロソフトの発表で何が分かったのか

ストーム0940が9月からAIでの攻撃を自動化し、世界の数百の組織を狙っていたことが分かりました。

マイクロソフトは、ストーム0940が「早ければ9月から」ARTEXを使い始め、幅広い業界の数百の組織を標的にしたとしています。朝日新聞は、AIが攻撃を速め、守る側が異常を見つけて対応するまでの時間を短くしているとマイクロソフトが警告したと報じました。

標的を選んでから3時間未満で重要な権限を奪った例

マイクロソフトは、標的を選んでから特権アクセスを得るまで3時間未満だった例が複数あったと発表しました。

ここでいう特権アクセスは、クラウドの基盤を管理できる強い権限のことです。マイクロソフトは「複数の例」とだけ書いており、全体のうち何件がそうだったのかという割合は示していません。また同社は、標的の大半では攻撃が成功しなかったとも書いています。速さの例は、成功した一部の攻撃についての記述として読む必要があります。

狙われた業界は防衛・半導体・自動車など14分野

標的は航空宇宙・防衛から半導体、自動車、金融、政府機関、メディアまで幅広い業界に及びます。

マイクロソフトのブログに挙がった業界を、日本語で並べると次のとおりです。

国の安全と経済の土台にあたる業界が並んでおり、単なる金銭目的の犯罪とは狙いの重心が違うことが読み取れます。

ARTEXとはどんなツールか

ARTEXは、AIに偵察から侵入、データの持ち出しまでを自動でやらせる、侵入テスト用の枠組みです。

侵入テストとは、本来は企業が自社のシステムの弱点を確かめるために、わざと攻撃を試すことです。マイクロソフトは、ARTEXを「どのAIモデルでも使えるオープンソースの侵入テスト基盤」と説明しています。複数のAIエージェントが分担して働き、見つけた資産や弱点をつなぎ合わせて次の手を選ぶ仕組みで、画面の言語は英語のほか、韓国語・中国語・スペイン語・日本語に切り替えられるといいます。

中国で開発され、10月に非公開へ

韓国の中央日報英語版は、ARTEXは中国で開発され、開発者が悪用を理由に非公開化を発表したと報じました。

中央日報英語版（10月10日）によると、ARTEXは7月に公開されたオープンソースのツールで、開発者はGitHub上で「Autumn-27」と名乗っています。開発者は「ツールの悪用」を理由に、今後は公開版の更新や保守をやめ、非公開にすると発表しました（Korea JoongAng Daily）。マイクロソフトのブログ自体は、開発者の国籍には触れていません。

同じ記事は、米セキュリティー企業クラウドストライクが、韓国の金融機関への攻撃でARTEXとアンソロピックの「Claude Code」が使われ、容疑者は中国・広東省の26歳の男性とみられると述べたと伝えています。この男性は関与を否定し、身元を盗まれたと主張しているとされます。

時事通信は「中国系AIツール」と報道

時事通信はARTEXを「中国系の人工知能（AI）ツール」と表現し、毎日新聞も「中国系」と書いています。

時事通信は「中国系の人工知能（AI）ツール『ARTEX（アルテックス）』」、毎日新聞は「指示を与えるだけで自律的に作業をこなす中国系AIエージェント」と書きました。朝日新聞は「本来はシステムに侵入できるかを試して安全性を点検する公開ツール」と説明しています。呼び方は媒体によって違いますが、もともとは守る側のための道具で、それが攻撃に転用されたという点は共通しています。ARTEXそのものの詳しい説明は、当サイトの「中国製AI「ARTEX」とは｜日本企業約20社を標的・政府の対応」にまとめています。

コネクトワイズの侵害とは何だったのか

多くの企業が使うバックアップサービスの「鍵」が奪われ、その鍵で顧客のクラウド環境に入られた事件です。

コネクトワイズは、IT管理を請け負う会社などに向けて、マイクロソフト365のデータを保管する「コネクトワイズ・クラウドバックアップ」を提供しています。マイクロソフトによると、ARTEXで動くAIエージェントは、このサービスに使われていた複数のアプリの身元（認証情報）を手に入れ、その正規の権限を使って顧客の環境にログインしました。一部の環境では、その後に偵察やアプリの認証情報の書き換え、権限の変更まで行われていました。

流れを順に並べると、次のようになります。

パスワードスプレーとコネクトワイズの侵害は、同じ集団が短い期間に行った別々の活動です。マイクロソフトは10月10〜14日のパスワードスプレーで認証の成功を確認しておらず、前の段階の結果が後の侵害につながったとは説明していません。

マイクロソフト自身の製品の欠陥ではない

マイクロソフトは、今回の活動は自社のシステムや製品の侵害、弱点によるものではないと説明しています。

入口になったのは、顧客が自分で許可していた外部サービス（コネクトワイズのアプリ）の権限でした。米セキュリティー専門メディアのサイバースクープによると、コネクトワイズは攻撃を受けてサービスを一時止め、段階的に再開を進めていました（CyberScoop、10月21日）。英ITメディアのITプロは、コネクトワイズが10月17日に保護措置としてクラウドバックアップへの接続を止めたと伝えています（ITPro）。

発表の数字はどう読めばよいのか

「毎分2,900回」「327アカウント」「2,250超のテナント」は、それぞれ別の場面の数字で、足したり比べたりできません。

報道では数字がまとめて紹介されることが多いため、何を数えた数字なのかをマイクロソフトのブログに沿って分けておきます。

「数百の組織」「327アカウント」「2,250超のテナント」は、狙われた・試された規模を示す数字です。一方「3時間未満」は、実際に特権アクセスを得た成功例についての数字で、性質が違います。マイクロソフトは複数の顧客環境でログイン後の活動も確認していますが、侵入された顧客の数は明らかにしておらず、ログインの成功がそのままデータを盗まれたことを意味するわけではないとも説明しています。

時事通信の「1分間に2,900回」はコネクトワイズの件

時事通信が伝えた「1分間に2,900回ものログイン試行」は、コネクトワイズへの不正アクセスに関する数字です。

マイクロソフトのブログでは、10月11日のパスワードスプレーのピークも毎分2,900回の失敗と記されています。同じ「2,900回」が2つの場面に出てくるため、記事やSNSで引用されるときに混ざりやすい点に注意が必要です。

日本企業への攻撃との関係はどこまで分かっているのか

国内の攻撃でもARTEXが使われていましたが、ストーム0940が関わったかどうかは分かっていません。

GMOインターネットグループ傘下のGMOサイバーセキュリティ by イエラエは10月19日、日本企業を狙う不正アクセスの攻撃元を調べ、ARTEXの使用を確認したと公表しました。時事通信は、この調査で日本の金融や物流などの企業を標的とした攻撃でもアルテックスが使われていたと報じています。

ただしTBSは、マイクロソフトが指摘したハッカー集団が日本企業への攻撃に関与したかどうかは明らかになっていないと伝えています（TBS NEWS DIG）。毎日新聞も、マイクロソフトの発表では日本企業への攻撃は明らかになっていないとしました。ARTEXは公開されていたツールで、マイクロソフトも複数の地域の攻撃者が使っているとしています。「同じ道具が使われた」ことと「同じ集団がやった」ことは別の話です。

政府も被害企業から聞き取り

政府は被害を受けた企業などから聞き取りを行い、AIの悪用があったかを調べています。

共同通信の配信によると、古川俊治デジタル相は、政府として被害企業などに聞き取りをし、AIの悪用の有無などを分析していると述べました。10月20日には木原官房長官が、外国の主体による可能性も含めて解明に努める考えを示しています。

日本との関係が確定していないことを踏まえたうえで、この発表を日本の立場からどう見るべきかを考えます。

日本にとって何が問題なのか

日本の経済安全保障でも重要な業界が世界的に狙われ、AIによる高速化で守る側の時間が圧迫されている点です。

マイクロソフトが挙げた標的の業界は、防衛・半導体・自動車など、日本の経済安全保障で守るべき分野とほぼ重なります（日本の該当企業がストーム0940に攻撃されたかどうかは分かっていません）。そして、標的を選んでから3時間未満で重要な権限を奪われた例があるという事実は、守る側が異常に気づいて対応するための時間の余裕が、きわめて短くなりうることを示しています。

（編集部分析）今回の件は、中国政府と関係するとされる集団が、AIを使って攻撃の手間と時間を一気に減らしたことを示しています。日本では2025年に能動的サイバー防御の法律が成立し、攻撃元のサーバーに踏み込む体制づくりが始まりましたが、AIが数時間で侵入を終えるなら、通報を待ってから動く仕組みでは間に合わない場面が増えると考えられます。自国の重要な企業を自国で守れるかという、主権に関わる問題として捉える必要があります。

（編集部分析）入口が「信頼していた外部サービスの権限」だった点も見逃せません。便利さのために海外のクラウドや管理サービスへ広い権限を渡している企業では、その一つが破られれば、自社に落ち度がなくても中まで入られるおそれがあります。誰に、どこまでの鍵を預けているのかを、経営の問題として棚卸しすることが求められます。なお、中国共産党の体制とつながる攻撃と、中国の一般の人々や在日中国人とは分けて考えるべきで、これを国籍への偏見に結びつけてはいけません。

企業と利用者は何を確かめればよいのか

コネクトワイズのクラウドバックアップを今または過去に使った企業は、まず自社が対象かを確かめます。

マイクロソフトは、コネクトワイズのアプリを導入したり許可したりしたことのあるすべてのテナントで、表示名ではなく対象のアプリIDで照合するよう求めています。今は使っていなくても、過去に接続していた環境も対象です。そのうえで、次の対策を示しています。

• コネクトワイズの公式の注意喚起と復旧の案内を確かめ、影響を受けたアプリの接続は案内があるまで止めたままにする
• 慌ててアプリを削除せず、先に設定と証拠（ログ）を保存する
• 少なくとも10月15日以降、記録があれば10月1日以降のログイン記録を見直す
• 新しい認証情報や管理者の追加、権限の変更が無いかを監査記録で確かめる
• 外部アプリに渡している権限を必要最小限にする

コネクトワイズを使っていない一般の利用者が直接できることは多くありませんが、取引先や利用しているサービスから情報漏えいの通知が届いたときは、その案内に沿ってパスワードを変え、通知を装った不審なメールやSMSのリンクを開かないことが大切です。

最後に、この発表について多く寄せられそうな疑問をまとめます。

ストーム0940とARTEXのよくある質問

検索で多く調べられそうな疑問に、短く答えます。

新しい発表があれば、この記事に追記します。

参考情報

• Microsoft Security Blog「AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise」（2026年10月21日）
• CyberScoop「Microsoft pins ConnectWise supply-chain attack to China-state aligned threat group」（2026年10月21日）
• Korea JoongAng Daily（2026年10月10日）
• ITPro「ConnectWise breach」
• TBS NEWS DIG「中国政府系ハッカー集団がサイバー攻撃か 世界中の企業など標的に 米マイクロソフトが発表」（2026年10月23日）
• 時事通信「中国政府系がサイバー攻撃　AI『アルテックス』使用　米MS」（2026年10月23日）
• 朝日新聞「中国政府系ハッカー集団、AIで数百組織を攻撃　マイクロソフト発表」（2026年10月23日）
• 毎日新聞「中国政府系ハッカー集団、AIでサイバー攻撃　マイクロソフト確認」（2026年10月22日）