ConnectWise侵害にAI診断基盤ARTEXを悪用―Microsoftが攻撃者と手法を分析

Microsoftは2026年10月21日、ConnectWiseの連携アプリ侵害を、中国政府と関係する攻撃者Storm-0940によるものと評価した分析を公開しました。既報の認証情報悪用に加え、AIを使う診断基盤ARTEXの役割と攻撃規模を明らかにしています。

攻撃者は盗んだアプリの認証情報で、2,250を超えるMicrosoft 365テナントへサインインを試みました。顧客があらかじめ許可していたアプリの権限を使うため、利用者本人のログインを必要としません。ARTEXは探索やOAuthアプリの悪用などを加速させていました。

一部環境ではMicrosoft Graphを通じた調査や、アクセスを維持するためのアプリ認証情報の追加、権限変更につながる操作も確認されました。一方、2,250超は試行先の数で、すべてで侵入やデータ流出が確認されたわけではありません。Microsoft製品自体の脆弱性によるものでもないとしています。

Microsoftは対象アプリを使った認証履歴と、その後の認証情報・権限変更の調査を求めています。元の連携を停止しても、攻撃者が追加した別の接続手段が残る可能性があるためです。証拠を保全して不正な変更を除去し、サービス再接続はConnectWiseの正式な復旧手順に従う必要があります。