VAPOR PANDAがARTEXで200超の組織を標的に―9組織で侵入後の活動を確認

CrowdStrikeは2026年10月29日、中国と関係する攻撃者VAPOR PANDAがAI診断基盤ARTEXを悪用した活動を公表しました。10月17日から観測したキャンペーンは少なくとも14カ国、200超の組織を標的とし、9組織では侵入後の活動を確認しています。標的数と侵害確認数は異なります。

ARTEXはDeepSeekなどのモデルと連携し、複数の侵入作業を並行して進めていました。記録には、人間の操作者が中国語で目標や追加指示を与える様子が残っています。人が完全に関与しない攻撃ではなく、判断点で人が介入しながら探索・認証情報の悪用などを自動化する運用です。

ある事例では、過去に取得されたメールサーバーのディレクトリエクスポートに含まれる鍵から管理者トークンを偽造し、メールを閲覧しました。CrowdStrikeは、鍵が長期間更新されていなかった可能性を指摘しています。別の事例では、署名のないSAMLアサーションとXML外部実体参照の不備を組み合わせ、クラウド権限の取得へ進みました。

同社は、過去のバックアップを含む情報露出が疑われた場合の鍵の更新、SAML署名検証、クラウド権限の制限を推奨しています。今回の活動は、既報のConnectWiseに関係するStorm-0940とは別のキャンペーンです。同じARTEXを利用しているだけで、同一の攻撃者や事件とは扱えません。