Microsoft、ARTEX使う大規模攻撃を報告、許可済みアプリの確認を

Microsoftは2026年10月21日、AIで攻撃工程を自動化するオープンソースの侵入テスト基盤「ARTEX」を使った大規模攻撃を報告しました。同社は、ConnectWiseを経由して顧客環境へ侵入した活動を、中国国家と連携する攻撃主体「Storm-0940」によるものと評価しています。影響アプリを過去に導入・許可したMicrosoft 365の各テナントは、現在の接続状況だけでなく、認証情報や権限の変更履歴も確認する必要があります。

許可済みアプリを悪用、2,250超のテナントに到達

Microsoftによると、Storm-0940は2026年9月、世界の幅広い業種の数百組織を攻撃対象にしていました。標的選定からクラウドの特権取得まで、3時間未満だった例が複数あります。

ConnectWiseは2026年10月16日、複数のOAuthアプリIDによる顧客テナントへの不正アクセスを公表しました。OAuthは、アプリにアクセス権を与える仕組みです。テナントは、組織ごとに区切られたクラウドの利用環境を指します。

Microsoftによると、攻撃者はARTEXを使って2,250超のテナントに到達しました。顧客テナントへのサインイン試行は毎分2,900回に達しています。攻撃の大半は不成功でしたが、多数の組織で、強い権限を持つ継続的なアクセスを確保したとしています。

今回悪用されたのは、すでにアクセスを許可されたアプリです。攻撃者は、ユーザーが画面で操作するサインインを経ずに認証していました。利用者本人のサインインだけでなく、アプリによる認証も調査対象になります。

元のアプリに対処しても、不正な設定が残る可能性

Microsoftは複数の被害環境で、Microsoft Graphを通じた偵察や権限変更の試みを確認しました。継続アクセスのため、アプリの認証情報を変更した例も確認しています。こうした不正な変更は、元の侵害アプリに対処した後も、再侵入の入口として残る可能性があります。

一方、影響アプリが存在することや認証が成功したことだけで、データへの不正アクセスや流出があったとは判断できないと説明しています。アプリの有無、認証の成否、実際のデータアクセスは分けて調べる必要があります。

同社は、今回の活動がMicrosoftのシステム・製品・サービスの侵害や脆弱性に起因するものではないとも説明しています。Defender XDRでは関連活動の検知機能と、記録を検索する調査用クエリを提供しています。これらの日本での提供は、今回の発表には書かれていません。

影響する会社・しない会社

• 影響する: ConnectWiseの影響アプリを、現在または過去に導入・許可したMicrosoft 365テナントを持つ会社です。Microsoftは、該当する全テナントの確認を推奨しています。
• 影響する: 影響アプリへの対処をすでに終えた会社も、認証情報や権限の不正な変更が残っていないか確認が必要です。
• 影響しない: Microsoft製品を使っている全社が一律に今回の被害対象となる発表ではありません。ただし、影響アプリの利用履歴を確認せずに対象外とは判断できません。地域や企業規模による除外条件は、発表には書かれていません。

情シスが今日やること

1. 過去に許可したアプリまで確認する。 Microsoft 365の管理担当に、各テナントの企業アプリ一覧で、影響アプリを表示名ではなくアプリIDで検索するよう依頼します。現在の利用担当だけでなく、導入・連携設定を担当した人にも確認し、過去に許可した環境を調査から漏らさないようにします。
2. 削除せず、接続停止と証拠保全を進める。 該当する場合は、ConnectWiseの正式な復旧指示まで接続停止を続けます。初動で企業アプリは削除せず、設定とサインイン・監査記録を保全します。記録の出力完了を待って、緊急の封じ込めを遅らせないことがMicrosoftの推奨です。
3. サインイン記録の調査期間をそろえる。 調査担当に、少なくとも2026年10月15日以降を調べるよう伝えます。記録があれば、アプリの認証主体であるサービスプリンシパルのサインイン調査は2026年10月1日まで広げます。認証元の確認は、公開済みIPアドレスだけに限定しません。
4. 権限変更とデータアクセスを別々に調べる。 ディレクトリの監査記録で、アプリ認証情報の追加や権限付与を確認します。併せて、不審なメール・ファイルアクセスや転送設定を調べます。不審な活動があれば、不要な権限の取り消しと認証情報の更新を進めます。
5. 社内報告で「確認対象」と「被害確認」を分ける。 経営層や関係部門には、影響アプリの有無、認証成功、不正な設定変更、データアクセスの確認結果を分けて伝えます。アプリが見つかった段階で、情報流出が確定したと報告しないようにします。