ConnectWiseのクラウドバックアップサービスが侵害され、顧客企業のMicrosoft環境にハッカーが侵入していた問題で、被害の規模が判明しました。Microsoftの調査によると、攻撃を受けた組織は約2,250に上るといいます。短期間でここまで広がった背景には、AIエージェントを使った攻撃手法があったとみられています。
Microsoft、ConnectWise侵害で約2,250組織への不正アクセスを確認
Microsoftのセキュリティ研究者は、中国と関連があるとされるハッカー集団が、IT管理・リモートアクセスサービスを手がけるConnectWiseのクラウドバックアップサービスに侵入したと報告しました。盗まれたのは、ConnectWiseと顧客企業の間でデータをやり取りするためのアプリケーション認証情報です。
この認証情報があれば、ハッカーは顧客企業のMicrosoftがホストする環境に、正規のユーザーであるかのようにログインできてしまいます。結果として、メールやその他のファイルへアクセスされた可能性があるとMicrosoftは説明しています。ConnectWiseのサービスは企業がデータのバックアップに使っているもので、侵害の起点はここにありました。
Microsoftによれば、ハッカーは約2,250の組織へ侵入しており、その際の試行回数は1分あたりおよそ3,000件のサインイン試行に達していたとされています。これほどの速度で攻撃が展開された理由として、Microsoftは「ARTEX」というオープンソースのAIフレームワークの使用を挙げています。ARTEXはAIモデルと連携してサイバー防御をストレステストするオープンソースのフレームワークで、同じソフトウェアは韓国の金融システムが侵害された際にも使われていたとされています。韓国の事例では、多要素認証を導入していない金融機関が複数あったことも報告されています。
Microsoftはこの攻撃速度について、「防御側が検知・対応する時間がほとんどない」と指摘しています。Microsoftは、こうした大量攻撃の速度をAIエージェントの使用に帰しており、毎分約3,000件という試行回数が防御側の検知・対応の時間を圧迫したと説明しています。
ConnectWise、クラウドバックアップのアクセスを一時停止し復旧作業へ
ConnectWiseは今回の侵害を受けて、クラウドバックアップシステムへのアクセスを一時停止し、調査を進めていると説明しています。報道があった木曜時点では、サービスの復旧作業が続いている状況でした。
確認できている事実の範囲は限られています。侵害の起点がConnectWiseのクラウドバックアップサービスであること、盗まれたのがアプリケーション認証情報であること、そして被害組織数が約2,250に上ること。これらはMicrosoftの調査結果として報告されています。一方で、盗まれたデータの具体的な中身や、個々の顧客企業がどのような被害を受けたかについては、今回確認した出典に記載がありません。ConnectWise側の復旧完了時期についても、木曜時点で「作業中」とされているだけで、確定した情報は示されていません。
AIエージェントが攻撃速度を押し上げたという指摘は、防御側の対応時間を圧迫する要因として語られていますが、それが具体的にどのような損害につながったかの評価は、現時点の報道からは読み取れません。規模の大きさと、対応の難しさという二つの軸で見ていく必要がありそうです。
用語補足：AIエージェント
ここでいうAIエージェントとは、AIモデルと組み合わせて使われるソフトウェアのことで、今回の報道ではARTEXというオープンソースのフレームワークが名指しされています。ARTEXはAIモデルと連携してサイバー防御をストレステストするオープンソースのフレームワークとされており、今回の攻撃ではこれが大量かつ高速なサインイン試行を可能にした要因として挙げられています。ただし、ARTEXがどのように設定され、どの部分を自動化していたのかという技術的な詳細までは、報道の範囲では明らかになっていません。「AIが使われた」という事実と、「どこまで自動化されていたか」という程度の問題は分けて読む必要があります。
注目ニュース
コドモン、PHP脆弱性への予防措置として全サービスを一時停止
保育・教育施設向けサービス「コドモン」を運営するコドモンは、PHPの「緊急」レベルの脆弱性2件を受け、修正版公開の約9時間前にあたる10月21日午後2時16分、全サービスの停止を告知しました。ITmedia NEWSの取材に対し、同社は不正アクセスや情報漏えいは確認されていないと説明しています。修正パッチ適用後、22日午前3時22分に主要サービスを再開しましたが、未登園児を検知する「所在確認アラート機能」のみ22日は終日停止し、23日から再開予定としています。同社は「万が一情報が流出した場合、その被害を完全に取り消すことはできない」として、未然防止を優先したと回答しています。
Uber、OpenAIの「ChatGPT Work」を3万人超の従業員へ展開
OpenAIによると、Uberは1,000人規模の試験導入を経て、オフィス業務向けAIエージェント「ChatGPT Work」を3万人を超える従業員に展開します。GmailやGoogle Drive、Slackと連携し、会議用資料の作成やスライド作成、データ分析などを担うもので、デフォルトではOpenAIが先月発表したモデル「GPT-6.1 Sol」が動きます。エンジニア向けにはコーディングツール「Codex」の利用が継続されます。Uberの最高技術責任者Praveen Neppalli Naga氏は、AI活用のためのツールを従業員に提供する狙いを語っています。同社は8月時点でAI支出の抑制方針を示しており、7月にはカスタマーサービス部門の10%を削減した際、AI活用との関連を初めて明言しています。
PSMC、2027年のファウンドリ価格を10〜20%引き上げへ
台湾のPowerchip Semiconductor Manufacturing（PSMC）は、2026年第3四半期の売上高が6億5,430万ドル（約1,030億円）に達し、前四半期比23%増となったと発表しました。ファウンドリ価格の上昇や平均販売単価の改善、稼働率の向上により、粗利率は28%から48%へ改善し、純利益は65億台湾ドルに上っています。AIサーバー向けのメモリや電源管理IC、先進パッケージングの需要が追い風となっており、同社は第4四半期も2桁の増収を見込むとともに、2027年にはファウンドリ価格をさらに10〜20%引き上げる方針を示しています。
Meta、ニューメキシコ州の訴訟で250億ドルの罰金
Metaはニューメキシコ州との裁判で、陪審が約4,400万件の州消費者保護法違反を認定した結果、250億ドル（約3兆9,300億円）の罰金を科されました。同州の司法長官Raúl Torrez氏は、Metaがほぼ全州の司法長官と結んだ180億ドル（約2兆8,300億円）の和解に加わらず、独自に裁判を続けていました。同州は当初400億ドル（約6兆2,900億円）規模の罰金を求めていました。米連邦地裁判事Francis J. Mathew氏は、Facebookとして知られていた時代から11年以上にわたり、データの管理や第三者によるデータ利用について繰り返し虚偽の説明をしてきたとする陪審の認定を支持し、同法が認める最高水準の罰金を科すと判断しました。Metaは過去のFTC和解金50億ドル（約7,860億円）に近い水準を望み、最大でも34億ドル（約5,350億円）程度を想定していたとされ、今回の判断を不服として控訴する方針です。
編集後記：防御側に残された時間という論点
今回の件で印象に残るのは、被害組織数の多さそのものよりも、Microsoftが強調した「防御側が検知・対応する時間がほとんどない」という一言です。1分あたり3,000件という試行回数は、人がログを確認して気づく前に次の侵入が進んでいく速度だと考えられます。ConnectWiseがクラウドバックアップのアクセスを止めて調査に入ったこと自体は妥当な初動に見えますが、復旧がいつ完了するのかは報道の時点でまだ見えていません。被害に遭った企業側が、自社のどのデータにどこまでアクセスされたのかを把握するには、ConnectWiseや関係当局からの続報を待つ必要がありそうです。