この記事のポイント
- GMOイエラエが日本企業を狙う攻撃元で自律型侵入テスト基盤ARTEXの使用を確認した
- 一つの攻撃基盤では約20社が標的で、うち9社が同業種だった
- 標的、侵入成功、情報漏えいは別であり、約20社すべての被害が確定したわけではない
2026年10月27日にGMOサイバーセキュリティ byイエラエの調査記事と関連報道を確認した。攻撃基盤や個別企業を独自調査していない。画像はサイバー調査のイメージ写真である。
GMOサイバーセキュリティ byイエラエは10月19日、日本企業を狙った侵害事案の攻撃元インフラで、自律型ペネトレーションテストシステム「ARTEX」が使われていたことを確認したと公表した。ペネトレーションテストは、本来、許可を得てシステムへ侵入を試み、弱点を見つける検査である。
防御用の自動化技術でも、許可のない相手へ向ければ攻撃を速める道具になる。ARTEXは外部の大規模言語モデルと連携し、対象の調査や侵入手順を進める。人が一件ずつ操作する場合より、多数のサイトを同時に調べやすくなる。
数字が示す範囲
GMOイエラエが観測した一つの攻撃基盤は、ほぼ日本企業だけを狙い、標的は約20社だった。うち9社は同じ業種に属した。さらに、日本企業を中心に狙うAI利用の攻撃基盤を6台確認し、デジタルギフト、小売、教育、金融、EC、物流など、基盤ごとに主な業種が分かれていたという。
標的企業のうち8社は9月から10月に情報漏えいを公表していた。ただし、公開情報だけでは、ARTEXが各社の漏えいを直接起こしたことや、約20社すべてで侵入が成功したことまでは確定できない。会社名や個別の侵入経路も公開されていない。
「狙われた企業数」「侵入された企業数」「漏えいを公表した企業数」は同じではない。数字を足したり、対象すべてが被害企業だと読んだりしないことが重要である。
企業が優先すべき確認
AIという名称に注目が集まるが、入口になるのは公開サーバーの既知の弱点、設定ミス、認証情報など従来型の問題である場合も多い。まずインターネットに公開している機器とソフトウェアを一覧化し、更新状況、多要素認証、不要な管理画面の公開、異常なアクセス記録を確認する。自社名が非公開の標的一覧に含まれるか推測するより、侵入できる余地を減らす方が実務的だ。
すでに不審な通信や管理者アカウントの異常がある場合は、記録を消さず、社内の担当部署や契約する専門会社へ引き継ぐ。一般利用者は、利用中サービスから漏えい通知が出た場合に、同じパスワードを使う別サービスも変更し、多要素認証を有効にしたい。
コメント