2026年10月21日、Microsoftは中国政府との関係が指摘されるハッカー集団「Storm-0940」による大規模なサイバー攻撃の調査結果を公表した。
攻撃にはAIを利用した自動侵入ツール「ARTEX」が使われ、米IT企業ConnectWiseのクラウドサービスへの侵入を足がかりに、2,250を超えるMicrosoft 365の顧客環境へのアクセスが試みられた。
同じ日、世界中で使われるプログラミング言語「PHP」に重大な脆弱性が見つかり、日本でも政府機関、金融機関、ゲーム、ECサイトなどが相次いでサービスを一時停止した。
さらに、インターネット上の通信の安全性を保証する電子証明書にも深刻な問題が発覚している。
個々の事件の原因や攻撃者は異なる。それでも、これらの出来事が浮き彫りにした問題は共通している。
攻撃側の能力が急速に高まるなか、社会を支えるデジタルシステムの安全性を、誰が、どこまで守れるのか。
企業の情報漏洩にとどまらず、日本の経済活動や国家安全保障にも関わる問題となっている。
中国系ハッカー集団がAIで攻撃を自動化、最大毎分2,900回の認証試行
Microsoftが10月21日に公表した調査によると、Storm-0940は少なくとも2021年から活動する中国国家系のハッカー集団と評価されている。
2026年9月以降、同集団はAIを組み込んだ侵入検査ツール「ARTEX」を利用して、世界各国の企業や組織への攻撃を自動化していた。
標的となった分野は幅広い。
航空宇宙、防衛、自動車、エネルギー、金融、政府機関、半導体、製造業、法律事務所、報道機関など、社会や国家の基盤に関わる組織が含まれている。
さらに、ConnectWiseのクラウドバックアップ関連アプリケーションの認証情報が侵害されたことで、攻撃者は同サービスと接続していた顧客のMicrosoft 365環境にもアクセスを試みた。
Microsoftが確認した数字は次のとおりだ。
- 2,250を超える顧客環境へのサインイン試行
- 最大毎分2,900回の認証試行
- 別の大規模認証攻撃では8組織327アカウントを標的に15万1,000回以上の失敗を記録
- 複数の侵入事例で、最初の標的選定から3時間以内にクラウドの高い権限を獲得
2,250以上の環境すべてが侵害されたわけではない。Microsoftによると、多くの攻撃は失敗している。
一方、複数の顧客環境では攻撃者による管理権限の変更や、侵入後もアクセス可能な状態を維持するための操作が確認された。
特に危険なのが、正規のクラウドアプリケーションに与えられた権限の悪用だ。
利用者本人のパスワードを知らなくても、すでに接続を許可されていたアプリケーションの認証情報を使ってシステムにアクセスできる場合がある。
これは単純なパスワードの使い回し対策だけでは防ぎきれない。
一つのサービスへの侵入から、そのサービスを信頼している多数の企業へ攻撃が広がる。
今回の事件は、サプライチェーン攻撃とAIによる自動化が組み合わさった現実の事例となった。
犯罪専用AI「WormGPT」から、自律的に動くARTEXへ
サイバー犯罪へのAI利用は、すでに地下市場で商業化されている。
2023年には犯罪向け生成AI「WormGPT」が月額100ユーロで販売され、2026年には同じ名称を使う模倣サービスのTelegramチャンネルで1万5,000人を超える登録者が確認された。
この数字は有料利用者数ではなく、チャンネル登録者数だ。それでも、犯罪向けAIが一部の高度なハッカーだけのものではなくなりつつあることが分かる。
さらに、犯罪者は専用AIだけを使っているわけではない。
10月7日、米セキュリティ企業CrowdStrikeは、韓国の金融機関を標的とした攻撃で、ARTEXと複数の生成AIが組み合わせて利用されていたと報告した。
攻撃者が管理するサーバーからは、Claude Codeの作業履歴やARTEXの設定情報などが発見されている。
この事例とStorm-0940は、同一の攻撃者による事件ではない。
重要なのは、同じAI侵入検査ツールが、異なる攻撃者によって悪用されていることだ。
ARTEXは本来、企業が自社システムの弱点を調査するためのオープンソースツールだ。正当な目的で開発された技術が、不正侵入にも転用されている。
AIは、情報収集、脆弱性の分析、操作の修正、結果の判断といった工程を支援できる。
従来からサイバー攻撃は自動化されていたが、AIエージェントは状況に応じて作業を調整できるため、人間の負担をさらに減らせる。
CrowdStrikeの2026年版グローバル脅威レポートでは、2025年にAIを活用する攻撃者による攻撃活動が前年比89％増加したと報告されている。
これは世界の全サイバー攻撃が89％増えたという意味ではなく、同社が観測したAI活用攻撃者の活動に関する数字だ。
攻撃者の技術力だけでなく、一人が実行できる作業量そのものが変わり始めている。
PHPの重大脆弱性で日本のサービスが一斉停止
10月21日、日本でもサイバーセキュリティをめぐる異例の事態が発生した。
広く利用されているプログラミング言語PHPで、認証なしのリモートコード実行につながる重大な脆弱性2件が公表された。
- CVE-2026-109618
- CVE-2026-109619
いずれも深刻度はCVSS v4.0で9.2。最高区分のCriticalに相当する。
PHP開発チームは21日夜に修正版を公開し、迅速な更新を呼びかけた。
修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12の4系列だ。
国内レンタルサーバー各社も大規模な緊急対応
国内レンタルサーバー各社でも、大規模な緊急対応が進んだ。
エックスサーバーは10月22日午前6時45分、PHP 8.2〜8.5系について、対象となる全サーバーへの修正パッチ適用を完了したと発表。公式の修正版が提供されていないPHP 8.1以前については、独自の修正パッチを順次適用している。
今回の対応では、多数のWebサイトを稼働させながら、サーバー事業者が短時間で一斉に修正を進めた。一方、企業が独自に管理するシステムでは、更新や動作確認を個別に実施する必要があり、管理体制による対応力の違いも浮き彫りになった。
国内では、BASE、pixiv、DMM.com、ニコニコ動画などで緊急メンテナンスや一時停止の動きが相次いだ。財務省もPHPの脆弱性への対応として、一部Webコンテンツの停止を公表した。
これらの停止がすべて不正侵入による被害を意味するわけではない。
攻撃を受ける前に、修正や安全確認のためにサービスを停止する予防的措置が広く取られた。
一方、企業の現場では、PHPを更新するだけで作業が終わるとは限らない。
更新に伴うプログラムの互換性確認、正常動作の検証、不正アクセスの痕跡調査、サービス再開の判断なども必要になる。
小規模なベンチャー企業では、経営者や少人数の開発者がこれらの対応を担うこともある。
攻撃者は多数のシステムを並行して調べられる。防御側は、自社が運用するすべてのシステムについて安全性を確認しなければならない。
この負担の差は、企業規模が小さくなるほど深刻になり得る。
HTTPSの信頼性にも問題、電子証明書8件の秘密鍵が危険な状態に
PHPとは別に、10月にはインターネットの通信基盤に関わる重大な問題も判明した。
米Cloudflareは10月20日、インドの認証局eMudhraが発行した8件の中間CA証明書について、秘密鍵が極端に弱い状態で生成されていたと公表した。
問題の鍵を悪用すれば、第三者が自分の所有していないドメインについても、暗号学的に正しい署名を持つ偽証明書を作成できる危険があった。
通信経路の改ざんなどと組み合わされれば、正規サイトになりすましてHTTPS通信を盗聴・改ざんする可能性が生じる。
Googleは問題の報告を受け、Chromeで該当証明書をブロックする緊急対応を実施した。
現時点で、この問題による大規模な情報流出や具体的な不正利用が確認されたわけではない。
それでも、HTTPSの信頼を支える証明書の管理そのものに重大な問題が生じたことは、インターネットの安全性が多くの共通基盤に依存していることを示している。
PHPの欠陥、クラウドサービスの認証情報の侵害、電子証明書の管理不備。
攻撃経路は異なっても、共通の技術やサービスに問題が生じれば、影響は多数の組織へ広がっていく。
日本の中小企業の約7割に、組織的なセキュリティ体制がない
日本企業の防御力には大きな格差がある。
IPAが公表した中小企業の情報セキュリティ実態調査では、約7割の企業で組織的なセキュリティ体制が整備されていなかった。
さらに、過去3期に情報セキュリティ対策への投資を行っていない企業は62.6％に達している。
投資しなかった理由で最も多い回答は「必要性を感じていない」の44.3％だった。
一方、今回のStorm-0940事件では、攻撃者がクラウドサービスの接続関係を利用して、複数の企業にアクセスを試みていた。
つまり、攻撃を受けるのは防衛関連の大企業だけではない。
その企業が使うクラウドサービス、業務委託先、システム管理会社、ソフトウェア開発会社など、つながっている組織が攻撃対象になり得る。
重要インフラを直接攻撃しなくても、関連する企業を経由して侵入する経路が存在する。
そして中小企業にとって、24時間の監視体制や高度な専門人材の確保には大きな費用がかかる。
守る必要性を認識していても、十分な対策を実施できない企業が存在する。
この格差を放置すれば、個別企業の問題がサプライチェーン全体の弱点になってしまう。
国家サイバー統括室、デジタル庁、総務省、経産省・IPA――日本の防衛体制はまとまれるか
日本にはすでに複数のサイバーセキュリティ関連組織が存在する。
内閣官房の国家サイバー統括室（NCO）は、2025年7月に発足した政府横断の司令塔だ。行政機関の不正アクセス監視・分析や、サイバーセキュリティ政策の総合調整を担う。
デジタル庁は政府のデジタル基盤、総務省は情報通信分野、経済産業省とIPAは産業界や企業のセキュリティ対策を中心に、それぞれ役割を持っている。
10月22日には、経済産業省がIPAにホワイトハッカーの専門チームを設置する方針だとNHKが報じた。
実際に攻撃者の視点でシステムの弱点を検証する専門家を集める構想は、実効性のある防御力を高める手段として期待できる。
しかし、重要なのは組織の数ではない。
国家サイバー統括室を中心として各機関が連携し、脆弱性の発見、情報共有、警告、技術的な支援までを迅速につなげられるかどうかだ。
例えば、次のような体制が求められる。
- 脆弱性情報の一元化：国内外の重大な欠陥と攻撃情報を集約し、企業に同じ情報を迅速に届ける。
- 24時間の技術的対応力：専門家が攻撃手法を検証し、防御策や調査方法を提供する。
- 中小企業への実務支援：専門人材を持たない企業にも、緊急時に利用できる支援を届ける。
- サプライチェーン全体の防御：大企業だけでなく、委託先や接続サービスまで含めた安全対策を進める。
すでにIPAでは「サイバーセキュリティお助け隊サービス」を展開しており、2026年10月から新類型の実証事業も始まっている。
既存の取り組みを生かしながら、政府機関の情報や専門人材を現場の防御力に結びつけることが求められる。
日本は「軍事的弱者国」になるのか
軍事力は、戦闘機や艦艇、ミサイルの数だけで決まるものではない。
防衛装備品を製造する企業、電力、通信、港湾、鉄道、物流、金融といった社会基盤が正常に機能して、初めて国家の防衛能力が維持される。
平時には情報漏洩として現れる弱点が、有事には通信の妨害、物流の停止、防衛産業の生産能力低下などにつながる可能性がある。
今回のStorm-0940事件で、日本の重要インフラが実際に機能停止したと確認されたわけではない。
それでも、国家との関係が指摘される攻撃集団がAIを用い、防衛、金融、エネルギー、半導体など幅広い分野を標的にしている現実は重い。
日本のサイバーセキュリティ政策は、国際電気通信連合（ITU）の2024年評価では最高区分に入っている。
制度面では高い評価を受けながら、企業の現場には大きな防御力の格差が残っている。
そしてAIの普及によって、攻撃の規模と速度はさらに拡大しつつある。
必要なのは、サイバー攻撃を受けてから各企業が個別に対応するだけの体制から、国家全体で危険を早期に把握し、被害を防ぐ体制への転換だ。
兵器が充実していても、それを支える社会基盤が守れなければ、国家は十分な防衛能力を発揮できない。
サイバーセキュリティは、もはやIT部門だけの問題ではない。
経済を守り、国民生活を維持し、国家の安全保障を支えるための基盤そのものになっている。
主な参照資料
- Microsoft Security：Storm-0940によるARTEXを利用した大規模攻撃（2026年10月21日）
- CrowdStrike：ARTEXを利用した韓国金融機関への攻撃（2026年10月7日）
- CrowdStrike：2026 Global Threat Report
- PHP公式：2026年10月の重大脆弱性と修正版
- Cloudflare：eMudhra電子証明書問題（2026年10月20日）
- IPA：中小企業の情報セキュリティ実態調査
- 国家サイバー統括室：組織の概要
- IPA：サイバーセキュリティお助け隊サービス（新類型）
