ConnectWise不正アクセスとAI攻撃ARTEX｜保守会社経由で狙われる中小企業の備え

01この記事でわかること

• ConnectWiseのバックアップサービスの「アプリの身分証」が乗っ取られ、そのアプリを信頼していた顧客のMicrosoft 365が狙われました。
• 攻撃者はAIの道具ARTEXで作業を自動化し、Microsoftは「侵入の試みから特権の取得まで3時間未満」の例が複数あったと書いています。
• 中小企業は、自社のパソコンやクラウドに「外から入れる管理ツール」が何があるかを把握し、権限と記録を見直すことが第一歩です。

資料は、Microsoft、ConnectWise、JPCERT/CCの公式発表だけです。報道だけの数字は使っていません。

02何が起きたのか（全体像）

今回の攻撃は、「サプライチェーン攻撃」と呼ばれる型です。サプライチェーン攻撃とは、狙う会社を直接攻めるのではなく、その会社が使っている製品やサービス、委託先を先に攻めて、そこを足がかりに入り込む攻撃です（用語集：サプライチェーン攻撃）。

Cloud Backupは、会社のMicrosoft 365（メールやTeams、SharePointなど）のデータを外部に保存するサービスです。バックアップをとるには、サービス側のアプリに、顧客のMicrosoft 365のデータを読む許可を出しておく必要があります。Microsoftの説明では、Storm-0940はConnectWiseの複数のクラウドアプリの「身分証」（アプリとしてログインするための資格情報）を手に入れました。そして、そのアプリが顧客のテナントからもともと得ていた信頼を使って、顧客側に入り込もうとしました。

顧客企業がパスワードを漏らしたのではなく、「信頼して許可を出していたサービス」の側が先に破られた点が、この事件の怖さです。Microsoftは、今回の活動はMicrosoftのシステムや製品の侵害や脆弱性によるものではないと書いています。

Microsoftによると、Storm-0940は2021年から活動しているグループで、Microsoftは中国の国家と足並みをそろえる攻撃者と評価しています。

03発表の時系列

ConnectWiseとMicrosoft、JPCERT/CCの発表を、日付の順に並べます。ConnectWiseの時刻は発表どおり協定世界時（UTC）で、日本時間はこれに9時間を足した時刻です。

ConnectWiseの初報は「不正アクセスの試み」を調べているという表現でした。翌17日には「アプリの身分証への不正アクセス」を確認したと発表し、サービスを止めています。

04何が狙われ、何が止まったのか

狙われたのは、バックアップのデータそのものより、「顧客のMicrosoft 365に入れる鍵」でした。Microsoftがあげた対象のアプリは、ConnectWise Cloud Backupのほか、「ConnectWise – MS Teams」「ConnectWise – MS Graph」などです。Microsoft Graphとは、Microsoft 365のメールやファイルなどをプログラムから読み書きする窓口です。

入り込まれたあとに見られた動き

Microsoftによると、一部の環境では次のような動きが見られました。

• Microsoft Graphを使った下調べ（どんなユーザーやデータがあるかの確認）
• アプリに新しい資格情報を足して、あとからも入れるようにする
• ユーザーやグループ、特権の役割（管理者の権限）の変更
• ConnectWiseの管理アプリが、自分自身に「グローバル管理者」（テナントで最も強い権限）を割り当てる動き
• Azure Key Vault（パスワードや鍵をしまう金庫のようなサービス）の秘密の情報を大量に読み出す動き

ただしMicrosoftは、ログインが成功しただけで、データが見られたとは限らないとも書いています。

止まったサービス

ConnectWiseは、Cloud Backupに加えて、連携しているSaaS SecurityとCloud Managementも予防のため止めました。10月20日の更新では、この3つ以外のConnectWise製品には影響がないとしています。保存済みのバックアップ（アーカイブ）については、10月26日の更新でも「暗号化され、切り離して保管されており、侵害の兆候はない」と説明しています。

05ARTEXとは何か、なぜ速いのか

ARTEXは、だれでも入手できる公開の侵入テスト（ペネトレーションテスト）の道具です。侵入テストとは、本来は守る側が専門家に頼んで、自社のシステムに実際に攻撃を試してもらい、弱点を見つける検査のことです（用語集：ペネトレーションテスト）。Microsoftの説明では、ARTEXは複数のAIが役割を分けて動く仕組みで、好きなAIモデルを組み合わせられ、下調べからデータの持ち出しまでを人の手をほとんど借りずに進められます。画面は英語が標準ですが、日本語にも切り替えられるとしています。

Microsoftは、AIの道具は夜も週末も休まず動け、少人数で規模を広げられると指摘しています。今回は、ARTEXで下調べ、パスワードスプレー（よくあるパスワードを多数のアカウントに試す攻撃）、アプリの悪用を「機械の速さ」まで速めたという評価です。

数字で見る今回の攻撃

• ConnectWiseのアプリが乗っ取られたあと、2,250を超えるテナントにログインを試みた
• 侵入の試みから特権の取得までが3時間未満だった例が複数あった
• 4つのアプリの資格情報を使い、4分足らずで200回を超えるログインがあった

一方でMicrosoftは、狙われた先の多くでは攻撃は成功しなかったとも書いています。それでも多くの組織で、クラウドの管理者級の権限を長く保てる状態をつくられたとしています。「3時間未満」は全部の例ではなく、複数の例についての数字です。この記事でも、その範囲で書きます。

中小企業にとっては、「朝に入られて、夕方に気づけば間に合う」とは考えにくくなったということです。

06日本での動き：JPCERT/CCの注意喚起

日本でも、AIの侵入テスト基盤の悪用は確認されています。JPCERT/CC（日本の情報セキュリティ事故の調整を担う組織）は、10月8日に公開した注意喚起「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を10月23日に更新し、事例Eを追加しました（用語集：JPCERT/CC）。

事例Eの内容は次のとおりです。

• Cairn、CyberStrikeAI、ARTEXなど、AIを使った侵入テストの基盤を悪用した攻撃の試みが確認されている
• 主にインターネットに公開されたWebアプリを狙い、さまざまな脆弱性を探して悪用を試みている
• 機器の管理の不備をついて、設定ファイルやバックアップファイルを盗む攻撃も確認されている
• インターネットに公開されたWSUSサーバー（Windowsの更新を社内に配るサーバー）を狙った試みも含まれる

なお、JPCERT/CCの注意喚起はConnectWiseの件には触れていません。国内の事例EとConnectWiseの件が同じ攻撃者によるものかは、どちらの公式発表にも書かれていません。共通しているのは、「AIの道具で、弱点探しと侵入の試みが大量・高速になっている」という傾向です。

JPCERT/CCは攻撃元とみられるIPアドレスの一覧も載せ、自社の記録に該当するアクセスがないか確かめるよう呼びかけています。国内の別の事件でARTEXの名前が出た経緯は、GMOの不正アクセスまとめで触れています。

07自分が関係するか確かめる方法

自社や保守会社がConnectWise Cloud Backup（旧SkyKick）を使っているかを、次の順で確かめます。

1. Microsoft 365の管理者に、「Microsoft Entra 管理センター」の「エンタープライズ アプリケーション」に、ConnectWiseやSkyKickの名前のアプリがあるか見てもらう
2. 名前だけでなく、アプリIDで探す（Microsoftは表示名ではなくIDで探すよう求めています。Cloud BackupのIDは 506e08f9-6e9a-4da4-942b-a099a03644ae）
3. パソコンやサーバーの保守を外部に頼んでいるなら、保守会社に「ConnectWiseの製品を使っているか」「当社のMicrosoft 365に接続しているか」を聞く
4. 使っていた場合は、ログイン記録の「サービス プリンシパルのサインイン」のタブを確認してもらう（ふつうの「ユーザーのサインイン」のタブには出ません）

ConnectWiseによると、このアプリはふだんAzureの内部の経路から接続します。見慣れないIPアドレスからの接続は調べる対象ですが、それだけで侵害の証拠ではないとしています。

08今すぐやること（立場別）

Cloud Backupを使っている会社・保守会社

• 止められたConnectWiseのアプリを、ConnectWiseの正式な指示があるまで有効に戻さない
• アプリをいきなり削除しない。Microsoftは、先に設定と記録を保存するよう求めています
• ログイン記録と監査記録を保存する。Microsoftは少なくとも10月15日以降を、記録があれば10月1日までさかのぼって見るよう勧めています
• 成功と失敗のログインを分けて見る。公表されたIPアドレスだけに絞らない
• アプリへの資格情報の追加、管理者の役割の割り当て、メールの自動転送ルールの追加がないか確認する
• 不正な資格情報が見つかったら、記録を保存したうえで、権限のある担当者が消す

使っていない中小企業

同じ型の攻撃は、ほかの管理ツールでも起こりえます。自社のMicrosoft 365やGoogle Workspaceに「外部のアプリにどんな許可を出しているか」を一度見てください。使っていないアプリの許可は外します。

個人の方

会社向けのサービスなので、個人が直接することはほとんどありません。勤め先の指示に従ってください。

09ConnectWiseの対応と復旧の状況

ConnectWiseはトラストセンターで、10月16日から28日まで、ほぼ毎日経過を更新しています。外部の調査会社（名前は非公表）にも調査を頼んでいます。

10月21日の更新では、Microsoftの脅威情報などから、攻撃は中国の国家と足並みをそろえるグループによるものとみられると書いています。あわせて、自社側で封じ込めても、顧客それぞれのテナントにすでに作られた入り口までは消えない、と注意しています。各社のテナントは、各社で確かめる必要があるということです。

10月28日の更新で、段階的な復旧が始まりました。Microsoft 365のバックアップと復元は、「ConnectWise Cloud Backup for M365」という新しいアプリで再開します。パートナーは、パスワードの再設定、多要素認証の設定、Microsoft 365のテナントごとの再承認が必要です。復旧は、バックアップと復元、顧客向けの画面と監視、報告などの機能、通知の4段階で進むとしています。

SaaS SecurityとCloud Managementの再開時期と、補償の有無は発表されていません。

10まだ分かっていないこと

10月29日時点で、公式には次の点が明らかになっていません。

• 最初の侵入の方法：アプリの身分証がどう奪われたかは調査中です
• 被害を受けた顧客の数：ConnectWiseは数を出しておらず、個々のテナントが影響を受けたかは調査結果からは言えないとしています
• データが持ち出されたか：顧客のMicrosoft 365から何が見られたかは、各社の確認しだいです
• 日本の会社への影響：Microsoftは狙われた国を個別にはあげていません。日本の会社が被害を受けたかは公表されていません
• 国内の事例Eとの関係：同じ攻撃者かどうかは、どの公式発表にも書かれていません

11同じことを防ぐには（中小企業向け）

中小企業が学べることを5つにまとめます。

1. 委託先が使う管理ツールを一覧にする

保守会社は、遠くからパソコンを操作するリモート管理ツール（RMM）や、バックアップのサービスを使って会社のITを管理していることがよくあります。乗っ取られると「すべての顧客に入れる鍵」になります。まず、保守会社に「どのツールで、当社のどこに、どんな権限で入っているか」を書き出してもらいましょう。取引先から対策を求められたときの考え方は、取引先から対策を求められたでも整理しています。

2. 人のログインには多要素認証を、アプリには最小限の許可を

管理者や保守会社の担当者のログインには、パスワードに加えてスマホなどでも確かめる多要素認証を必ず設定します（用語集：多要素認証）。ConnectWiseも、復旧の条件としてパートナーに多要素認証の設定を求めています。一方で、今回のようにアプリが直接ログインする経路は、人の多要素認証とは別の仕組みです。Microsoftは、外部アプリへの許可を必要最小限にするよう勧めています。「全部読める」許可を出したままのアプリがないか見直します。

3. 管理者の権限を分ける

ふだん使うアカウントと管理者のアカウントを分け、強い権限を持つ人やアプリを減らします（用語集：管理者権限）。今回、アプリが自分自身にグローバル管理者を割り当てる動きが見られたことからも、「強い権限の割り当て」は真っ先に見張るべき変化です。

4. ログを残し、見張る

Microsoftは、アプリへの資格情報の追加、特権の割り当て、ふだんと違うアプリの動きを監視するよう勧めています。記録がなければ、何をされたか確かめられません（用語集：ログ）。自社で見張る人手がないなら、24時間見張る外部の監視サービス（SOC・MDR）に頼む方法があります。図鑑のSOC・MDR・SIEMの分類で比べられます。

5. 「数時間で広がる」前提で備える

侵入から特権の取得まで3時間未満の例がある以上、気づいてから会議で相談していては間に合わないことがあります。だれがどのアプリを止め、どこへ連絡するか、初動を前もって決めておきます。手順づくりは事故への備え、頼める会社はインシデント対応の分類で探せます。AIを使った攻撃と守りの全体像は、AIとセキュリティのページにもまとめています。

12よくある質問

13今後の予定と更新方針

この記事は、3つの公式発表が更新されたときに書き直します。報道だけの情報や推測は書きません。

次の点に動きがあれば、優先して反映します。

• ConnectWiseの最初の侵入の原因と再発防止策の公表
• Cloud Backupの4段階の復旧の進み具合と、SaaS Security・Cloud Managementの再開
• 被害を受けた顧客の数やデータの持ち出しについての発表
• JPCERT/CCの注意喚起の追加の更新

最新の情報は、ConnectWiseのトラストセンターのアドバイザリ（https://www.connectwise.com/company/trust/advisories）で確かめてください。