- ConnectWiseのクラウドバックアップサービスが侵害され、顧客との連携用の資格情報が窃取された
- 窃取された資格情報により、約2,250組織のMicrosoft環境へ正規ユーザーとしてアクセスされたとされる
- 攻撃の高速化にはオープンソースのAIフレームワーク「ARTEX」が使われたとMicrosoftは指摘する
何が起きたのか
Microsoftのセキュリティ研究者は、中国の国家に関連するハッカー集団が、IT管理・リモートアクセスを手がけるConnectWiseのクラウドバックアップサービスに侵入したと報告しました。ConnectWiseのクラウドサービスは、企業が自社データをバックアップするために利用されているものです。ハッカーは、ConnectWiseと企業顧客の間でデータを連携させるために使われるアプリケーション資格情報を窃取したとされています。
資格情報を入手すると、ハッカーは正規のユーザーと区別がつかない形で、顧客企業のMicrosoftホスト環境にログインできます。その結果、メールやその他のファイルにアクセスできる状態になったということです。Microsoftによると、標的となった組織は約2,250にのぼり、毎分およそ3,000回のサインイン試行というペースで侵入が進められました。ConnectWiseはクラウドバックアップへのアクセスを一時停止して調査を進めており、木曜日の時点ではサービス復旧の作業中だとしています。
AIエージェントが速度を変えた
この大量の侵害の速さは、AIエージェントの利用によるものだとされています。具体的には「ARTEX」と呼ばれるオープンソースのAIフレームワークで、AIモデルと組み合わせてサイバー防御をストレステストする用途に作られたものです。防御側の試験用ツールが、攻撃の自動化に転用された形になります。
同じAIソフトウェアは、韓国の金融システムに対する最近の侵害でも使われていました。同国の金融システムの多くはセキュリティが弱く、多要素認証(MFA)を欠いていたとされています。Microsoftは、この速度では防御側に「検知と対応の時間がほとんど残らない」と指摘しています。大量のサインイン試行を短時間で処理されると、通常のログ監視やアラートでは追いつきにくくなるためです。
現時点で分かっていないこと
影響を受けた組織の名前や業種、窃取されたデータの具体的な内容、侵入が続いた期間は公表されていません。ConnectWiseはアクセスを止めて調査中で、サービスがいつ復旧するのかも明らかにされていません。被害の全容は、同社の調査結果が出るまで確定しないとみられます。
また、今回の説明はMicrosoftの研究者による分析に基づくものであり、ConnectWise側の調査結果とどの程度一致するかは現時点では不明です。日本企業を含む各国の顧客への影響についても、原文には記述がありません。AIエージェントがどの程度自動で認証試行を回していたのかといった技術的な詳細も、原文からは読み取れません。
According to Microsoft, the hackers used AI agents to rapidly hack into around 2,250 organizations at a rate of almost 3,000 attempted sign-ins per minute.
Microsoftによると、ハッカーはAIエージェントを使い、毎分およそ3,000回のサインイン試行というペースで約2,250組織に急速に侵入した。
今後の見通し
ConnectWiseの調査結果とサービスの復旧時期が次の焦点になるとみられます。影響を受けた約2,250組織の範囲や業種、窃取されたデータの種類が明らかになれば、被害の実像を判断できるでしょう。あわせて、クラウドバックアップのように顧客環境へ接続するための資格情報を預かるサービスを、どう管理・監査するのかという論点が浮上するとみられます。ARTEXのような防御テスト用のAIフレームワークが攻撃に転用された経緯についても、今後詳細が示されるかどうかが注目されます。
日本の開発者・IT企業にとっての意味
IT管理やリモートアクセス、バックアップといった「顧客環境に入るための入口」になるサービスは、日本のIT企業にとっても他人事ではありません。自社が直接契約していなくても、委託先や取引先がこうした管理サービスを使っていれば、資格情報の窃取が自社のメールやファイルへのアクセスにつながる経路になり得ます。特にクラウドバックアップのように、サービス事業者が顧客との連携用資格情報を預かる設計は、事業者側の侵害が顧客側の侵害に直結する点を意識しておく必要があります。あわせて、毎分数千回規模のサインイン試行を前提にした検知・遮断の設計や、多要素認証の徹底が実務上の論点になります。AIエージェントによる自動化が進むほど、人の監視だけでは対応が追いつかないという前提で備えることが求められそうです。
気になる点
- 日本企業も今回の侵害の影響を受ける可能性はありますか
- 原文には日本企業に関する記述はなく、影響の有無は公表されていません。ConnectWiseのクラウドバックアップサービスを利用している企業は、顧客側の資格情報が窃取された可能性があるため、同社の案内や自社のログを確認する必要があると考えられます。
- 防御側は何を強化すべきですか
- 原文では、韓国の金融システム侵害について多要素認証(MFA)を欠いていた点が挙げられています。パスワードだけでなく追加の認証要素を求める仕組みや、短時間に大量のサインイン試行を検知する監視が有効と考えられますが、本文以上の具体策は示されていません。
- ARTEXとはどのようなソフトウェアですか
- AIモデルと組み合わせてサイバー防御をストレステストする、オープンソースのAIフレームワークだと説明されています。今回の事案では侵入の高速化に使われたとされますが、具体的な機能や構成については原文に詳細な記述がありません。
用語解説
- AIエージェント
- 目標に向けて複数の処理を自律的に実行するAIの仕組み。ここでは認証試行を高速に繰り返す用途で使われたとされる。
- 多要素認証(MFA)
- パスワードに加えて別の認証要素を組み合わせる方式。資格情報が窃取されても侵入を防ぎやすくなる。
- アプリケーション資格情報
- サービス同士がデータを連携する際に使う認証情報。窃取されると正規利用者として扱われる恐れがある。
- ストレステスト
- システムに負荷や攻撃をかけて耐性を確かめる試験。ARTEXは防御の検証用として説明されている。
出典
Chinese hackers spied on thousands of companies after breaching IT giant ConnectWise
AI導入も顧問も、お任せください
何から手をつけるか、どこまでAIに任せるか。自社の業務に合わせて整理し、導入から運用まで伴走します。相談だけでも構いません。
AI導入について相談する