米ConnectWiseのバックアップに侵入、2,250超の組織のMicrosoft 365が狙われる 中国系グループがAIの道具で

米国のIT管理ソフトの会社ConnectWiseは、2026年10月16日から、クラウドのバックアップのサービス「Cloud Backup」(旧SkyKick)への不正アクセスについて、公式の注意喚起を出し続けている。サービスに関わるアプリの認証情報(ほかのシステムに入るための鍵のような情報)が、不正に使われたという。米Microsoftは10月21日、中国の国家と足並みをそろえるグループ「Storm-0940」の仕業だとする調査を公表した。

何が起きたのか

Cloud Backupは、企業のMicrosoft 365のデータをバックアップするサービスだ。ConnectWiseによると、10月14日に問題を見つけ、社内外で調査と対応を始めた。Cloud Backupと、これとつながる「SaaS Security」「Cloud Management」を止めている。

ConnectWiseは、サービスを止めたこと自体は、利用者の環境が侵入されたことを意味しないとしている。保管しているバックアップは暗号化して切り離してあり、侵された形跡は無い。ほかの製品やサービスに影響が出ている兆候も無いという。10月21日から段階を追って復旧を始め、23日の更新では、週末までに安全の確認を終える見込みだとした。

Microsoftの調査

Microsoftによると、Storm-0940は2021年から活動するグループだ。ConnectWiseのクラウドのアプリの身元を握り、その認証情報を使って顧客の環境に入ろうとした。対象は、複数の企業が共有して使う「マルチテナント」のアプリだ。

攻撃者は、2,250を超えるテナント(Microsoft 365の組織ごとの環境)へのサインインを試みた。多くは失敗したが、短い時間で、多くの組織に管理者の権限で居座ることに成功したという。狙いを付けてから管理者の権限を得るまで、3時間足らずだった例が複数あった。

攻撃には、誰でも入手できる「ARTEX」という道具を使った。本来はペネトレーションテスト(侵入を試して弱点を探す検査)のための仕組みで、AIの複数のエージェントが、偵察からデータの持ち出しまでを、人の手をあまり借りずに進める。Microsoftによると、このグループは9月から同じ道具で、航空宇宙・防衛、エネルギー、金融、政府、法律、製造、半導体、技術などの組織を狙っていた。ほかの地域の攻撃者も、同じ道具を使い始めているという。

かんたんに言うと

多くの会社は、IT機器やクラウドの管理を「MSP」と呼ばれる専門の会社に任せている。ConnectWiseは、そのMSP向けの道具を作る会社だ。ConnectWiseは、国家の後ろ盾のある攻撃者が、ソフトウェアのつながり(サプライチェーン)を狙うようになっていると説明する。信頼された1つのつながりから、多くの組織への扉が開くからだ。

利用者がすること

ConnectWiseとMicrosoftは、利用者に次のことを求めている。

• 影響を受けたアプリの接続は、ConnectWiseが手順を出すまで止めたままにする
• 自社と、管理を任されている顧客のMicrosoft 365の環境を、1つずつ調べる。サインインと監査の記録、登録されたアプリ、資格情報、権限に、不正な変更や居座る仕組みが無いかを確かめる
• 最初の対応でアプリを消さない。設定と証拠を先に残す(Microsoft)
• 少なくとも10月15日以降の記録を調べる(Microsoft)

ConnectWiseは、調べ方の手引きと、技術向けの説明会を用意している。

日本ではどうなるのか

Microsoftの報告は、日本を狙われた地域として挙げていない。日本に触れているのは、ARTEXの画面を日本語にも切り替えられる、という点だけだ。日本でCloud Backupを使う会社が影響を受けたかは、発表からは分からない。

まとめ

IT管理の会社のクラウドのサービスが入り口になり、その先にある多くの組織が狙われた。攻撃はAIの道具で自動化され、速く進んだ。ConnectWiseのサービスを使う会社は、接続を止めたまま、自社のMicrosoft 365の環境を確かめたい。