AIがサイバー攻撃を自動化する時代へ。Microsoftが世界規模の攻撃事例を報告

2026年10月24日｜AI・ITニュース／セキュリティ

AIが人間の仕事を支援する「AIエージェント」の活用が広がる一方で、その技術がサイバー攻撃にも悪用され始めています。

米Microsoft（マイクロソフト）は2026年10月21日、中国政府と関係があると同社が分析する攻撃グループ「Storm-0940」が、自律型AIツールを利用して世界各国の数百の組織を標的にサイバー攻撃を行っていたと発表しました。

今回の特徴は、AIが攻撃のための調査や侵入作業を自動化し、従来よりも短い時間で大規模な攻撃を実行できるようになっている点です。

企業規模を問わず、これまでのセキュリティ対策を見直すきっかけとなるニュースです。

AIを使った世界規模のサイバー攻撃で何が起きたのか

Microsoftの発表によると、Storm-0940は遅くとも2026年9月頃から、AIを活用した侵入テスト用ツール「ARTEX（アルテックス）」を悪用していました。

ARTEXは本来、システムのセキュリティ上の弱点を調査するために使用できる技術ですが、攻撃者はこれを不正な目的に転用したとされています。

標的となったのは、航空宇宙、防衛、自動車、金融、政府機関、ソフトウェア、メディアなど、幅広い業界の企業や組織です。

Microsoftは、複数の攻撃においてクラウド環境への高い権限でのアクセスが実現し、一部では攻撃対象を狙い始めてから3時間未満で管理者権限を取得したと報告しています。

なお、攻撃を受けたすべての企業で情報漏えいが起きたと確認されたわけではありません。

AIエージェントは、サイバー攻撃をどう変えるのか

従来のサイバー攻撃では、攻撃対象の調査、侵入経路の探索、認証情報の悪用など、多くの作業を人間が操作していました。

しかし、AIエージェントは与えられた目的に応じて、複数の作業を連続的に実行できます。

今回のような事例では、次のような変化が重要です。

Microsoftの調査では、攻撃がピーク時に毎分約2,900回のサインイン試行に達したことも報告されています。

重要なのは、AIがまったく新しい攻撃手法を生み出したということだけではありません。

従来から存在する攻撃手法を、AIによって高速かつ大規模に実行できるようになったことが大きな問題です。

今回は外部サービスを経由する「サプライチェーン攻撃」も問題に

今回、MicrosoftはIT管理サービス企業「ConnectWise」のクラウドバックアップ環境を経由した侵害にも、Storm-0940が関与したと分析しています。

これは、企業が直接管理しているシステムだけでなく、利用している外部サービスやその接続権限が攻撃の入口になる可能性を示しています。

このような攻撃は「サプライチェーン攻撃」と呼ばれます。

例えば、企業が利用している業務システム、クラウドサービス、外部の管理ツールなどが侵害され、その連携先に影響が及ぶケースが考えられます。

今回の調査では、外部アプリに与えられていた強いアクセス権限や認証情報が悪用されました。

なお、Microsoftが攻撃グループと中国政府との関連を指摘している一方、中国側は国家による関与の疑惑を否定しています。攻撃主体の帰属については、Microsoftによる脅威分析上の評価として捉える必要があります。

中小企業やECサイト運営者への影響は？

今回の攻撃では大企業や政府機関も標的になりましたが、中小企業にとっても無関係な問題ではありません。

特に注意したいのが、日々の業務で利用しているクラウドサービスと、その連携設定です。

例えば、ECサイトでは受注管理、顧客管理、配送、在庫管理、メール配信など、複数の外部サービスを組み合わせて運用することが一般的です。

また、企業のWebサイトでも、WordPressや各種プラグイン、外部の管理ツールなどを利用する場合があります。

今回確認された攻撃が、これらすべてのサービスに直接影響するという意味ではありません。

しかし、サービス間の連携が増えるほど、どのサービスに、どの情報や操作を許可しているのかを把握することが重要になります。

企業が見直したい5つのセキュリティ対策

1. 多要素認証を導入する

Microsoft 365やGoogle Workspace、EC管理画面など、重要なサービスには多要素認証を設定しましょう。

パスワードだけに依存しない認証は、不正ログイン対策の基本です。

ただし、今回のように外部アプリの権限が悪用される場合、多要素認証だけで防げるとは限りません。

2. 外部アプリの連携権限を確認する

利用していないアプリや、必要以上に高い権限を持つ連携が残っていないかを確認します。

特に、管理者権限や顧客情報へのアクセスを許可しているアプリは注意が必要です。

3. システムやプラグインを最新の状態に保つ

WordPressやサーバー、各種業務システムは、セキュリティ更新を適切に適用しましょう。

更新前のバックアップと動作確認も重要です。

4. 不審な操作やログインを検知できるようにする

管理者権限の変更、不審なログイン、外部アプリの認証情報の追加などを確認できるよう、ログや通知の設定を見直します。

5. 万が一の対応手順を決めておく

攻撃を完全に防ぐことだけでなく、異常を発見した場合に誰が何をするのかも決めておきましょう。

サーバー会社や保守管理会社の連絡先、バックアップの復旧方法などを整理しておくことが重要です。

AIの進化に合わせて、守る側も変わる必要がある

生成AIの進化によって、これまで人間が時間をかけていた業務をAIに任せられる場面が増えてきました。

これは企業の生産性向上につながる一方で、同じ技術を悪用する側にも大きなメリットをもたらします。

今回のニュースで注目したいのは、AIによる攻撃の自動化が、すでに実際のサイバー攻撃で利用されているという点です。

一方で、AI技術は攻撃を防ぐ側にも活用できます。

例えば、大量のアクセスログから不審な動きを検知したり、セキュリティ上の問題を早期に発見したりすることも、AIの重要な活用領域です。

今後は、AIによって攻撃と防御の両方が高度化していくと考えられます。

中小企業にとって大切なのは、最新のセキュリティ製品を次々と導入することだけではありません。

まず自社で利用しているシステムやサービスを把握し、アクセス権限、更新状況、バックアップ、異常時の対応を見直すこと。

こうした基本的な取り組みが、これまで以上に重要になると感じています。

当社でも、Webサイト制作やEC運営支援、AI活用支援を通じて、企業の業務効率化と安全なシステム運用の両立を大切にしていきたいと考えています。

参考情報

※本記事は2026年10月24日時点の公開情報をもとに作成しています。

投稿日：2026年10月24日