無料で診断する

AI で侵入を自動化するツール「ARTEX」、日本企業を狙う攻撃の基盤で確認（2026年10月）

攻撃の動向AI の悪用不正アクセスアプリ・API への攻撃

この記事の情報源：セキュリティ企業・公的機関の公表（特定の組織の事故ではなく、攻撃の動きについての記事です。事例の一覧・件数には含めていません）

2026年10月23日 10時の時点で、当サイトが出典を確かめた情報です。GMOイエラエのサイトは、10月23日の時点で予防措置として簡易版の表示になっていて、出典の記事のページが開けません（当サイトは10月21日時点の記事の内容で確かめました）。続報が出たら、この記事に反映します。最新の情報は、下の出典でご確認ください。

掲載

要点

GMOサイバーセキュリティ byイエラエは2026年10月19日、日本企業への侵害で使われた攻撃元のサーバーを調べ、AI が偵察から侵入までの作業を自動で進めるツール「ARTEX」が動いていたと公表しました。

同社が観測できた範囲では、その攻撃元の狙いはほとんどが日本で、日本企業およそ20社が標的でした（うち9社は同じ業種）。日本企業を集中して狙う、AI を使った別の攻撃の基盤も6台見つかっています。標的と確認された企業のうち8社は、2026年9〜10月に情報漏えいをすでに公表しています。

ARTEX は誰でも入手できる侵入テスト用のソフトウェアです。韓国の金融機関への攻撃（CrowdStrike・Zscaler）や、世界の数百の組織を狙った攻撃（Microsoft）でも使われたと公表されています。日本企業を攻撃したのが誰かは、どの公表でも特定されていません。

国内では9月ごろから不正アクセスによる情報漏えいの公表が続き、JPCERT/CC・IPA・NICT などが注意喚起を出しています。公開しているアプリ・API・Web サービスのログと作りの点検、使っている外部サービスのアカウントの確認が求められています。

何が分かったか

GMOサイバーセキュリティ byイエラエ（以下、GMOイエラエ）は、10月15日の記事で、相談を受けた多くの事案の記録を分析した結果として、一連の攻撃に AI が使われていると判断していると述べていました。10月19日の記事はその続報で、外部の機関と連携して攻撃元のサーバーを調べ、ARTEX を確認したという内容です。

同社によると、見つかった6台の攻撃の基盤は、それぞれ主に狙う業種が違っていました。デジタルギフトや小売り流通、教育やギフトや印刷、ポイントギフトやマーケティング、保険や金融、EC やメディアや物流、EC です。国と業種を絞り、攻撃の単位ごとに別のサーバーを用意している、というのが同社の見方です。同社はこれらの情報を法執行機関に共有しました。

GMOイエラエは10月21日に記事へ追記し、ツールを作ったのが中国の技術者であることと、それを使って攻撃しているのが誰かとは、まったく関係がないと断っています。

公表ごとの内容

同じ道具・同じ時期の攻撃について、公表した側ごとに分けて並べます。どこまでが同じ攻撃者によるものかは、公表に書かれた範囲でしか書いていません。

  • CrowdStrike（米国のセキュリティ企業）

    韓国の金融機関を狙い、9月下旬から10月上旬にデータを持ち出した攻撃で、攻撃者が ARTEX と複数の大規模言語モデルを組み合わせて使っていたと公表。攻撃者の名前は特定しておらず、中国語を使う金銭目的の者と中程度の確度で評価している。 出典

  • GMOイエラエ

    多くの事案の分析から、攻撃に AI が使われていると判断。守りの落とし穴として、脆弱性の情報（CVE）に書かれていない版も攻撃が通ること、外からの点検では版が分からない資産があること、WAF の制限をすり抜ける手口が使われたことを挙げた。 出典

  • JPCERT/CC

    攻撃に使われた可能性のあるサーバーを調べ、攻撃者が AI を使って既知の脆弱性を探したり API を攻撃したりしていたことを確認。Android アプリの配布ファイルを解析して API を特定し、SSRF などの弱点を調べていた跡があった。日本以外の地域向けのサービスも攻撃されていた。ARTEX という名前には触れていない。 出典

  • GMOイエラエ

    攻撃元のサーバーで ARTEX を確認。標的は日本企業およそ20社（うち9社は同じ業種）。同じような基盤がほかに6台。標的のうち8社は9〜10月に漏えいを公表済み。 出典

  • Microsoft Threat Intelligence

    中国の国家と連携するとする攻撃者「Storm-0940」が、9月ごろから ARTEX で攻撃を自動化し、幅広い業種の世界の数百の組織を狙ったと公表。クラウドのバックアップ製品（ConnectWise）を足がかりにした攻撃も同じ攻撃者によると評価している。ARTEX を使う攻撃者は複数の地域にいるとも述べている。日本の組織への攻撃には触れていない。 出典

  • Zscaler ThreatLabz（米国のセキュリティ企業）

    ARTEX と AI のコーディング支援ツールを組み合わせた攻撃者の環境を分析。残っていた指示の記録（8月4日〜10月4日）には、日本を含む19の国・地域の組織を調べる依頼があり、狙いは韓国の金融機関にとどまらないとしている。 出典

手口

ARTEX は、目標を与えると複数の AI のエージェントが作業を分担し、偵察・弱点の探索・侵入・データの持ち出しまでを、人の手をほとんど借りずに進める仕組みです（Microsoft の説明）。AI のモデルは選べ、画面は日本語にも切り替えられます。各社・各機関の公表に出てくる手口は次のとおりです。

  • 公開しているスマートフォンのアプリを解析し、裏側の API の場所や鍵を調べて、画面からは使えない内部の API を直接呼ぶ（JPCERT/CC・NICT）。
  • 標的ごとに既知の脆弱性の有無を調べて悪用を試す。設定ファイルやバックアップのファイルを抜き取ろうとする（JPCERT/CC）。
  • WAF の「同じ送信元から短い間に多数」の制限を、手前で送信元を切り替えてすり抜ける。切り替えた IP アドレスは合計で数百にのぼった（GMOイエラエ）。
  • クラウドのサービスに多数のアカウントでパスワードを試す。連携しているアプリの認証情報を悪用して入り込み、権限を広げる（Microsoft）。

Microsoft は、狙いを付けてから管理者の権限を得るまでが3時間に満たなかった例が複数あったとしています。AI で自動化されると、攻撃の量と速さが上がり、守る側が気づいて対処するまでの時間が短くなります。

まだ分かっていないこと

  • GMOイエラエが見た日本企業への攻撃と、韓国の金融機関への攻撃（CrowdStrike・Zscaler）や Storm-0940（Microsoft）が同じ攻撃者によるものかは、どの公表も示していません。Zscaler が分析した攻撃者の記録には日本の組織も出てきますが、どの組織かは書かれていません。
  • 標的になった企業の名前や、漏えいを公表した8社がどこかは、公表されていません。
  • 日本と韓国のほかに狙われている国があるかは、GMOイエラエが調べている最中としています。
  • 報道の中には「約80社」という数字もありますが、GMOイエラエの記事に書かれているのは、1つの攻撃元でおよそ20社、同じような基盤がほかに6台、という数字です（6台を合わせた社数は書かれていません）。
  • 国内の公的機関の注意喚起（10月8日〜14日）は、相次ぐ不正アクセスの手口と対策を示していますが、ARTEX の名前には触れていません。

自社で確かめること・対策

公的機関・セキュリティ企業の公表に書かれている範囲だけを、出どころを添えて並べています。

1. 公開しているアプリ・API・Web サービスのログを確かめる

IPA と JPCERT/CC は、自社で作って公開しているアプリやサービスを洗い出し、ログに普段と違う記録がないかを確かめるよう呼びかけています。スマートフォンのアプリの裏側の API や、従業員向けの管理画面・BI ツールのように、外の不特定の人が使う想定でないものも含めます。

  • エラーの量や普段との差を見ます。まず直近1か月、次に3か月と、範囲を広げて確かめます（IPA）。
  • JPCERT/CC と Microsoft の公表には、攻撃に使われた送信元の IP アドレスや User-Agent（python-requests・curl など）が載っています。自社のログと照らし合わせてください。IP アドレスは、時期が過ぎると正しい利用者が使っていることがあります。
  • スマートフォンのアプリを公開している場合は、公開 API とサーバーを洗い出し、不審なアクセスや情報の不正な取得がないかを確かめます（NICT）。

2. API とアプリの作りを点検する

  • API ごとに、許した利用者・許した操作だけを受け付けているかを確かめます。画面から使えない内部の API も対象です（JPCERT/CC）。NICT は、ID を書き換えると他人のデータが取れてしまう不備（IDOR・BOLA）、SSRF、SQL インジェクションなどを重点に挙げています。
  • 単位時間あたりの要求の数に上限を設け、ログイン・パスワードの再設定・SMS の送信・検索のように悪用されやすい機能には個別に制限をかけます（JPCERT/CC）。
  • API の鍵や長く使える認証情報をアプリの中に埋め込まないでください。アプリは解析される前提で考え、利用者の認証と操作の許可はサーバー側で行います（JPCERT/CC）。
  • 使っていない API や管理機能の公開を止め、漏れた疑いのあるトークンはすぐ無効にできるようにしておきます（JPCERT/CC・NICT）。

3. 修正の適用を WAF で後回しにしない

使っているソフトウェアの修正を当てます。GMOイエラエは、CVE に書かれた版以外にも攻撃が通る場合があること、サポートが終わった版は対象かどうかの確認すらされないことを指摘しています。

同社は、今回の攻撃では WAF の制限を避ける手口がいくつも使われていたとして、WAF があるから修正を急がなくてよい、という考え方に注意を促しています。

4. 使っている外部サービス・クラウドのアカウントを確かめる

  • 使っているクラウドサービスや VPN などを、部署ごとの利用も含めて洗い出します。作った覚えのないアカウントや、止めたはずのアカウントが使える状態になっていないかを確かめます（IPA）。
  • Microsoft 365 を使っている場合は、連携しているアプリのサインイン、アプリの認証情報や権限の追加、管理者の役割の変更を、監査のログで確かめます（Microsoft）。ConnectWise のクラウドバックアップを使っている場合は、Microsoft と ConnectWise の案内に従ってください。
  • 多要素認証を使い、アカウントやトークンの権限は必要な分だけにします（IPA・JPCERT/CC）。

5. 持っているデータを見直す・おかしな点が見つかったら

保存の期間を過ぎたデータや、使い終わったデータを残さないことも、漏えいしたときの被害を小さくします（IPA・JPCERT/CC）。

ログやアカウントにおかしな点が見つかったら、セキュリティの事故として対応を始め、専門の事業者に詳しい調査を頼むよう IPA は勧めています。JPCERT/CC は、不審なアクセスの情報の提供と相談を受け付けています。「事故が起きたら」のページも参考にしてください。

自社のサイトを確かめる

無料診断は、公開している Web サイトの基本的な設定（CMS・メール認証・セキュリティヘッダ・SSL/TLS）を外から確かめるものです。今回の手口（アプリの解析・API への攻撃）を調べるものではありません。

無料診断は、CMS・メール認証・セキュリティヘッダ・SSL/TLS の4種類をまとめて確かめます。登録不要です。

無料で診断する

毎日の速報は X で。新しく掲載した事例と注意喚起をお知らせしています。

@incidentnews_jp をフォローする

出典

報道

出典の文章は転載せず、要約しています。英語の出典は当サイトが日本語でまとめたものです。報道は、一次情報の確かめに使った参考として載せています（記事の内容は一次情報によります）。

更新履歴

  • 2026年10月23日：掲載（2026年10月23日 10時の時点の情報）

本ページはセキュリティ企業・公的機関の公表を要約したものです。攻撃者の特定や、個別の組織が被害を受けたかどうかを当サイトが判断するものではありません。記載に誤りがある場合は訂正・削除のご依頼からお知らせください。

無料診断