10月23日、Shane Downingが「China-aligned hackers deploy AI agents in massive ConnectWise supply chain attack」と題した記事を公開した。中国政府との関与が指摘されるハッカーグループが、AIエージェントを悪用したConnectWiseサプライチェーン攻撃で2,250以上のMicrosoft 365テナントを標的とし、一部の攻撃では3時間以内に特権アクセスを奪取した実態をMicrosoftが報告している。
ConnectWiseは中小企業向けITサービスプロバイダー（MSP）に広く普及するRMM（リモート監視・管理）ツール大手だ。MSPが複数顧客の環境を一元管理するために使う「マルチテナントアプリ」（複数の組織環境＝テナントを単一のアプリケーション接続で管理する仕組み）の認証情報が今回の攻撃で悪用されており、被害がMSPの顧客企業にまで連鎖する構造になっている点が深刻だ。
3時間以内の特権奪取——攻撃速度の異常さ
今回の攻撃で特に注目すべきは、その速度だ。Microsoftの報告によれば、一部の攻撃では初期アクセス取得から特権アクセス（グローバル管理者ロールの取得）までが3時間以内に完了している。
セキュリティ企業Huntressは10月15日、あるテナントで「アプリが自分自身をグローバル管理者ロールに追加した」挙動を検知した。Microsoft Defenderでは「Application self-assigned Global Administrator role」というアラートに相当する行動だ。攻撃者はさらに2028年に失効するシークレット（認証キー）を新たに埋め込んでおり、長期的な潜伏を意図した痕跡が残っている。
この異常なスピードを可能にしたのが、後述するAIエージェントの自律的な動作だ。
AIエージェントが自律的にペネトレーションテストを実行
攻撃では、オープンソースの自律型ペネトレーションテストフレームワーク（フレームワーク名については元記事で「ARTEX」と記載されているが、独立した確認が困難なため本稿では留保付きで引用する）が使用されたとMicrosoftは報告している。このフレームワークはLLM（大規模言語モデル）駆動のエージェント群が人間をほぼ介在させずに侵入テストを自律実行するよう設計されている。
Microsoftによれば、当該フレームワークは以下の作業を自動化した：
- スキャンとリコナサンス（偵察）
- パスワードスプレー攻撃（同一パスワードを多数のアカウントに対して試す手法。アカウントロックアウトを回避しやすい）
- OAuthアプリケーションの悪用
エージェントは「ほぼ人間の操作なしに24時間365日稼働」でき、そのペースは「防御側が検知・対応する時間をほとんど与えない」とMicrosoftは指摘する。攻撃者にとっての非対称性が際立つ事例だ。
当該フレームワークの開発者（GitHubハンドル「Autumn-27」）は、Reutersの報道によれば「プロジェクトは更新を終了しクローズドソースに移行する」と表明した。しかし攻撃への転用はすでに現実化しており、今月（10月）の公開レポートでは韓国の金融機関への侵害にも同フレームワークが使われたとされている。CrowdStrikeはその事案の容疑者が中国拠点とみられ、AnthropicのClaude Codeと当該フレームワークを組み合わせて使用したと指摘した。
攻撃の規模と時系列
攻撃を実行したのはStorm-0940。2021年から活動する、中国政府との関与が指摘される国家支援型アクターだ。ConnectWiseのマルチテナントアプリへの不正アクセスを足がかりに、以下の規模で攻撃を展開した。
- 2,250以上のMicrosoft 365テナントへのサインイン試行
- 327アカウント（8組織）にパスワードスプレー攻撃、151,000件以上の失敗ログオン
- 10月11日のピーク時には1分間に2,900回の試行（その日だけで111,000回超）
- 48アカウントで1,000回以上の失敗を記録
このパスワードスプレーの約98%はロックアウトで阻まれた。しかし盗まれたConnectWiseのアプリ認証情報を使った「アプリとしての」サインインは別の話だ。インタラクティブなユーザーサインインを必要としないこの経路では、4つのアプリ認証情報を用いて4分以内に200件以上のサインインが成功している。
テナントを数秒ごとに順番にスキャンしていく挙動については、Microsoftが「ターゲットリストを処理するスクリプトの動作そのもの」と述べており、自動化された攻撃であることを裏付けている。
被害範囲と現在の対応
ConnectWiseは不正アクセスを確認し、Cloud Backup（旧SkyKick）、SaaS Security、Cloud Managementを予防的に停止した。段階的な復旧を進めており、パートナーのバックアップデータが侵害された証拠は現時点では見つかっていないという。ただし、MSP経由で管理される顧客企業のテナントが広く標的となった構造上、潜在的な影響範囲は報告された数字を上回る可能性がある。
標的となった業種は航空宇宙・防衛、半導体、政府機関、シンクタンクなど計14業種に及ぶ。機密性の高い組織が集中して狙われている点は、諜報目的との関連を示唆する。
Microsoftはアプリへの不正アクセスが成立しても、必ずしもデータが取得・流出したわけではないと説明しつつ、以下を顧客に推奨している：
- 影響を受けたアプリ接続を正式な復旧手順が出るまで無効化したままにする
- ログが残っている範囲で今月のアクティビティを精査する
なお、MicrosoftはMicrosoft自身のシステムや製品の脆弱性が今回の攻撃に起因したものではないと明示している。
AIエージェントによる攻撃の自動化は、従来の人手によるサイバー攻撃と比べて攻撃速度と規模を桁違いに引き上げる。同一のオープンソースフレームワークが複数地域の攻撃者に転用されている実態は、防御側のコスト構造を根本的に変える可能性を示している。
詳細はChina-aligned hackers deploy AI agents in massive ConnectWise supply chain attackを参照していただきたい。
