ARTEX とは ― 攻撃グループが使った AI の道具と、明日確かめること

最近、「AI を使った不正アクセスで日本企業が狙われた」というニュース、見かけましたか。

先に言っておくと、AI が勝手に会社を攻めてきた、という話ではありません。悪意のある攻撃者が、本来は守る側の点検に使う AI の道具を、攻撃に使った件です。

で、結論。確かめることは、これまでと変わりません。インターネットに公開しているものを書き出して、それぞれの更新や設定を誰が見ているかを確かめる。まずはそこからです。

01今回確かなこと

セキュリティ会社が、攻撃に AI の道具が使われていたと公表

GMO サイバーセキュリティ by イエラエは2026年10月19日、日本企業への不正アクセスを調べたところ、攻撃に使われたサーバーで「AIによる自律型ペネトレーションテストシステムであるARTEXが使われていることを確認いたしました」と公表しました。

ペネトレーションテストは、会社の依頼を受けて、そのシステムに実際に侵入を試し、弱点を探す点検のことです。ARTEX は、その点検を AI が自分で進める道具です。米国のセキュリティ会社 CrowdStrike は、ARTEX を中国で開発されたオープンソースの道具だと説明し、9月下旬からの韓国の金融機関への攻撃に使われたと報告しています。

GMO サイバーセキュリティ by イエラエが公表した数字は、次の3つです。

• 調べた攻撃元のサーバーが、日本企業約20社を狙っていた（うち9社は同じ業種のサイト）
• 同じように日本企業ばかりを狙う、AI を使った攻撃元のサーバーが、ほかに6台見つかった
• 狙われていたと同社が確認した企業のうち8社が、9〜10月にすでに情報漏えいを公表している

同社はこれを「同一の攻撃グループによる犯行により複数の被害が発生していることを示しています」としていて、情報は法執行機関に共有したそうです。8社がどの会社かは、公表していません。

同じ時期に、JPCERT/CC（一般社団法人 JPCERT コーディネーションセンター）は10月8日、IPA（情報処理推進機構）は10月9日に、国内で相次ぐ不正アクセスについて注意を呼びかけています。どちらも ARTEX の名前は出していません。

02どう考えるか

攻撃側と守る側のミスマッチを突いている、と GMO は分析

ここからは、公表された情報をもとにした、私の考えです。

AI が新しい弱点を作ったの？

GMO サイバーセキュリティ by イエラエは、10月15日の記事で、相談を受けた多くの事案の傾向から、守る側が見落としやすい点を3つ挙げています。特定の事案の話ではない、と断ったうえでの分析です。

1つ目は、脆弱性の情報だけでは見落とすバージョンがあることです。脆弱性の情報には対象のバージョンが書かれますが、同社は、サポートが終わったバージョンでは影響の確認も修正の提供も行われないと指摘し、「CVEに載っていないからと思って安心していると被害に遭ってしまいます」と書いています。

2つ目は、外からの点検の限界です。外から調べても、ソフトのバージョンが分からないことがよくあります。攻撃する側はバージョンを気にせず攻撃を試すだけだ、と同社は書いています。

3つ目は、Web サイトの前に置いて怪しいアクセスを止める仕組み（WAF）のすり抜けです。短い時間に同じ IP アドレスから何度もアクセスが来ると止める、という決まりに対して、攻撃者は、止められる手前で別の IP アドレスに切り替えていました。同社は「合計で数百のIPアドレスを切り替えながら攻撃していたのです」と書いています。

同社は、被害が増えている理由を「AIの進化によって誰でも簡単に攻撃できるようになったことだけが被害が多発している理由ではなく、熟練の攻撃者が攻撃側と防御側のミスマッチを徹底的に分析して攻撃してきている。」と分析し、「そのミスマッチを突くためにAIの特徴をフル活用している。」と続けています。

この分析が正しいなら、AI の道具を使っているのは、あくまで攻撃者。狙われているのは守る側の見落とし、つまり更新や設定の不備だと、私は考えています。

うちのような小さな会社は？

GMO サイバーセキュリティ by イエラエは、攻撃者が「国と業種を絞った攻撃キャンペーンを行っており」と見ています。挙げられた業種は、デジタルギフト・小売り流通、教育・ギフト・印刷、保険・金融、EC・メディア・物流などです。狙われた会社の大きさは公表されていません。

JPCERT/CC の注意喚起は、ARTEX との関係は示していませんが、標的ごとに「さまざまな既知の脆弱性有無についてスキャンし」、悪用を試みている可能性や、「機器の管理不備等を悪用した攻撃（環境設定ファイルやバックアップファイルの窃取など）」を試みている可能性を挙げています。

小さな会社がどのくらい狙われているかは、いまの資料からは分かりません。でも、更新や設定の不備は、会社の大きさに関係なく起こります。インターネットに公開しているものがあるなら、次の3つから始めておくのが、いちばん手堅いと思います。

03明日確かめること

公開しているものを書き出し、更新を誰が見ているか確かめる

1. インターネットに公開しているサイトやシステムを書き出す。
   ホームページ、問い合わせや予約のフォーム、会員ページ、通販、管理画面など、インターネットから開けるものを並べます。業者に作ってもらったものや、試しに作ってそのままのものも入れます。IPA も、自分の組織が作って動かしている外部向けのアプリやサービスが「あるかどうかを確認してください」と呼びかけています。
2. それぞれに、当てていない修正がないか聞く。
   書き出した一覧を、作った業者や保守の業者に渡して、「まだ当てていない修正（パッチ）はありますか。あれば、いつ当てる予定ですか。使っているソフトのサポートはいつまでですか」と聞きます。IPA も、「現在未適用の脆弱性対応パッチがないか確認してください」としています。
3. 使っていない管理画面と、使い終わったデータを残していないか確かめる。
   JPCERT/CC は、仕事で使っていない管理機能がインターネットに公開されていれば公開を止めること、保存期間を過ぎたデータや使い終わったデータを残さないことを勧めています。終わったキャンペーンの申込者の一覧などが、サーバーに残っていないか聞いてみてください。残すと決まっている期間があるものは、その期間を確かめてから決めます。

書いた人のひとこと

正直に言うと、最初にこのニュースを見たとき、ちょっとドキッとしました。あたしたちも AI 秘書室で、毎日 AI と一緒に仕事をしているからです。

でも調べるほど、見えてきたのは道具の話より、使う人の話でした。同じ道具でも、点検に使えば守りになり、悪意のある攻撃者が使えば攻めになる。

だから、あたしが届けたいのは怖さより、明日の3つです。まずは書き出すところから、一緒にやってみませんか。（ツムギ）

この連載について

この連載は、電気通信工事の FlexGear（フレックスギア）の AI 秘書室・メディアチームが、隔週でお届けしています。国や公的機関が出した注意喚起を原文で読み、小さな会社で明日何を確かめればよいかを紹介しています。今回は、セキュリティ会社の公表をもとに、同じ時期の公的機関の注意喚起とあわせて解説します。