AIで攻撃を自動化した中国系グループ、コネクトワイズ経由で2,250超のテナントを狙う

　マイクロソフトは10月21日（現地時間）、中国の国家と連携するとされる攻撃グループ「Storm-0940」が、AIを使った侵入テストの自動化フレームワークのARTEXを使い、コネクトワイズのクラウドアプリの侵害を含む大規模な攻撃を仕掛けていたと、同社の公式ブログで発表した。

　同社によると、Storm-0940は早ければ2026年9月から、ARTEXで攻撃を自動化し、航空宇宙・防衛、自動車、金融、製造、政府など幅広い業種の世界の数百組織を狙っていた。複数のケースで、標的に定めてから特権的なクラウドアクセスを得るまでの時間は3時間未満だったという。

　コネクトワイズをめぐっては、10月15日にクラウドバックアップアプリの侵害が報じられ、コネクトワイズが16日に初回の注意喚起を出していた。マイクロソフトは、この侵害もStorm-0940によるものと評価している。同グループは、コネクトワイズの複数テナント向けアプリの認証情報を使い、ARTEXで2,250超のテナントに対して毎分2,900回のペースでサインインを試みた。アプリがすでに各テナントで許可されていることを利用し、利用者の操作なしで認証できたという。

　一部の環境では、認証にとどまらずMicrosoft Graphを通じた偵察やアプリの資格情報の変更、特権に関わる変更の試みも確認された。ただ、標的化の大半は成功しておらず、該当アプリが導入されていたことや認証が成功したことが、そのまま顧客データの閲覧や流出を意味するわけではないと説明している。

　これに先立つ10月10日～14日には、同グループのインフラから8組織の327アカウントを狙ったパスワードスプレー攻撃があり、失敗したログオンは15万1000件を超えた。この攻撃では認証の成功は確認されていない。

　今回の活動は、マイクロソフトの製品や脆弱性が原因ではないとしている。同社は、影響を受けるコネクトワイズのアプリ連携を、コネクトワイズが正式な復旧手順を示すまで無効のままにするよう求めた。あわせて、アプリIDで全テナントを検索し、10月15日以降（可能なら10月1日以降）のサービスプリンシパルのサインインを確認することや、不審な活動が確認された場合の資格情報のローテーションなども挙げている。