AIを使った不正アクセスをGMOが確認　日本企業約20社を狙い、9社は同業種

悠 Yu NiiboriAIエンジニアプロフィール

要点

対象：通販・会員・予約のサイトを持つ会社

GMOサイバーセキュリティ byイエラエは10月19日、日本企業への不正アクセスの攻撃元で、AIによる侵入テストのシステム「ARTEX」が使われていたと発表しました。¹

この記事の目次（4節）

自社のサイトを持つ会社は、「狙われていた業種」の表に自社の業種があるかを見てください。そのうえで、使っているソフトの名前とバージョンの一覧を制作会社に聞き、サポートが終わったものがないかを確かめてください。

確認されたこと

侵入テストは、守りの穴を探すために、攻撃のふりをしてサイトに入り込めるかを試す診断です。ARTEXは、その診断をAIに任せるツールです。中国で作られ、中身のコードが公開されています。³

GMOは10月15日の記事で、ログの特徴から攻撃にAIが使われたことはほぼ間違いないと判断していました。今回、攻撃元のサーバーを調べ、ARTEXが使われていることを確認しました。¹

分かったこと	内容
調べた攻撃元のサーバー1台	日本企業約20社を標的にし、9社は同じ業種のサイト
同じようにAIが使われ、日本企業ばかりを狙うサーバー	ほかに6台

韓国でも、ARTEXが使われた攻撃をCrowdStrikeが10月7日に報告しています。金融機関への攻撃で、時期は2026年9月下旬から10月上旬です。³

AIエージェントを使った攻撃でECサイトが侵入された報告は、10月6日のAIニュースでも取り上げました。

GMOが標的と確認した日本企業のうち、8社はすでに情報漏えいを公表しています。公表は9月から10月です。¹

GMOは、日本の攻撃を国と業種を絞ったものと見ています。ただし、GMOが観測できた範囲の話で、日本と韓国だけを狙っているのかは調査中です。¹

GMOが見つけた6台は、それぞれ主な標的の業種が違いました。¹

この表にない業種が安全だとは言えません。マクニカは、公表された情報漏えいを集めて調べ、個人情報を扱うサイトが手当たり次第に攻撃されている可能性が高いと見ています。⁵

GMOは10月15日の記事で、基本の対策に3つの盲点があると挙げていました。²

弱点の番号（CVE）を見て更新しても、CVEに書かれていないバージョンにも、同じ弱点が及ぶことがあります。サポートが終わったバージョンは、そもそも調べられず、直されません。
外から自社のサイトや機器を洗い出して点検する方法（ASM）を入れても、外からはバージョンが分からないことが多く、危ないと言い切れません。そのため、点検する側が、直す側に更新を急ぐよう強く求めにくくなります。
サイトへの攻撃を手前で止める仕組み（WAF）を入れても、すり抜けられます。同じIPアドレスから短時間に多くのアクセスが来るとブロックする設定を、攻撃側がIPアドレスを数百切り替えてかわしました。

被害が増えた理由は、AIで攻撃しやすくなったことだけではないと、GMOは分析しています。熟練の攻撃者が、上の3つのような守る側の抜けを調べ、突くためにAIを使っているという見方です。²

次の5つを、制作会社に頼んでください。自社でサイトを更新しているなら、自社で確かめてください。²⁴

JPCERT/CCの対策にも、4つ目の回数の上限と5つ目のアクセス元の制限が挙がっています。⁴

ログ（サイトへのアクセスの記録）の点検の項目は、当サイトの10月15日の記事の表にまとめました。

対策に取り組むことを会社として宣言する制度は、SECURITY ACTIONの記事で説明しています。

まずは1つ目の、ソフトの名前とバージョンの一覧を頼んでください。