GMOサイバー犯罪対策センターは、日本企業への不正アクセスにAIツール「ARTEX」が利用されていたと発表した。
調査した攻撃元インフラでは約20社が標的となり、関連する別の攻撃インフラ6台も確認された。
攻撃元からARTEXを確認、標的企業は約20社
2026年10月19日、GMOサイバー犯罪対策センターは、日本企業を狙った不正アクセスの攻撃元インフラを調査し、自律型ペネトレーションテストシステム（※1）「ARTEX」が使用されていたと発表した。
以前の調査ではフォレンジックログ（※2）を根拠にAIによる攻撃の可能性が高いと推定していたが、今回の調査でその見立てを裏付けた形だ。
米CrowdStrikeも、2026年9月下旬から韓国の金融機関を狙った攻撃キャンペーンでARTEXが使われたと報告している。
GMO側は、こうした手口が日本企業への攻撃にも利用されていると推察している。
外部機関との連携調査では、観測できた範囲で攻撃元インフラの標的がほぼ日本に集中していたことも判明した。
対象は日本企業約20社で、うち9社は同じ業種のサイトだったという。
ただし、約20社という数字は標的として確認された企業数であり、すべてが侵害されたことを示すものではない。
さらに、類似したAI利用の攻撃インフラを6台発見した。それぞれデジタルギフト・小売り流通、教育・ギフト・印刷、ポイントギフト・マーケティング、保険・金融、EC・メディア・物流、ECを主な標的としていた。
標的と確認された国内企業のうち8社は、2026年9〜10月に情報漏えいを公表済みだ。
同センターは、同一の攻撃グループによる複数の被害を示すものとみており、把握した情報を法執行機関に共有した。
※1 自律型ペネトレーションテストシステム：AIなどを活用し、システムの脆弱性を自動的に調査・検証する仕組み。本来はセキュリティ対策を目的とする。
※2 フォレンジックログ：不正アクセスなどの発生状況や原因を調査するために分析する、システムや通信の記録。
AI悪用で業種別攻撃が拡大か、防御側にも課題
今回の発表で重要なのは、AIツールの利用だけでなく、標的となる国や業種に偏りが見られた点である。
攻撃元を複数用意し、特定の業種に狙いを定める手法が広がれば、企業は自社への攻撃を単発の出来事として扱いにくくなるだろう。
特に懸念されるのは、AIの活用によって攻撃の効率化が進み、従来よりも多くの企業が短期間に標的となる可能性だ。
特定の業種で共通して利用されるシステムやサービスが狙われれば、類似した脆弱性を持つ企業にも被害が波及する恐れがある。
本来、侵入テストのための仕組みが不正アクセスに転用されることは、防御技術と攻撃技術の境界が曖昧になるリスクを浮き彫りにする。
AIによる作業の自動化が進めば、攻撃者側の探索や試行の負担が減り、企業の監視・対応体制には一層の迅速さが求められる可能性がある。
一方、攻撃インフラや標的業種の共通点を早期に把握できれば、関連企業間で警戒情報を共有し、被害の拡大を抑える手掛かりにもなる。
今回の事例は、AI対策そのものに加え、業種をまたぐ脅威情報の共有と、侵害の兆候を継続的に確認する重要性を示唆している。
GMOサイバーセキュリティ byイエラエ株式会社 セキュリティブログ
関連記事：
GTIG、攻撃者のAI悪用が進化 自律型攻撃で防御が困難に
JPCERT/CCが国内組織を標的とした不正アクセスに対する注意喚起を公表
OpenAI、AIエージェントのHugging Face不正アクセスを報告 隔離回避・情報共有を確認
