相次ぐ不正アクセス攻撃元の多くがAIと判明、日本企業20社標的か

日本企業を狙った一連の不正アクセス事案を調査していたGMOサイバーセキュリティ byイエラエが、攻撃元のインフラの多くでAIによる自律型ペネトレーションテストシステム「ARTEX」が使われていたことを確認したと発表しました。以前からフォレンジック調査でAIによる攻撃の可能性が指摘されていましたが、今回の調査でそれが裏付けられた形です。同様の手口は2026年9月下旬に韓国の金融機関を狙った攻撃でも確認されており、国境を越えた共通のキャンペーンが疑われています。

何が起きたのか、まず結論を整理
経緯を時系列で整理
背景にある「AIによる自律型攻撃」とは
よくある疑問
編集部の視点
まとめ
参考・出典

何が起きたのか、まず結論を整理

GMOサイバー犯罪対策センターが日本企業を狙った侵害事案の攻撃元インフラを調べたところ、AIが自律的に侵入テストのような挙動を行うシステム「ARTEX」が使われていたことが確認されました。これは前回の記事で「AIによる攻撃の可能性が高い」としていた推測を、実際のインフラ調査によって裏付ける結果になります。さらに調査を進めたところ、同じように日本企業ばかりを狙うAI型の攻撃インフラが新たに6台見つかったことも明らかにされています。

経緯を時系列で整理

時期	できごと
2026年9月下旬	韓国の金融機関を標的とした攻撃キャンペーンでARTEXが使われていたと、米セキュリティ企業CrowdStrikeが報告
（前回記事時点）	GMOサイバーセキュリティが、フォレンジックログからAIによる攻撃の可能性が高いと推定
2026年9〜10月	標的とされたとみられる日本企業のうち8社が、すでに情報漏えいに関するリリースを公表
2026年10月19日	GMOサイバーセキュリティが続報を公開し、ARTEXの使用を確認したと発表

背景にある「AIによる自律型攻撃」とは

ARTEXは、本来は防御側が自社システムの弱点を洗い出すために使う「ペネトレーションテスト」の技術を、AIが自律的に行えるようにしたシステムとされています。これが攻撃側に悪用されると、人手による侵入よりも速く、広い範囲を効率的に攻撃できてしまう懸念があります。GMOサイバーセキュリティによると、今回調査した攻撃元インフラは日本企業約20社を標的としており、そのうち9社は同業種だったといいます。CrowdStrikeが報告した韓国の金融機関を狙った攻撃とあわせて考えると、国や業種を絞り込んだうえで、キャンペーンごとに別の攻撃用ホストを用意して実行するという、計画的な攻撃パターンが浮かび上がっています。さらに見つかった6台の攻撃インフラも、それぞれデジタルギフトや小売流通、教育、保険・金融、EC・メディアなど、業種ごとに狙いを変えていたことが報告されています。

よくある疑問

Q1. ARTEXとは具体的に何ですか？

AIが自律的にシステムの脆弱性を探して侵入を試みる、ペネトレーションテスト型のシステムです。本来は防御側のテストツールとして使われる技術ですが、今回は攻撃側のインフラで使われていたことが確認されました。

Q2. 日本だけが狙われているのですか？

GMOサイバーセキュリティによると、確認できた範囲では攻撃元インフラはほぼ日本のみを標的としていたとのことです。ただし、日本と韓国以外の国が狙われていないかについては現在も調査中で、続報が出る可能性があるとされています。

Q3. すでに被害は出ているのですか？

2026年9〜10月の間に、標的とされたとみられる企業のうち8社がすでに情報漏えいに関するリリースを公表しているといいます。GMOサイバーセキュリティはこれらの情報を法執行機関にも共有したとしています。

編集部の視点

今回の発表で注目したいのは、攻撃が「無差別」ではなく、業種や国を絞り込んだ計画的なキャンペーンとして行われている点です。攻撃インフラごとに標的業種が異なっていたという報告からは、攻撃側がある程度の下調べをしたうえでAIツールを使い分けている様子がうかがえます。編集部としては、AIが攻撃の効率化に使われる事例が具体的に裏付けられたこと自体が、企業のセキュリティ対策のあり方を見直す材料になると感じます。一方で、日本と韓国以外への影響については現時点でまだ調査中とされており、断定的な評価は避けるべき段階だと考えます。