AIハッキングツールが毎分2,900回のログインを試行：御社のアカウントで二要素認証は有効になっていますか？

AIエージェントで攻撃を実行するハッキングツールARTEXは、いまや誰でも手に入る状態です。Censysは2026年11月5日、このツールを動かしインターネットに公開された状態のサーバーを1,465台以上確認しました。中国とつながりのあるグループは、すでにこれを使ってパスワードを推測する攻撃を行い、ピーク時には毎分2,900回のログインを試みました。最も安く速い防御策は二要素認証で、Microsoftの研究ではアカウント侵害のリスクを99.22%減らすことが分かっています。今週は3つのことを実行してください。すべてのメールと管理者アカウントで二要素認証を必須にすること、古いメールプロトコルを止めること、まだ登録していない人の報告を求めることです。御社が外部アプリをMicrosoft 365に接続しているなら、ConnectWiseの侵害に関する記事もお読みください。その穴は二要素認証だけでは塞げません。

ARTEXとは何か、なぜ関係があるのか

ARTEXは自動ペネトレーションテスト用のオープンソースフレームワークで、開発者が2026年7月26日にGitHubで公開しました。Censysが2026年11月5日に公開したレポートによると、1つのAIエージェントが攻撃を計画してタスクに分け、ほかのエージェントがスキャンツールを実行して結果を返し、目標に達するまでこの流れを繰り返します。Microsoftは、偵察からデータ窃取まで、人の関与をほとんど必要とせずに攻撃を進めるツールだと説明しています。

実際の攻撃での利用が明るみに出た後、開発者はクローズドソース化を発表してリポジトリを削除しましたが、アーカイブされたコピーや名前を変えた版は今も出回っています。Censysは同一構成のサーバーを除いたうえで約815の独立した導入を数え、そのうち726台が米国、387台が香港、177台が中国にありました。実務的には、かつて攻撃者のチームが必要だったことが、今では1人と無料のツールでできるということです。

攻撃者は実際に何をしたのか

Microsoftは2026年10月21日に公開したレポートで、Storm-0940として追跡しているグループが10月10日から14日にかけてARTEXを使い、パスワードを自動で推測した攻撃を記録しています。

• 8つの組織の327アカウントがパスワードスプレー攻撃、つまりよく使われるパスワードを多数のアカウントに試す攻撃を受けました。
• 151,000回を超えるログイン失敗があり、そのうち111,000回以上が1日に集中し、10月11日には毎分2,900回の試行というピークに達しました。
• 48アカウントがそれぞれ1,000回を超える失敗試行を受けました。
• 同じグループの別の攻撃では、最初の標的化からクラウド基盤への特権アクセスまで3時間未満でした。

Microsoftによると、この特定の攻撃からはログイン成功は確認されておらず、アカウントのロックアウトが大半を食い止めました。しかしTechCrunchは11月6日に、こうした攻撃の多くが単純な弱点、つまり弱いパスワードや既知のパスワード、そして多要素認証の欠如を突いたものだとまとめています。

なぜパスワードだけではもう不十分なのか

不十分です。機械は疲れず眠らないため、使い回しや過去に漏えいしたパスワードのアカウントは遅かれ早かれ試されます。二要素認証は、攻撃者が持っていない2つ目の要素を加えます。従業員のスマートフォンのアプリに表示されるコード、セキュリティキー、またはパスキーです。Microsoftの研究者は不審な動きのあった実際のアカウントを分析し、公開した研究で、二要素認証は侵害リスクを99.22%減らし、パスワードがすでに漏えいしている場合でも98.56%減らすことを示しました。また認証アプリはSMSのコードより優れていますが、どちらも何もしないよりはるかに良いとしています。

Microsoftのドキュメントには重要な注意があります。IMAP、POP3、SMTPといった古いメールプロトコルは二要素認証に対応していないため、攻撃者はそこからログインして保護をすべて回避できます。これらを止めるまで、有効化は完了していません。

国家サイバーセキュリティ庁の管理策は何と言っているか

サウジアラビア国家サイバーセキュリティ庁（NCA）が発行した必須サイバーセキュリティ管理策ECC-2:2024は、少なくとも3か所で多要素認証を求めています。

• 管理策2-2-3-2：リモートアクセスと特権アカウントについて。
• 管理策2-4-3-2：メールへのリモートアクセスとWebメールでのアクセスについて。
• 管理策2-15-3-5：外部Webアプリケーションへの利用者のアクセスについて。

これらの管理策は、政府機関、その関連会社、そして重要な国家インフラを所有・運用・ホストする民間組織に拘束力があり、同庁は王国内のそれ以外のすべての組織にも活用を強く推奨しています。政府機関にサービスを提供しているなら、取引先評価で問われると考えておくべきです。

今週中に有効にする手順

• Microsoft 365：Microsoft Entra管理センターでEntra ID、Overview、Properties、Manage security defaultsの順に開き、有効にします。セキュリティの既定値は無料で追加ライセンスも不要、管理者に二要素認証を必須にし、レガシープロトコルをブロックします。Microsoftは、締め出されないよう、特定の従業員に紐づかない緊急用の管理者アカウントを2つ用意することを推奨しています。
• Google Workspace：Menu、Security、Authentication、2-step verificationの順に進み、まず従業員の登録を許可し、その後に決めた日付から必須にします。Googleでは新規ユーザーの登録期間を1日から6か月の間で設定でき、経営陣と経理にはセキュリティキーやパスキーを必須にすることもできます。
• 優先順位：管理者、経理、メールのアカウントから始め、次にほかの従業員、その後に会計システム、オンラインストア、ホスティングの管理画面などほかのシステムへ広げます。
• フォローアップ：未登録者の報告を毎週求め、例外は書面で理由を残した一時的なものに限ります。

Origamiの視点

変わったのは攻撃の種類ではありません。パスワードの推測は昔からある手口です。変わったのはそのコストで、いまや自動化され、安く、誰でも使えます。メールや会計システムがいまだにパスワードだけで開く企業は、攻撃者が来ないことに賭けているのと同じで、その賭けはいずれ負けます。

そのためOrigamiが納品するすべてのシステムは、ログインに少なくとも2つの要素を通すよう設計し、企業がすでにMicrosoftやGoogleのアカウントを持っている場合はシングルサインオンと連携させています。詳しくは安全な認証とSSOに関する記事で説明しました。チームが各システムにどうログインしているかを見直したい、あるいは1つの保護されたアカウントにまとめたい場合は、お問い合わせください。

まとめ

無料のAI攻撃ツールが、疲れることなく毎分何千ものパスワードを試す時代になりました。二要素認証と古いプロトコルの停止で、この扉の大部分を閉じられます。Microsoft 365とGoogleなら追加費用なしで数日のうちに有効にできます。今日、経営陣と経理から始めてください。次のレポートの被害者リストに自社のアカウントが載るのを待つ必要はありません。

出典

• Microsoft Security Blog: Storm-0940 uses ARTEX in ConnectWise supply chain compromise、2026年10月21日
• Censys：ARTEXと公開状態のサーバーに関するレポート、2026年11月5日
• 国家サイバーセキュリティ庁（NCA）：Essential Cybersecurity Controls ECC-2:2024
• Microsoft Research: How effective is multifactor authentication at deterring cyberattacks?
• Microsoft Learn: Configure security defaults for Microsoft Entra ID
• Google Workspace: Deploy 2-Step Verification
• TechCrunch: Hundreds of ARTEX AI hacking tools found publicly exposed to the web、2026年11月6日