AIが攻撃を自動でこなす時代が、本当に来てしまいました

2026年10月21日、Microsoftは、中国の国家と連携しているとみられるハッカー集団「Storm-0940」が、AIツール「ARTEX」を使って攻撃を自動化していたと発表しました。PHPの脆弱性の騒ぎと同じ日だったので、ニュースを追いかけながら、正直ちょっと怖くなりました。

今回は、このニュースの中身と、この数日で私のまわりで起きたこと、そしてひとり治療院として気をつけたいことを書いてみます。

侵入テスト用のAIが、攻撃の道具として使われていました

ARTEXは本来、システムの弱点を調べる「侵入テスト」のためのAIツールです。Microsoftによると、Storm-0940は遅くとも2026年9月ごろからこれを使い、世界中のさまざまな業種の数百の組織を狙っていました。

成功したのは一部ですが、狙いをつけてからクラウドの管理者級の権限を手に入れるまで3時間かからなかった例が複数あったそうです。AIは夜も週末も休まず、いくつもの侵入ルートを同時に試せる、と説明されていました。人間なら何日もかかる作業が、数時間で終わってしまうわけです。

なお、Microsoftは自社の製品やシステムの弱点が原因ではないとしています。また、攻撃者がログインに成功したからといって、必ずしもデータが盗まれたわけではない、とも書いています。

Microsoftは、ConnectWise社のクラウドバックアップサービス（旧SkyKick）への侵害も、このグループによるものだとみています。ConnectWiseは10月14日に問題に気づき、10月16日（米国時間）に不正アクセスの調査を公表しました。

そして、Cloud Backupと、それと連携しているSaaS Security、Cloud Managementの3つのサービスを、念のため停止しました。一つのサービスを突破して、そのサービスを使っている多くの顧客の環境に入り込む。これが「サプライチェーン攻撃」と呼ばれる手口です。

自分の院がどれだけ気をつけていても、使っているサービスの側が破られれば巻き込まれる。そこがこの攻撃のいちばん怖いところだと思いました。

昨日、取引業者さんのサイトが見られず、注文を受け付けられない状態だと聞きました。社長さんは、首相の呼びかけは「空襲警報のようなもの」で、こういう状態が何日も続けば倒産する会社も増えるのではないか、と話していたそうです。

少し大げさに聞こえるかもしれませんが、ネットで注文を受けている小さな会社にとっては、サイトが止まるのはお店のシャッターが閉まるのと同じです。その社長さんの心配は、よくわかる気がしました。

私自身も、サーバーの管理画面にログインできない状態が2日ほど続きました。前の記事にも書きましたが、何もできずに待つしかないのは、なかなか落ち着かないものです。

ThreadsやYouTubeで、アカウントを乗っ取られたという報告をいくつも見かけました。他人事じゃないなと思い、1週間ほど前からセキュリティを強化していたところです。

今回のニュースを受けて、AppleとGoogleのアカウントはもう一度見直しています。ここを突破されると、ほかのサービスまで芋づる式にやられてしまうので、深刻な状態になります。

知人から聞いた話ですが、80歳になられた方が「銀行から」という電話を信じてしまい、年金の1年分を取られてしまったそうです。ニュースではAIによる高度な攻撃が話題ですが、身近な被害は、昔ながらの電話やメッセージから起きているのだと感じました。

メールもショートメッセージも、本当に詐欺が多くなりました。届いたものをそのまま信じず、選別しなければいけません。それこそ、AIに選別を手伝ってもらおうかと考えているところです。攻撃にAIが使われるなら、守りにもAIを使えばいい、と思っています。

AIが攻撃を速くする時代になって、正直、不安は尽きません。でも、ひとりの治療院がプロのセキュリティ担当のようになる必要はないと思っています。

大元のアカウントを守ること、怪しい連絡にすぐ反応しないこと、そして家族とも話しておくこと。まずはこのくらいから、少しずつで十分です。私も、できるところから続けていきます。