ITの巨人が陥落：AIハッカーが数千社の企業に侵入

編集注：攻撃者がAIを使って「スピードアップ」を図り始めた今、防御側に残された時間的猶予はどれほどか。ConnectWise事件が示す答えは、決して楽観的なものではない。

TechCrunchの報道によると、マイクロソフトはConnectWiseへの侵入事件の首謀者として、中国と関連するハッカー集団を名指しした。さらに注目すべきはその攻撃手法で、同集団はAIエージェントを活用し、短期間のうちにConnectWiseの数千社の顧客企業に対して自動化された侵入攻撃を展開した。

一社のITサービス事業者が、数千社を巻き込む

ConnectWiseは、ITサービスプロバイダー（MSP）やマネージドセキュリティサービスプロバイダー向けに、リモートモニタリング＆マネジメント（RMM）、運用自動化、セキュリティツールを提供する米国のソフトウェアベンダーである。同社の顧客は一般エンドユーザーではなく、多数の中小企業の「IT管理者」にあたる事業者だ。このビジネスモデルが一つの重要な特徴を生み出している——ConnectWiseの製品は、顧客ネットワークのコア部分に自然と展開され、リモートアクセスや一括コマンド配信といった高い権限を持つ。

言い換えれば、ConnectWiseを攻略することは、無数の企業の内部ネットワークを開けるマスターキーを手にすることと同義だ。これは2020年のSolarWinds事件や2021年のKaseya事件と構図を同じくする——攻撃者は最終目標を正面から攻撃するのではなく、すべての標的へと続く「上流パイプライン」を狙う。

AIエージェント：補助ツールから攻撃の主力へ

マイクロソフトの分析は、今回の侵入の顕著な特徴として、攻撃側がAIエージェントを大量に活用して攻撃プロセスを加速させた点を指摘している。従来、攻撃者が偵察・脆弱性悪用・ラテラルムーブメント・権限昇格といった各フェーズを完了するには、人間による判断と試行錯誤が必要で、速度は人員と経験に左右されていた。一方AIエージェントは、標的環境を自動的にスキャンし、悪用可能なエントリーポイントを識別し、攻撃ペイロードを大量生成し、複数の被害者に対して並行して侵入を進めることができる。

これが直接もたらす結果は、攻防リズムの崩壊だ。防御側は通常「異常検知→分析・判断→遮断・対処」というプロセスで対応するが、攻撃側の探索と突破は分単位、あるいは秒単位にまで圧縮される。攻撃の限界コストがゼロに近づくにつれ、大規模なスキャンと侵入はもはや大規模なAPT組織だけの専売特許ではなくなる。

帰属をめぐる論争：技術的証拠と政治的言説

注記しておくべきは、「中国と関連する」という表現はマイクロソフトの脅威インテリジェンスによる帰属分析に基づくものだという点だ。この種の帰属は通常、インフラの特徴、マルウェアコードの類似性、犯行時間帯のパターンといった間接的証拠に基づいており、サイバーセキュリティ業界では従来から論争の的となっており、地政学的言説の影響を受ける可能性もある。企業はこうした結論を参照する際には慎重さを保ち、特定地域への帰属判断に飛びつくのではなく、自社の攻撃対象領域の縮小に重点を置くべきだ。

現時点では、ConnectWise側は影響を受けた顧客の具体的な数と範囲について完全な説明を行っておらず、事件の全貌はさらなる情報開示を待つ必要がある。

サプライチェーン攻撃はなぜ繰り返されるのか

SolarWindsからKaseya、そして今日のConnectWiseへと、ソフトウェアサプライチェーン攻撃が繰り返される根本的な原因は、三つの構造的問題にある。第一に、IT管理系ソフトウェアは本質的に高い権限を必要とし、セキュリティ設計上「信頼の中心」に置かれざるを得ない。第二に、下流の中小企業は独自のセキュリティ監査能力を普遍的に欠いており、上流ベンダーを受動的に信頼するしかない。第三に、規制と責任の境界があいまいであり——上流が侵害され下流が被害を受けた場合、誰が損失を負担するかについて明確なルールが存在しない。

企業が取るべき対策

MSPやRMMツールを利用する企業にとって、この事件はいくつかの現実的な示唆を与えている。一つ目は、自社が使用するIT管理プラットフォームが影響を受けているかどうかを確認し、ベンダーのパッチを速やかに適用すること。二つ目は、リモート管理チャネルに最小権限の原則と強制的な多要素認証を実施すること。三つ目は、大規模な異常コマンド配信や未知のIPからの運用ログインを監視すること。四つ目は、契約において上流ベンダーのセキュリティ通知義務とインシデント責任を明確化すること。

より大局的に見れば、AIは攻撃と防御の両面を同時に変革しつつある。攻撃者はAIを使って効率を高め、防御側もAIを使って異常検知と自動化対応を行っている。この競争の鍵は、より強力なモデルをどちらが持つかではなく、AIの出力をより素早く行動へと転換できる組織プロセスをどちらが持つかにあるのかもしれない。

本稿はTechCrunchをもとに編集・翻訳したものです。