暮らしと仕事の「？」を調べてみた｜まいぷれ東村山・小平・東大和編集部

日本企業へのサイバー攻撃にAIエージェント「ARTEX」――攻撃元の調査で使用を確認、標的の8社が情報漏えいを公表

2026年10月21日｜調査報告：2026年10月19日

日本企業へのサイバー攻撃に、AIが実際に使われていたのでしょうか。

2026年10月19日、GMOサイバーセキュリティ byイエラエは、日本企業を狙った不正アクセスの攻撃元インフラを調査した結果、AIを利用した自律型侵入テストツール「ARTEX」の使用を確認したと発表しました。

同社によると、調査した攻撃元では日本企業約20社が標的となっていました。さらに、主に日本企業を狙うAI利用の攻撃インフラを6台発見したとしています。

標的として確認された企業のうち、8社は2026年9～10月に情報漏えいを公表していました。

今回の調査で何が分かり、何がまだ分からないのか。GMOの原典と、海外のセキュリティ企業による関連調査を確認しました。

AIがサイバー攻撃に使われていた？

今回の調査は、10月15日にGMOが公開した報告の続報です。

15日の段階で同社は、国内で相次ぐ不正アクセスについて、攻撃記録の分析からAIが使われた可能性が極めて高いと判断していました。

そして19日、攻撃元インフラの調査によって、ARTEXが実際に使用されていることを確認したと報告しました。

ここが今回の重要な進展です。攻撃の動きからAIの使用を推測するだけでなく、攻撃元の環境に関する調査から、具体的なツールの使用を裏付けたと説明しているのです。

ARTEXとは何？

ARTEXは、AIを利用して侵入テストの作業を自動化するツールです。

侵入テストとは、システムにどのような弱点があるかを、実際の攻撃を想定して調べるセキュリティ検査のことです。

こうしたツールは、本来、システム管理者の許可を得て安全性を調べる用途にも使えます。しかし、攻撃者が悪用すれば、弱点の探索や侵入を試みる作業の一部を自動化する手段にもなります。

重要なのは、ARTEXというツールそのものが、独立した意思で日本企業を攻撃し始めたという話ではないことです。

約20社、6台、8社。数字は何を意味する？

GMOの報告には、複数の数字が登場します。

出典：GMOサイバーセキュリティ byイエラエ、2026年10月19日付調査報告。数字は同社が調査で観測した範囲を示します。

まず、約20社は、最初に調査した攻撃元インフラが標的としていた日本企業の数です。そのうち9社が同じ業種だったと報告されています。

さらにGMOは、同様に日本企業を主な標的とするAI利用の攻撃インフラを6台発見しました。

それぞれの攻撃インフラが狙っていた主な業種には、小売り、教育、印刷、保険、金融、EC、物流、メディアなどが含まれています。

そして、標的として確認された日本企業のうち8社が、9～10月に情報漏えいを公表していたとしています。

ここで注意したいのは、これらがすべて同じ意味の数字ではないことです。

8社の情報漏えいは、すべてARTEXによるもの？

現時点では、そこまで断定できません。

GMOは、標的として確認した企業のうち8社が情報漏えいを公表していたことから、同じ攻撃グループによる複数の被害が発生していると分析しています。

一方、公開された10月19日の記事には、8社それぞれについてARTEXによる侵入経路や情報流出の過程を個別に立証した詳細は示されていません。

また、追加発見された6台すべてでARTEXが使われていたかどうかも、同記事だけでは判断できません。

今回の報告は重要な調査結果ですが、「AIが8社の情報を盗んだ」と言い換えると、確認された事実を超えてしまいます。

韓国でも同じツールが使われていた？

2026年10月7日、米国のセキュリティ企業CrowdStrikeは、韓国の金融機関を標的とする攻撃でARTEXが使われたと報告しています。

CrowdStrikeは、攻撃者が管理していたとみられるサーバーに残されたARTEXの設定ファイルやAIツールの実行履歴などを分析しました。

その結果、ARTEXと複数の大規模言語モデルが攻撃活動に利用されていたとしています。

この調査では、AIが攻撃に使われたことを、攻撃元に残されたファイルや履歴から分析している点が特徴です。

ただし、韓国での攻撃と日本での攻撃が、同一人物や同一組織によるものと確定したわけではありません。

GMOは両国の事例を比較し、国や業種を絞った攻撃活動が行われている可能性を指摘していますが、攻撃者の特定には引き続き調査が必要です。

なぜAIを使うと攻撃が変わるの？

AIを使うことで、攻撃者は大量の情報を調べたり、システムの弱点を探索したりする作業の一部を効率化できる可能性があります。

例えば、古いソフトウェアに残された弱点や、修正が不十分なシステムを探す作業です。

GMOは10月15日の先行報告で、公開されている脆弱性情報だけでは把握しきれない弱点や、外部からの安全な検査では確認しにくい問題に注意を促しています。

また、今回の一連の攻撃では、Webサイトを保護するWAFと呼ばれるセキュリティ機器の制限を回避する手法も確認したとしています。

ただし、AIを使えば必ず侵入に成功するわけではありません。AIの使用が確認されたことと、攻撃の成功率がどの程度高まったかは別の問題です。

今回の公開資料だけでは、ARTEXを使った場合と使わなかった場合の攻撃成功率を比較することはできません。

地域の店舗や中小企業にも関係する？

今回の調査で、東村山・小平・東大和の事業者が標的になったと確認されたわけではありません。

それでも、地域の事業者が日常的に使うシステムにも、確認しておきたい点があります。

例えば、店舗の予約システム、ネットショップ、顧客情報を保存する会員管理サービス、外部の制作会社が管理するWebサイトなどです。

こうしたシステムは、事業者自身が直接管理していない場合もあります。そのため、利用しているサービスや委託先について、次の点を確認することが役立ちます。

• ソフトウェアの更新：古いシステムやサポート終了製品が残っていないか
• 管理画面の公開範囲：インターネットから不要な管理画面にアクセスできないか
• アクセス権限：不要なアカウントや過剰な権限が残っていないか
• 委託先との連絡体制：異常が発生したとき、誰に連絡し、誰が対応するか
• バックアップ：データを復旧できる状態になっているか

今回の事案は、AIを使った新しい攻撃だけを心配すればよいという話ではありません。

既存のシステムの管理状況を把握し、必要な更新や設定の見直しを続けることも重要です。

不正アクセスが疑われる場合、どこに相談できる？

情報処理推進機構（IPA）は2026年10月16日、相次ぐ不正アクセスや個人情報漏えいを受けて、企業・組織向けの「不正アクセス特別相談窓口」を開設しました。

対象は、実際に不正アクセスを受けている、または被害の可能性がある事象が発生している企業や組織です。不正アクセスによる情報漏えいが疑われる場合の初動対応を支援する窓口として案内されています。

詳しくは、IPAの公式案内（不正アクセス特別相談窓口）をご確認ください。

なお、この窓口が今回のARTEX調査だけを受けて開設されたと確認されたわけではありません。

編集部まとめ

主な確認資料・情報源

• GMOサイバーセキュリティ byイエラエ（2026年10月19日）相次ぐ不正アクセスの攻撃元の多くがAIであることを確認ARTEXの使用確認、約20社、9社、6台、8社という数字の根拠。
• GMOサイバーセキュリティ byイエラエ（2026年10月15日）相次ぐ不正アクセスに備える３つのポイントAI利用の推定、脆弱性管理、WAFの制限回避に関する先行報告。URL末尾は20261014ですが、報告日として10月15日を記載しています。
• CrowdStrike（2026年10月7日）Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance韓国の金融機関を標的とした攻撃におけるARTEXの使用と実行履歴の分析。
• 情報処理推進機構・IPA（2026年10月16日）不正アクセス特別相談窓口の開設について被害を受けた、または被害の可能性がある企業・組織向けの相談窓口。

身近な疑問を、一次情報から読み解く。
編集：まいぷれ東村山・小平・東大和編集部
※本記事は各社の公開資料をもとに整理したものです。攻撃者の特定や個別企業の侵入経路を独自に確認したものではありません。