攻撃者は、組織が許可したConnectWiseアプリのアイデンティティを利用して、ユーザーのパスワードや多要素認証を必要とせずにMicrosoft 365環境にアクセスすることができました。Microsoftによると、Storm-0940グループがこの侵害の責任者であり、ARTEXというツールが作戦の複数の段階を加速するために使われたとされています。
テナントとは、Microsoft 365内の組織の作業空間を指し、そこは許可を与えたアプリによって管理されることがあります。これらのアイデンティティを制御する者は、それぞれのテナント内でアプリの権限を持ちます。Microsoftによれば、9月以降に行われたキャンペーンの複数のケースで、最初の標的から特権アクセス取得まで3時間未満しか経過していませんが、これらの組織がConnectWiseの顧客かどうかは明らかにしていません。
MicrosoftはStorm-0940が侵害の原因であると「推定」しており、信頼度は公開していません。一方ConnectWiseは「現時点での帰属については議論できない」と述べ、10月21日にMicrosoftのTrust Centerの通知ページでMicrosoftの結論を認めました。ConnectWiseのステータスページにはStorm-0940もAIも記載されていません。
ARTEX、報告された用途のあるオープンソースツール
ARTEXはマルチエージェントシステム、すなわち自律的に行動可能な複数のAIプログラムの集合体で、Go言語で書かれオープンソースとして公開されています。Cloud Security Allianceの報告によると、2026年7月26日にAutumn-27という開発者が公開しました。CrowdStrikeは10月初旬にこれを韓国の金融機関への侵入と関連付けました。10月8日、開発者はGitHubからプロジェクトを削除し、更新停止とクローズドソース化を発表しましたが、10月22日時点でプロジェクトのページは公開されたままです。
MicrosoftはStorm-0940がARTEXを使い、認識、パスワードスプレー（同一の一般的なパスワードを複数アカウントに試す）、OAuthアプリの悪用を加速させたと記述しています。ARTEXは「任意のAIモデルを使用可能」で、認識から情報持ち出しまで「ほとんど人間の介入なしに」侵入を実行するとしていますが、操作における人間の関与や使用モデルは明示していません。2026年10月10日から14日にかけてのスプレーキャンペーンでは、8組織327アカウントに対し15万1,000回以上の失敗が記録され、成功した認証は確認されていません。
試行と成功した接続
Microsoftは攻撃者が2,250以上のテナントへの接続を試み、その大半が失敗したと述べています。侵害されたテナント数は明かさず、成功した認証が「必ずしも」データアクセスや持ち出しを意味しないとしています。
セキュリティ企業HuntressはConnectWiseアプリを搭載した1万以上のテナントを調査し、10月16日に162テナントで不正接続を確認、10月17日には単一IPから約1,000テナントが標的となり、そのうち300以上で接続成功がありました。追跡した約50テナントでは、アプリが主にExchange管理者のディレクトリ管理権限を取得していました。
ConnectWiseは10月16日に旧SkyKickのCloud Backup環境への「試行的」アクセスを報告し、17日にアプリのアイデンティティへの不正アクセスを認め、7件を無効化し証明書を取り消しました。10月19日に影響を受けた環境の全アカウントと認証情報をリセットし、21日から段階的な復旧を開始、数日かかる見込みです。バックアップアーカイブは「暗号化され隔離されており、侵害の兆候はない」とし、調査は非公開の第三者機関に委託しています。
Microsoftは特に影響を受けたConnectWise接続を無効のままにし、Microsoft Entraのログを保持し、2026年10月15日以降の活動を調査することを推奨しています。ConnectWiseは既発行のアクセストークンは有効期限または無効化まで「使用可能なままである可能性がある」と述べています。
