Microsoftは、ConnectWiseのサプライチェーンを狙った攻撃が、中国系ハッカーグループ「Storm-0940」によるものと特定しました。
同グループはAI搭載のペネトレーションテストツールを悪用し、2,200以上のテナントに対して自動化された侵入を実行しました。
本記事では、攻撃手法と防御策を解説します。
技術的詳細・特徴
攻撃者は「ChatGPT」や「Claude」系の大規模言語モデルを組み込んだツールで、脆弱なAPIキーや設定ミスを自動探索し、認証情報を取得しました。
- AIがコード生成とリバースエンジニアリングを同時に行い、数秒で多数のエンドポイントをスキャン。
- 取得した認証情報でConnectWiseの管理コンソールにログインし、マルチテナント環境全体にマルウェアを配布。
- 攻撃は「Supply Chain」型で、被害は直接的なシステム侵入だけでなく、顧客データの漏洩リスクも拡大。
影響・対策方法
被害に遭った組織は、内部システムへの不正アクセスやデータ流出の可能性が高まります。特に、サードパーティ製品の認証情報管理が甘いと被害が拡大します。
対策としては、以下を推奨します。
- AIツールの社内利用を制限し、生成コードのレビューを徹底。
- ConnectWiseのAPIキーを定期的にローテーションし、最小権限の原則を適用。
- 異常なログインパターンや大量のスキャン活動をSIEMで検知。
- サプライチェーン全体の脆弱性評価を実施し、第三者リスクを可視化。
情報元: Dark Reading