2026年10月19日に公表されたGMOサイバーセキュリティの調査では、日本企業約20社を標的とする攻撃インフラが確認され、情報漏洩を公表した企業との関連も指摘されました。
なぜ、日本企業が集中的に狙われているのでしょうか？
その背景として注目されているのが、生成AIによって低くなった「日本語の壁」です。
ARTEXの正体や不正アクセスの実態、日本企業が狙われる理由、そして気になる被害企業について、現在わかっている情報をまとめました。
中国製AI「ARTEX」とは？その正体と特徴
ARTEX（アルテックス）は、中国で開発された、AIを活用する自律型のセキュリティ検証ツールです。
国内の不正アクセスで、中国系のAIセキュリティーツール「ARTEX（アルテックス）」が使われていたことが民間調査でわかった。金融などに業種を絞り、少なくとも約80社の日本企業を攻撃の標的にしていた。 日経記事▶https://t.co/Cy4QK8KNwh https://t.co/EnHPruEHQJ
— 日経 データ・調査報道 (@nkinvestigation) October 20, 2026
大規模言語モデル（LLM）と連携し、Webサイトやシステムの弱点を自動的に探し出す機能を持っています。
本来は、企業などが自社システムの安全性を確認するための「ペネトレーションテスト（侵入テスト）」に利用することを想定したツールです。
ペネトレーションテストとは、実際のサイバー攻撃を想定してシステムへの侵入を試み、セキュリティ上の問題を発見する検査のこと。
しかし、こうした機能は悪意のある人物にも利用されるおそれがあります。
ARTEXが注目されているのは、従来は専門知識が必要だった作業の一部を、AIが自動化できるという点です。
一般的な生成AIは、質問に答えたり文章を作成したりするイメージが強いですよね。
一方、ARTEXのようなAIエージェント型ツールは、与えられた目的に応じて複数の作業を進められることが特徴です。
例えば、公開されているシステムの情報を調べ、脆弱性の有無を確認するといった作業を効率化できます。
もちろん、ARTEXを利用したからといって、必ずシステムへの侵入に成功するわけではありません。
それでも、攻撃に必要な時間や手間を減らす可能性があるため、セキュリティ業界では警戒されています。
2026年9月下旬には、韓国の金融機関を狙ったサイバー攻撃でARTEXが使われたとする報告もありました。
その後、開発者が悪用を理由にGitHub上の公開版を非公開化し、更新を停止したことも報じられています。
そして10月、日本企業を狙うサイバー攻撃でも、同様のAI技術が利用されている可能性が浮上しました。
【速報】🇨🇳 中国製AI「ARTEX」、日本企業へのサイバー攻撃に悪用 ・少なくとも約80社が攻撃対象 ・攻撃用サーバー6台を確認 ・標的のほぼすべてが日本のIPアドレス
— SOU⚡️投資ニュース / 米国株・日本株・仮想通貨・AI (@SOU_BTC) October 20, 2026
ARTEXそのものが日本を攻撃するために作られたわけではなく、攻撃者による悪用が問題になっているという点は押さえておきたいところです。
ARTEXによる日本企業への不正アクセスの実態
日本企業を狙ったサイバー攻撃について、具体的な調査結果が公表されたのは2026年10月19日です。
GMO系「国内不正アクセス、中国製AIソフト『ARTEX』の使用確認」 https://t.co/48N2nbOp9w 同ソフトは韓国の金融機関へのサイバー攻撃で使われたとされます。少なくとも約80社の日本企業が標的となり、うち8社が9〜10月に情報漏洩を公表していました。
— 日本経済新聞 電子版（日経電子版） (@nikkei) October 19, 2026
GMOサイバーセキュリティ byイエラエの犯罪対策センターが、AIを利用したとみられる攻撃インフラの分析結果を発表しました。
その内容は、日本企業にとって見過ごせないものでした。
調査対象となった攻撃元インフラの一つでは、観測された標的がほぼ日本企業に集中していたのです。
確認された標的は約20社で、そのうち9社が同じ業種のWebサイトだったとされています。
さらに調査を進めたところ、日本企業を主な標的とするAI利用の攻撃インフラが、新たに6台見つかりました。
標的となった企業の業種も幅広く、デジタルギフトや小売り、教育、印刷、保険、金融、EC、物流などが含まれています。
特定の大企業だけではなく、さまざまなサービスを提供する事業者が狙われていたことがわかります。
また、調査で標的として確認された日本企業のうち、8社が2026年9月から10月にかけて情報漏洩を公表していました。
このことから、同一の攻撃グループが複数の企業に関与した可能性も指摘されています。
ただし、ここで注意したいのが標的として確認されたことと、実際にARTEXによって情報が盗まれたことは同じではないという点です。
現段階では、個々の情報漏洩事案について、ARTEXとの因果関係がすべて確認されているわけではありません。
一方、日本政府も今回の問題を把握しています。
10月20日、木原稔官房長官は記者会見で、外国主体が関与した可能性も含めて、攻撃元の実態解明を進める考えを示しました。
日本企業へのサイバー攻撃、木原官房長官「外国関与含め実態解明」 中国系AI悪用か https://t.co/5PHlwaR0ZN 政府として被害企業に直接聞き取りを行っているとした上で、AIが悪用された可能性などを詳細に分析しているとも明らかにした。
— 産経ニュース (@Sankei_news) October 20, 2026
国家サイバー統括室を中心に、関係省庁による情報収集や被害企業への聞き取りが進められています。
攻撃者が誰なのか、どこから攻撃が行われたのかについては、まだ確定していません。
中国で開発されたツールが使われた可能性があるからといって、攻撃主体まで中国の組織だと断定することはできないのです。
今後の調査によって、攻撃の全容がさらに明らかになることが期待されます。
おすすめ記事：複数企業から漏れた個人情報はダークウェブで統合されるのか―名寄せの危険性を調査
ARTEXが日本企業を狙う理由
なぜ、ARTEXを悪用したとみられるサイバー攻撃では、日本企業が集中的に狙われているのでしょうか？
この疑問について、現時点で攻撃者の本当の動機は明らかになっていません。
ただし、今回の調査結果やサイバー攻撃を取り巻く状況から、いくつかの背景が考えられます。
まず注目したいのが、攻撃者が日本企業を意図的に選んでいる可能性です。
GMOサイバーセキュリティの調査では、特定の攻撃インフラで日本企業への攻撃が集中していたことが確認されました。
さらに、同じ業種の企業が複数狙われていたことも特徴的です。
これは、インターネット上のシステムを無差別に調べるだけでなく、国や業種を絞って攻撃している可能性を示しています。
では、なぜ日本なのでしょうか？
一つの背景として考えられるのが、日本企業が保有する情報の価値です。
小売りや金融、保険、ECなどの企業は、顧客の氏名や住所、連絡先、購入履歴など、さまざまな情報を管理しています。
こうした情報は、犯罪者に悪用される危険性があるため、サイバー攻撃の標的となり得ます。
ただし、今回の攻撃者が個人情報の取得を目的としていたかどうかは、まだ確認されていません。
もう一つの背景が、AIの進化によって、日本企業を攻撃する際の技術的なハードルが下がっていることです。
以前は、日本語のWebサイトや管理画面を理解するために、一定の日本語能力が必要でした。
しかし、現在の生成AIは、日本語の文章を読み取り、内容を理解したうえで処理することができます。
そのため、日本語を母語としない攻撃者でも、日本企業のシステムを調べやすくなっていると考えられます。
また、2026年9月には韓国の金融機関を狙った攻撃でも、ARTEXの悪用が報告されています。
こうした事例から、同様の技術が日本を含む複数の国で悪用される可能性にも注意が必要です。
ただし、韓国での攻撃と日本での攻撃が同じグループによるものかどうかは、確定していません。
そして、もう一つ忘れてはいけないのが、企業側のセキュリティ対策です。
公開されているシステムに脆弱性が残っていた場合、AIを使った攻撃によって、その弱点を効率的に発見されるおそれがあります。
つまり、日本企業が狙われる背景には、攻撃者による標的選定と、AIによる攻撃の効率化が関係している可能性があるのです。
ただし、これらは考えられる要因であり、攻撃者の動機が判明したわけではありません。
おすすめ記事：AIに個人情報を教えてはいけない理由
生成AIが突破した「日本語の壁」
今回のサイバー攻撃で、特に注目されているのが「日本語の壁」という言葉です。
これまで日本語は、海外のサイバー犯罪者にとって、攻撃を進める際の障壁の一つになっていたと指摘されています。
日本のWebサイトや業務システムには、日本語で書かれた案内や入力項目、エラーメッセージなどが数多く存在します。
日本語を理解できない攻撃者にとっては、こうした情報を正確に読み取ることが簡単ではありませんでした。
ところが、生成AIの登場によって、その状況が変わりつつあります。
生成AIは日本語の文章を理解するだけでなく、自然な日本語を作成することもできるからです。
例えば、以前の不審なメールには、不自然な日本語や明らかな翻訳ミスが見られることがありました。
「日本語がおかしいから怪しいメールだ」と判断した経験がある人もいるのではないでしょうか？
しかし、現在の生成AIを利用すれば、自然な敬語やビジネス文書に近い文章を短時間で作成できます。
そのため、文章の不自然さだけで詐欺メールを見分けることは、以前より難しくなっています。
さらに問題なのは、こうした変化がメールだけにとどまらないことです。
ARTEXのようなAIエージェント型ツールでは、システムに関する情報の収集や分析など、複数の作業を効率化できます。
日本語の画面や説明文を理解できるAIと、セキュリティ上の弱点を探す技術が組み合わされることで、攻撃者の負担が軽くなる可能性があります。
つまり、日本語を理解できることが、サイバー攻撃を進めるうえでの大きな強みではなくなりつつあるのです。
この変化については、セキュリティの専門家からも警戒する声が上がっています。
S&Jの三輪信雄社長は、AIによって従来の言語的な障壁がほぼ取り払われたとの見方を示しています。
参考：東洋経済オンライン「日本へのサイバー攻撃が急増､AIが｢黒幕｣なのか？ 消えた｢言語の壁｣と狙われる日本企業の弱点」
日本語という言語の特殊性が、海外からの攻撃を難しくしていた時代とは状況が変わってきたというわけです。
ただし、生成AIが日本語の壁を低くしたことと、今回のARTEX関連攻撃が増えた直接の原因であることは、分けて考える必要があります。
攻撃件数の増加には、システムの脆弱性や攻撃ツールの普及など、複数の要因が関係するためです。
それでも、生成AIの進化によって、海外から日本企業を狙う際のハードルが下がっているという点は、今後のサイバーセキュリティを考えるうえで重要な変化といえるでしょう。
ARTEXによる情報漏洩の被害企業はどこか
今回のニュースを見て、最も気になるのが「実際にどこの企業が被害に遭ったのか？」という点ではないでしょうか。
自分が利用している通販サイトや金融サービスが含まれていないか、不安に感じる人もいるかもしれません。
2026年10月19日に公表されたGMOサイバーセキュリティの調査では、日本企業約20社が標的となっていた攻撃インフラの存在が明らかになりました。
さらに、調査で確認された標的企業のうち、8社が2026年9月から10月にかけて情報漏洩を公表していたとされています。
ただし、現時点で、ARTEXによる被害企業の一覧が公式に確定・公表されているわけではありません。
今回の調査で確認された標的業種には、以下のような分野が含まれています。
- デジタルギフト・小売り流通
- 教育・印刷関連
- ポイントギフト・マーケティング
- 保険・金融
- ECサイト・メディア・物流
このように、私たちの日常生活と関係の深いサービスも、攻撃対象として確認されています。
ただし、これらは調査で確認された業種であり、該当する業種の企業すべてで情報漏洩が発生したという意味ではありません。
また、9月から10月に情報漏洩を公表した8社についても、すべての事案でARTEXが使用されたと確認されているわけではないため、注意が必要です。
では、自分の個人情報が漏洩していないかを確認するには、どうすればよいのでしょうか？
まず確認したいのが、利用している企業の公式サイトです。
企業が不正アクセスや情報漏洩を確認した場合、公式サイトのお知らせやプレスリリースなどで公表することがあります。
対象となる利用者に、メールや郵送で個別に連絡するケースもあります。
もし情報漏洩に関する案内が届いた場合は、漏洩した情報の種類や、企業が案内している対応方法を確認することが大切です。
また、不審なメールやSMSにも注意が必要です。
情報漏洩のニュースに便乗して、偽の確認ページへ誘導するフィッシング詐欺が行われる可能性もあります。
メールに記載されたリンクを安易に開かず、公式アプリや自分で検索した公式サイトから情報を確認すると安心です。
そして今回の問題では、政府による調査も進められています。
木原稔官房長官は10月20日の会見で、外国主体の関与も含め、さまざまな可能性を考慮しながら実態解明を進める方針を示しました。
現時点では攻撃主体や被害の全容が明らかになっておらず、今後の公式発表が重要になります。
被害企業の追加公表や調査結果によって、新たな事実が判明する可能性があるため、引き続き動向を確認していく必要がありそうです。
コメント