Wiz は 2026 年 10 月 22 日に公開した調査で、2026 年 10 月を通じて、オープンソースの自律型ペネトレーションテスト基盤 ARTEX を使う攻撃者が複数の IT・ソフトウェア企業を狙い、Okta、Entra、Cognito といった ID 基盤と Microsoft 365 連携を集中的に攻めていると明らかにした。Wiz によれば、ツールやインフラ、手口はマイクロソフトが先に報告した Storm-0940 と大きく重なり、同じ攻撃者が他のソフトウェア分野へのサプライチェーン攻撃の試みにも広がっている。
ARTEX は中国の開発者が 2026 年 7 月に GitHub で公開し、9 月には百度の Agent+ レッドチーム大会で受賞した。役割分担は明確で、操作者が標的と目的を与えるだけで、計画エージェントが次の一手を決め、実行エージェントが nmap、curl、Impacket などのツールを動かし、結果は資産と発見の共有グラフに集約される。開発者は 10 月 8 日に非公開化したが、その時点でコードは 12000 回以上フォークされ、
まずアプリを読み切り、地図どおりに攻める
Wiz が再構成した手口は再現性が高い。JavaScript バンドル、公開されたソースマップ、実行時設定、Swagger や OpenAPI の文書を落として内部 API を把握し、次にログイン処理を繰り返し開始して OAuth のコールバックや state を操作し、署名なし JWT で SSO 入口を探る。マイクロソフトの OAuth に対しては 2 分で 60 種以上のルート変種を撃ち込んだ。登録できる場所では使い捨てメールで登録し、直後に予測可能な識別子で権限外アクセスやテナント越えのデータ参照を試し、パスワード再発行などの周辺入口も同様に叩き続けた。無防備なモデルエンドポイントを乗っ取る攻撃エージェントとは狙いが違う。あちらは計算資源を盗み、こちらは本人確認をこじ開ける。
パスワードスプレーのリズムが機械だと物語る
パスワードスプレーはさらに分かりやすい。Entra と Okta の数百人の利用者、主にソフトウェアエンジニアを狙い、1 回 20 分から 60 分の集中攻撃で試行間隔の中央値は厳密に 1 秒、十数回試された利用者もいた。単一セッションは 24 時間から 30 時間続き、IP が遮断されれば数分で新しいアドレスに替え、ログイン画面が制限を始めれば同じホストの別入口に移った。Wiz の見立ては率直だ。個々の技術に新しさはない。新しいのは、それらが疲れず諦めない一本のパイプラインに自動でつながれたことだ。
防御側にとっての実務的な意味は、ログイン失敗の多発やパスワードスプレー、大量のアクセス拒否といった既存の検知ルールが今も有効で、そのリズムは人間よりむしろ規則的だということだ。本当に開きつつある差は時間にある。露出が生まれてから悪用されるまでの猶予は縮み続け、公開文書やソースマップの撤去、ID 連携の修正は、眠らない探索者の速度に追いつく必要がある。
