ARTEXとは？中国発のAI侵入テストツールが韓国の銀行と日本企業を狙った事件の全体像

「ARTEX」とは何か——韓国の銀行と日本企業に何が起きたのか

独自分析

2026年10月21日 21:00更新｜出典：CrowdStrike関連報道、GMOサイバーセキュリティ byイエラエ、ITmedia、Impress Watch ほか

中国で作られたAI侵入テストツール「ARTEX」が、韓国の金融機関と日本企業を狙った攻撃で使われたと報じられている。日本では、GMOサイバーセキュリティ byイエラエが2026年10月19日に、約20社が標的になったと発表した。何が分かっていて、何がまだ分かっていないのか。ここでは、事実と未確定の部分を分けて整理する。

ARTEXとは何か

ARTEXは、AIが自動で侵入テスト（ペネトレーションテスト）を行うオープンソースのツールだ。侵入テストとは、自社のシステムに弱点がないかを、攻撃者の目線で確かめる診断のこと。ARTEXは、複数のAIエージェントが外部の大規模言語モデル（LLM）と連携し、弱点の探索から確認までをほぼ自動で進める。連携先のLLMは、使う人が選べる。

報道によると、中国のセキュリティエンジニア（GitHub上の名前は「Autumn-27」）が2026年に公開した。公開ページは、個人の学習やコード研究に用途を限り、実際に動いているシステムへの試験には使わないよう求めていた。

韓国で起きたこと

米セキュリティ企業のCrowdStrikeは2026年10月7日、韓国の金融機関への攻撃でARTEXが使われていたと報告した。攻撃は9月下旬から10月初めにかけて行われた。見つかったきっかけは、攻撃者のサーバーに、誰でも見られる状態のフォルダが残っていたことだった。

被害の数字は、報道によって割れている。韓国の金融当局は10月14日、10月以降に16社で被害を確認し、流出は約10万件にのぼると報じられた。新韓銀行（Shinhan Bank）とイェガラム貯蓄銀行では、それぞれ約2万5,000人と約4万人に影響したとも伝えられている。全体の集計は、まだ続いている段階だ。

攻撃者については、CrowdStrikeが「中国語を話す、金銭目的の人物の可能性が高い」と中程度の確信度で見ている。ただ、特定の個人やグループとは断定していない。

日本で確認されたこと

GMOサイバーセキュリティ byイエラエ（GMOサイバー犯罪対策センター）は2026年10月19日、公式ブログで、日本企業を狙う攻撃の元にARTEXの使用を確認したと発表した。

一方で、まだ分からないこともある。6台すべてでARTEXが確認されたのかは公表されていない。日本の攻撃者と韓国の攻撃者が同じかどうかも、明らかになっていない。TBSは10月20日、攻撃を受けた可能性のある企業は約80社にのぼると報じたが、GMOの「約20社」とは数え方が違う。

「中国AI」と言い切れるのか

ツールは中国で作られた。ただ、動かしていたモデルはDeepSeek、Zhipu AI、xAIと、複数の会社のものだった。「中国のAIが攻撃した」と一言でまとめると、実態とずれるところがある。

何が変わったのか

CrowdStrikeは、AIの力で1人の人間がごく短い期間に多数を狙えるようになった、と位置づけている。今回の件で目立つのは、攻撃の「手間」が減ったことだ。専門の人材が何人もいなくても、公開されたツールと安いモデルがあれば、広い範囲に試せてしまう。

もう一つは、公開をやめても止まらないことだ。開発者は2026年10月8日にGitHubから公開を取りやめ、ソースを閉じて、更新もしないとしている。ただ、すでに複製や派生版が出回っている可能性がある。AhnLabが世界の約600のIPアドレスでARTEXの稼働を確認した、とも報じられている。これは稼働を確認した数で、攻撃者の数とは別だ。

企業が今できる備え

Cloud Security Allianceの分析などが挙げる対策から、現実的なものを選んだ。特別な製品がなくても、今日から確認できる内容だ。

人手の少ない会社ほど、「うちは狙われない」と思いがちだ。ただ、AIで広く試される時代には、規模が小さいことは守りにならないと思う。まずは1番だけでも、一度確認してみてほしい。

今後の注目点

よくある質問

© 2026 AI Global Times. All rights reserved.