ARTEXとは？日本企業20社を狙ったAI攻撃と被害企業・個人情報の確認方法

2026年10月23日時点の公表情報をもとにまとめています。

ARTEXとは、AIを使ってシステムの弱点を自動で探す「自律型の侵入テストシステム」のことです。2026年10月19日、GMOサイバーセキュリティ byイエラエが、日本企業を狙った攻撃の発信元でARTEXが使われていたことを確認したと公表しました。

標的として確認されたのは約20社で、関連調査では、標的になった企業のうち8社が同じ時期に情報漏えいを公表していたと報じられています。ただし、個々の漏えいがARTEXによるものかどうかは、まだ分かっていません。

読者のみなさんが優先したいのは、利用サービスの公式発表を確認すること、パスワードの使い回しをやめること、多要素認証を設定することの3つです。ニュースを見て慌てて口座やカードを止める必要はありません。

2026年10月23日時点で分かっていること

項目	現時点の状況
ARTEXの正体	AIによる自律型の侵入テストシステム。もともとは防御側の検証用ツール
日本での利用	GMOイエラエが、日本企業を狙う攻撃元でARTEXの使用を確認したと公表
標的企業の数	約20社が標的。ただし「侵入された企業の数」ではない
情報漏えいを公表した企業	標的企業のうち8社が9〜10月に公表したと報じられている
企業名	報じられている範囲では公表されていない
個別の漏えいとの関係	ARTEXが原因と確定した事案は、確認できていない
個人が優先すること	公式発表の確認、パスワードの使い回し解消、多要素認証

ARTEXとは？日本企業を狙ったAI攻撃の概要

もともとはセキュリティ検証用のAIツール

ARTEXは、システムの弱点を自動で調べる「侵入テスト」を、AIが自分で考えながら進めるツールです。侵入テストとは、泥棒に入られる前に、わざと鍵の甘いところを探してみる「防犯チェック」のようなものです。

CrowdStrikeは、ARTEXを「中国で開発されたオープンソースの侵入テストツール」と説明しています。オープンソースとは、設計図が公開されていて、誰でも入手して使える状態のことです。

ここで大切なのは、ARTEXそのものはウイルスではないという点です。便利な道具が、悪い目的にも使われてしまった。今回の問題は、そう整理できます。

なぜ従来のハッキングより危険なのか

従来の自動ツールは、決められた手順で弱点を順番に試すものが中心でした。一方、AIを使ったツールは、試した結果を読み取って、次のやり方を自分で考え直せます。

たとえば、ある入り口が塞がれていたら、別の入り口を探しに行きます。人間が時間をかけて行っていた試行錯誤を、休まず短時間でこなせる。これが警戒されている理由です。

JPCERT/CCも2026年10月15日の公表で、攻撃者が既知の弱点探しやAPIへの攻撃にAIを利用していたことが確認されたと説明しています。APIとは、アプリやサービスが裏側でデータをやり取りする「窓口」のことです。

ARTEXの被害企業はどこ？日本企業約20社の調査結果

GMOの調査で分かったこと

GMOイエラエの発表内容は、ITmediaの記事を通じて確認しました。GMOの元記事を直接確認したものではありません。

ITmediaによると、調査した攻撃元のインフラ（攻撃の拠点となるサーバー）は、ほぼ日本だけを狙っていました。標的は日本企業約20社で、そのうち9社は同じ業種のサイトだったとのことです。国と業種を絞った攻撃の可能性があると報じられています。

さらに、日本企業だけを狙うAI利用の攻撃インフラが新たに6台見つかったとも伝えられています。

ここで注意したいのは、約20社は「標的にされた企業」であって、「侵害された企業」ではないことです。狙われたことと、実際に情報が盗まれたことは、別の話です。

情報漏えい公表8社の企業名は判明している？

報じられている範囲では、判明していません。

ITmediaの記事によると、標的になっていることが確認された日本企業のうち、9〜10月に情報漏えいのお知らせを出した企業が8社あったとされています。ただし、記事は標的企業の名前を挙げていません。

また、この8社の漏えいが、ARTEXによって起きたと確定したわけでもありません。「標的になった企業が、同じ時期に漏えいを公表していた」という事実までが、分かっていることです。

そのため、この記事でも企業名の推測はしません。ネット上には「あの会社では」という書き込みもありますが、根拠のない推測は、その会社の利用者を不要に不安にさせてしまいます。

大規模漏えいニュースとの関係は未確認

同じ時期には、複数のサービスで不正アクセスや情報漏えいが報じられました。たとえば、Eストアー（ショップサーブ）、ソースネクスト、オズモールなどです。

ただし、これらがARTEXによるものだと公式に確認された、という情報は、私が調べた範囲では見つかりませんでした。人数や漏えいした情報、原因は、各社が更新を続けています。これらのサービスを使っている方は、必ず各社の最新の公式発表で確認してください。

オズモールの件は、確認のしかたを別の記事でまとめています。

→ OZmall不正アクセスで44万人？自分が対象か確認する方法

「同じ時期だから同じ原因だろう」と決めつけるのは、おすすめできません。

自分の個人情報が漏えいしていないか確認する方法

利用サービスの公式発表と通知を確認

まず、よく使うサービスの公式サイトの「お知らせ」を見てみましょう。検索結果の広告やメール内のリンクではなく、ブックマークや公式アプリから開くのが安全です。

確認したいポイントは4つです。

• 対象になる期間や会員の条件
• 漏えいした可能性のある情報（氏名、住所、メールアドレス、パスワードなど）
• クレジットカード情報が含まれているかどうか
• 原因と、会社が案内している対処法

対象の方には、登録メールアドレス宛に個別の連絡が届くことが一般的です。迷惑メールフォルダも見てみてください。

なお、個別の通知がないからといって、安全が確定するわけではありません。会社が調査中で、対象者をまだ絞り込めていない場合もあります。「通知がない」ではなく「いまの発表の対象条件に当てはまるか」で判断しましょう。分からないときは、公式のお問い合わせ窓口を使うのが確実です。

ほかの情報漏えいでも、確認の流れは同じです。タイムズカーの件をまとめた記事も、参考になると思います。

→ タイムズカー情報漏洩で何をすればいい？

パスワード・決済明細・不正ログイン履歴を確認

次に、自分でできる確認です。

• 銀行やカードの明細に、身に覚えのない請求がないか
• 通販サイトやポイントサービスのログイン履歴に、知らない端末や時間帯がないか
• 「ログインを検知しました」といった通知メールに、心当たりがないか

少額の請求にも注意が必要です。カードが使えるかどうかを試す目的で、少額の決済が行われることがあるからです。

不正な請求を見つけたら、すぐにカード会社へ連絡してください。カード裏面の番号が確実です。一方で、ARTEXの報道だけを理由に、すべてのカードを止める必要はありません。

ARTEX対策で個人が今すぐできる3つのこと

優先順位は、メール、銀行、通販、AppleやGoogleのアカウントです。この順に進めてみてください。メールが乗っ取られると、他のサービスのパスワード再設定にも悪用されるためです。

パスワード使い回しをやめる

漏えいしたメールアドレスとパスワードの組み合わせは、他のサービスでの不正ログインに試されることがあります。同じパスワードを使い回していると、1か所の漏えいが全部に広がってしまいます。

サービスごとに違う、長めのパスワードにしましょう。覚えきれない場合は、スマホやブラウザのパスワード管理機能を使うと楽です。

私は以前、「覚えられないから」と3つのサービスで同じパスワードを使っていました。ニュースを見るたびに落ち着かなかったので、思い切って全部分けたら、気持ちがずいぶん軽くなりました。

使い回しの被害範囲を計算してみた

使い回しがどれだけ影響するのか、仮の例で数えてみました。登録しているサービスが10個あるとして、そのうち1か所からパスワードが漏れた場合です。

• 10個すべて同じパスワード：10個中10個が危険（10÷10＝100%）
• 3グループに分けて使い回し（4個・3個・3個）：最大で10個中4個が危険（4÷10＝40%）
• 10個すべて別々：10個中1個だけが危険（1÷10＝10%）

これはあくまで説明のための仮の数字で、実際の被害を予測したものではありません。ただ、分けるだけで、1回の漏えいで巻き込まれる範囲が小さくなることは分かります。

ちなみに、GMOの調査で約20社のうち同じ業種が9社だったという話も、割り算すると9÷20＝45%です。狙われる側が似た業種に集中すると、同じ仕組みの弱点が同時に探されやすい、という見方もできます。ただしこれは私の読み取りで、公式の分析ではありません。

なお、パスワードを変えるだけで全部が安全になるわけではありません。次の対策もあわせて進めてください。

多要素認証・パスキーを設定する

多要素認証とは、パスワードに加えて、スマホへの確認コードなどを求める仕組みです。パスキーは、パスワードの代わりに端末の指紋認証や顔認証でログインできる新しい方法です。

どちらも、パスワードが漏れても、すぐには乗っ取られにくくなります。対応しているサービスから順に、設定をオンにしておきましょう。

不審なメールやSMSのリンクを開かない

情報漏えいのニュースが出ると、「不正アクセスを検知しました」「パスワードを変更してください」といった、本物そっくりの偽メールが増える傾向があります。

メールやSMSのリンクは開かず、公式アプリやブックマークからアクセスしてください。ログインやカード情報の入力を急がせる文面ほど、一度立ち止まるのがコツです。

WordPressやネットショップも狙われる？

APIの弱点を突くAI攻撃の仕組み

JPCERT/CCは2026年10月15日の公表で、攻撃者の手口を説明しています。調査した攻撃元のサーバーには、Androidアプリの配布ファイルを展開したとみられるディレクトリや、解析用のツールが残っていたとのことです。

つまり、攻撃者はアプリを解析して、裏側のAPIを見つけ出し、その弱点を試していた形跡があります。Flutter製のアプリでは、アプリの中に埋め込まれた秘密鍵や署名の仕組みが読み取られる可能性があるとも説明されています。

この公表は、ARTEXそのものを説明したものではありません。AIを使った攻撃の手口として、ぜひ知っておきたい内容です。

小規模サイト運営者が確認すべき項目

規模の小さいサイトでも、確認しておきたい項目があります。IPAも2026年10月9日に、外部公開しているアプリやサービスの点検を呼びかけています。

• WordPress本体とテーマ、プラグインを最新にしているか
• 使っていないプラグインや、不要に公開されているAPIはないか
• 管理画面の認証は強いか（多要素認証、不要なアカウントの整理）
• WAF（不正な通信を遮るしくみ）の設定は適切か
• ログを残していて、異常に気づける状態か
• バックアップを取り、戻す手順を試したことがあるか
• 制作会社や保守委託先と、緊急時の連絡体制ができているか

WAFは役に立ちますが、入れたから安全とは言えません。更新、認証、ログ監視と組み合わせて考えることが大切です。

更新の大切さは、パソコン側でも同じです。Windowsの緊急更新をまとめた記事も、あわせてどうぞ。

→ 【Windows緊急更新】自分のPCは対象？CVE-2026-96951の対処法

韓国・海外でもARTEXが悪用された？

はい、海外でも報告されています。

CrowdStrikeが分析した韓国金融機関の事例

CrowdStrikeは2026年10月7日付の分析で、韓国の金融機関への攻撃にARTEXが使われた形跡を報告しました。特定の攻撃者名には結びつけておらず、攻撃者は「中国語話者で、金銭目的の可能性が高い」と、中程度の確信度で評価しています。

これは同社の評価であり、断定ではありません。日本の事案と同じ攻撃者かどうかも、分かっていません。

Microsoftが報告した国家支援型とされる攻撃

Microsoftは2026年10月21日付のレポートで、ConnectWiseに関するサプライチェーン攻撃について、Storm-0940が責任を負うとMicrosoftは評価していると述べています。Storm-0940は、中国国家と連携するアクターとされています。

報告では、2,250以上のテナントへのサインイン試行や、標的設定から特権アクセス取得まで3時間未満だった例も紹介されています。

ただし、これはMicrosoftの評価です。日本企業を狙った攻撃と同じ攻撃者だと確認されたわけではありません。

まとめ：まずは自分の情報を確認し、基本対策を徹底する

ARTEXは、AIで弱点を探す侵入テストツールで、日本企業約20社を狙う攻撃に使われていたことがGMOの調査で確認されました。ただし、約20社は標的であり、被害企業の特定も、個別の漏えいとの結びつきも、まだ確認できていません。

不安をあおる情報も多い時期ですが、やることはシンプルです。

1. よく使うサービスの公式発表を確認する
2. パスワードの使い回しをやめる（メール、銀行、通販、Apple・Googleから）
3. 多要素認証やパスキーを設定する
4. 明細とログイン履歴をときどき見る

新しい公式発表が出たら、情報は変わる可能性があります。私も、続報が出たら確認して更新していきます。落ち着いて、できることから始めてみてください。

よくある質問

Q. ARTEXはウイルスですか？

ウイルスではありません。AIを使って弱点を探す侵入テスト用のツールで、攻撃目的で悪用されたと報告されています。

Q. ARTEXの被害企業名は公開されていますか？

報じられている範囲では公開されていません。GMOの調査でも、標的企業の名称は挙げられていないと伝えられています。

Q. 自分の情報が漏えいしたか分かりますか？

個人で直接調べる方法は限られます。利用サービスの公式発表と、登録メールへの通知を確認してください。通知がなくても、調査中の可能性はあります。

Q. 銀行口座やクレジットカードは停止すべきですか？

ARTEXの報道だけを理由に止める必要はありません。明細に身に覚えのない請求を見つけたら、すぐカード会社へ連絡してください。

Q. WordPressも標的になりますか？

公開されているサイトは、規模を問わず弱点を調べられる可能性があります。更新、認証、ログ監視などの基本を見直しておきましょう。

Q. ChatGPTなどの生成AIを使うこと自体が危険なのですか？

使うこと自体が危険なわけではありません。CrowdStrikeの分析では、攻撃者が生成AIサービスを自分のツールに組み込んで使った形跡が報告されています。一般の利用者の使い方とは別の話です。

Q. 中国政府がARTEXを開発したのですか？

そのような確認はありません。CrowdStrikeは中国で開発されたオープンソースのツールと説明しています。Microsoftは、中国国家と連携するStorm-0940が悪用したと評価していますが、開発者が国家とつながっているとは述べていません。

Q. パスワード変更だけで安全になりますか？

十分ではありません。使い回しをやめ、多要素認証やパスキーを設定し、不審なメールに注意する。この3つをセットで進めましょう。

Q. ARTEXの報道をきっかけに、偽のメールやSMSは増えますか？

大きなニュースの後は、公式を装った偽の連絡が増える傾向があります。リンクは開かず、公式アプリやブックマークから確認してください。

Q. 被害に遭ったかもしれないとき、どこに相談できますか？

不正なカード利用は、まずカード会社へ連絡してください。そのほか不安なときは、お住まいの都道府県警察のサイバー犯罪相談窓口や、IPAの相談窓口も利用できます。

おすすめアイテム

パスワード管理は1Password

ARTEXの話を調べていて、私がいちばん「ここは今すぐ直せるな」と思ったのが、パスワードの使い回しだったよ。1Passwordならサービスごとに別々の長いパスワードを作って覚えてくれるから、どこかで漏れても、ほかのサービスまで巻き込まれにくくなる手助けになるよ。

ビサイユのトートバッグ

ニュースを追いかけているうちに、スマホも財布も手に持ったまま移動していた、なんてことはないかな。ビサイユのトートバッグは超軽量で撥水加工、スキミング防止ポケット付きだから、カード類をまとめて持ち歩く日の心強い味方になるよ。

軽量ショルダーBCS-140

通勤やお買い物で両手を空けたい日には、軽量ショルダーBCS-140がちょうどいいよ。撥水加工とスキミング防止、たっぷり入る収納がそろっていて、身軽に動きたい日の相棒になりそう。