APT攻撃とは？生成AIで変わる国家支援型サイバー攻撃の手口と企業の対策

APT攻撃とは？標的型攻撃とどう違うのか？

APT攻撃は一般に、標的型攻撃のうち、侵入後も長く潜伏し、目的の情報にたどり着くまで攻撃を続けるものを指します。IPAは、侵入後に組織に潜伏し、外部のサーバーと連携しながら時間をかけて情報を探し、盗み出す点を特徴に挙げ、こうした攻撃が海外などで一部APTとも呼ばれるとしています^[18]。

警察庁は、国家の関与が疑われるサイバー攻撃として、重要インフラを機能不全に陥れる「サイバーテロ」と、政府機関や先端技術を持つ企業から機密情報を盗む「サイバーエスピオナージ」を挙げ、暗号資産などを盗んで外貨を得る攻撃も発生しているとしています^[12]。警察が確認したサイバー攻撃には、国家を背景とする攻撃グループの関与が疑われるものが複数あり、これらのグループは情報通信、先端技術・製造、学術研究などの分野を主な標的にしているといいます^[12]。

「標的型攻撃」は特定の組織や人を狙う攻撃全般を指す広い言葉です。APT攻撃はその中でも、国家などの後ろ盾、長期の潜伏、目的を果たすまでの執拗さを備えたものと考えると分かりやすいでしょう。侵害が年単位で続くこともあり、日本を狙ったMirrorFaceの事例では、メール攻撃による感染が原因とみられる侵害活動が2024年5月頃まで続いていた例が確認されています^[11]。

Microsoftは、中国・イラン・北朝鮮・ロシアの国家による攻撃活動が、重要なシステムやID（アカウント）への「信頼されたアクセス」を手に入れ、長く保つ方向へ進んでいるとしています^[9]。APT攻撃は攻撃グループ単体で動くとも限りません。2026年10月9日、国家サイバー統括室と警察庁は、中国政府と関連がある企業「永信至誠科技集団（ITG）」が他の中国関連の攻撃グループによる侵害を可能にしていると指摘する、米国作成の国際アドバイザリーに共同署名しました^[17]。

生成AIでAPT攻撃の何が変わったのか？

大きく変わったのは、攻撃の速さと規模、そして言葉の壁です。AIは当初、調べもの・翻訳・コードの手直しを手伝う「助手」として使われていました^[5]。2025年後半からは、攻撃者が組んだ仕組みの中でAIエージェントが偵察から侵入、盗んだデータの整理までを進める事例が報告されています^[1][2]。

1. 2025年6月（11月公表）

   LLMに問い合わせるマルウェアが実戦に

   Googleの脅威インテリジェンス部門（GTIG）は、ロシア政府の支援を受けるAPT28がウクライナへの攻撃で、実行中にLLM（大規模言語モデル）へ問い合わせるマルウェアを使ったと報告しました。GTIGとして、実運用でLLMに問い合わせるマルウェアを観測したのは初めてとしています^[4]。

2. 2025年9月中旬（11月公表）

   AIが攻撃作業の大半を担ったスパイ活動

   Anthropicは、中国の国家支援型と評価するグループが同社のAI「Claude Code」を悪用し、約30の組織への侵入を試み、少数で成功したと公表しました^[1]。

3. 2025年10月

   日本語を含むフィッシング文面の作成

   OpenAIは、中国の情報収集の要求に沿う特徴を持つ中国語の攻撃者グループが、中国語・英語・日本語でフィッシングの文面を作っていたとして、アカウントを停止しました^[7]。

4. 2026年2月

   AIが国家支援型攻撃者の「欠かせない道具」に

   GTIGは、国家の支援を受ける攻撃者にとってLLMが、技術調査、標的選び、巧妙なフィッシング文面の素早い作成に欠かせない道具になったと報告しました^[5]。

5. 2026年9月

   AIが攻撃を「指揮」する段階へ

   Anthropicは、2025年12月〜2026年8月に対処した中から、典型的ではない特に目立つ事例として報告したサイバー攻撃の過半で、AIが直接の実行役または指揮役だったとしました^[2]。GTIGは、中国系のスパイ活動グループがAIで自動ペネトレーションテストの仕組みを設計しようとしていたと報告しています^[6]。

6. 2026年10月1日

   Microsoft Digital Defense Report 2026

   Microsoftは、過去6か月でAIが人を補助する段階から攻撃を指揮する段階、さらに自律的な実行へと急速に移りつつあり、AIが組み立てた攻撃活動も実際に観測し始めたとしました^[8]。

7. 2026年10月21日

   国家に連なる攻撃者が数百組織への攻撃をAIで自動化

   Microsoftは、Storm-0940が2026年9月にはARTEXを使い、世界の数百組織への攻撃を自動化していたと報告しました。標的化の大半は成功しなかったものの、短時間で多くの組織のクラウドに特権的な足場を得たとしています^[10]。

Anthropicの報告では、標的を選び、攻撃の仕組みを組み立てたのは人でした。その後はAIが対象組織のシステムを調べ、弱点を探し、認証情報を集め、盗んだデータを情報としての価値ごとに分類するところまでを、人の監督を最小限にして進めたとされています^[1]。ピーク時には毎秒複数件のことも多い数千件の要求を出しており、人間のチームには不可能な速さだったと同社は述べています^[1]。

Microsoftが報告したStorm-0940は、2021年から活動する中国国家に連なる攻撃者で、従来からパスワードスプレー（よく使われるパスワードを多数のアカウントに試す攻撃）や公開アプリの悪用で侵入し、クラウドに連携したアプリに資格情報を追加して居座る手口を使ってきました^[10]。今回はARTEXでこれを機械の速さに引き上げました。Microsoftの評価では、Storm-0940はConnectWiseのクラウドバックアップ（旧SkyKick）に関わるアプリのIDを奪った後、顧客側のテナントへの認証を自動で試しています。一部の環境では、ディレクトリの偵察、アプリの資格情報の変更、特権ロールの変更まで進みました^[10]。ConnectWise自身も、Cloud Backupに関わるアプリケーションの資格情報への不正アクセスを公表しており、2026年10月26日（UTC）の更新時点でも復旧作業を続けています^[20]。

検知と対策のいたちごっこにも変化が出ています。Anthropicによると、ロシア系のGTG-20006は、自分たちのマルウェアがセキュリティ製品に検知されたかをAIエージェントに監視させ、検知されると作り直させていました。同社は、これまでは新しい検知ルールを配備すれば攻撃者の動きを遅らせられた可能性があったが、AIがそのコストを防御側に押し戻し、少なくとも理論上は検知の配備より速く回避できるようになったと指摘しています^[2]。

言葉の壁も低くなりました。GTIGは、文法の誤りや不自然な言い回しといった従来の見分け方が通じにくくなり、何往復も自然なやり取りを重ねて信頼を築いてから攻撃に移る手口まで出てきたとしています^[5]。OpenAIも、中国語の攻撃者がAIから得た利点は新しい攻撃能力ではなく、言葉の流暢さ、現地の言い回しへの対応、粘り強さだったと分析しています^[7]。警察庁も、AI技術の発達で文章の自然さや偽装の精度が上がり、見抜きにくいフィッシングが増えているとしています^[12]。

「AIが自律的にハッキングする」はどこまで本当なのか？

報告を読む限り、「人が標的と方針を決め、AIが手足として大量の作業をこなす」段階までは来ていますが、人間抜きで国家レベルの攻撃が完結している状況は確認されていません。Googleは2026年9月時点で、完全に自律した攻撃の仕組みが実際の標的に使われた例はまだ観測していないとしています^[6]。ただしGoogleは、AIエージェントや自動化の取り込みが進んでいることから、攻撃者のAIの使い方がその方向へ進みつつある可能性があるとも書いています^[6]。

日本の組織はどのように狙われているのか？

日本では、安全保障や先端技術に関わる組織を狙う中国の関与が疑われるスパイ活動と、暗号資産や外貨を狙う北朝鮮系の活動が、政府によって公表されています^[11][13]。入口は、実在の人物を装ったメールと、インターネットに公開されたVPN機器などの脆弱性が中心です^[11]。

メールの作り込みは周到です。送信者名には受信者が所属する（または所属していた）組織の元幹部や、関心のある分野の有識者が詐称され、件名には「日米同盟」「台湾海峡」「勉強会案内」など受信者の関心を引く言葉が使われました^[11]。最初は添付ファイルを付けず、資料の提供を申し出てやり取りを重ねてから送った例もあります^[11]。キャンペーンCでは、詐称された送信者が過去に第三者とやり取りしたメールを盗み、一部だけ書き換えて送っていたとみられ、文面に違和感がなかったとされています^[11]。

キャンペーンBでは、VPN機器の脆弱性や何らかの手段で得た認証情報の悪用、外部公開サーバーの脆弱性によって侵入されたとみられ、その後Active Directoryサーバー、Microsoft 365、仮想化サーバーへの侵害が確認されています^[11]。侵入後には、Windowsの標準機能を悪用してウイルス対策ソフトやEDR（端末の不審な挙動を監視する製品）の監視を逃れたり、開発ツールの機能を遠隔操作に使ったりする手口も確認されています^[11]。

2026年に入っても状況は続いています。警察庁は、2026年上半期に政府機関や大手製造業者への情報窃取を目的としたとみられるサイバー攻撃や、研究機関などへの不正アクセスが相次いだとしています。同庁が設置したセンサーで検知した、攻撃の前兆にもなる脆弱性探索などの不審なアクセスは、1日・1IPアドレスあたり1万3,687件と前年比50.7%増で、その大部分が海外からでした^[12]。

警察庁は同じ報告書で、AIで自動化したサイバー攻撃が今後増える可能性に触れ、国家を背景とする攻撃グループがAIを使って人間の介入なしに攻撃を実施したとの民間企業の報告があると紹介しています^[12]。警察庁は報告元を挙げていませんが、同種の事例としてAnthropicが公表したGTG-1002の報告では、表現は「大きな人の介入なしに（without substantial human intervention）」で、標的の選定と1回の攻撃キャンペーンあたり4〜6か所の重要な判断は人が担っていました^[1]。国内のWebサイトでも、AIを使った攻撃ツールの悪用は確認されています。JPCERT/CCは2026年10月23日、国内で相次ぐ不正アクセスの注意喚起に、ARTEXなどAIを用いたペネトレーションテスト基盤を悪用した攻撃試行を追加しました。ただし、この注意喚起は攻撃者を特定の国家やAPTグループと結び付けてはいません^[16]。

APT攻撃の典型的な侵入の流れは？

編集部が公表事例とAIの悪用報告をもとに整理すると、APT攻撃はおおむね「下調べ→入口の突破→居座り→内部の探索→持ち出し」の順に進みます。GTIGは、攻撃者が偵察から持ち出しまで攻撃のすべての段階の強化にAIを使い続けているとしています^[6]。どこか1か所で止められるように、段階ごとに守りを置くのが基本です。

編集部は、AIが加わっても段階の順序そのものは変わらないと考えています。Microsoftも、侵入・居座り・データ窃取・スパイ活動といった、ほとんどの攻撃者の目的は変わっておらず、AIは同じ目的を追うための力を与えているとしています^[8]。

Microsoftは、侵入の多くは今もエクスプロイト（脆弱性を突く攻撃コード）ではなく人や認証情報から始まるとしています^[9]。同社の検知・対応サービス（Defender Experts）のデータでは、観測された初期侵入の30%がユーザー自身による実行、20%が正規アカウントの悪用でした。同社は攻撃者のやり方を「信頼されているものをたどる」とまとめています^[8]。

採用・業務委託に紛れ込む北朝鮮IT労働者にどう備えるか？

北朝鮮のIT労働者は、身分を偽って各国の企業から仕事を受注し、その収入は核・ミサイル開発の資金源になっていると、日本を含む各国政府が警告しています^[14]。採用面接ではAIの顔画像交換ソフトも使われており、映像の印象だけで本人と判断しない手順が必要です^[13]。

2026年9月18日に警察庁と国家サイバー統括室が米国・豪州・ドイツの機関と合同で公表した文書によると、WaterPlumはヘッドハンティングを装い、正規のAI企業や暗号資産企業、人材紹介サービスなどになりすまして世界中のIT技術者に近づきます。技術面接やコーディング課題を口実に不正なプログラムをダウンロードさせ、端末に入り込みます^[13]。日本では初めて、国内の支援者の自宅に置かれ、北朝鮮IT労働者が遠隔操作するPC（ラップトップ・ファーム）を把握して解体し、一部のメンバーは日本や米国の企業でWebシステムの設計・開発の仕事に就いていたことも明らかにされました^[13]。

AIの使い方も具体的に書かれています。WaterPlumのメンバーは「Magicam」などのAIの顔画像交換ソフトを使ってオンライン面接を受け、数分使った後はネットワークの不調を口実に映像を切るよう仲間内で助言し合っていました。音声読み上げソフトで日本語の発音を練習し、機械翻訳や生成AIの無料サービスも多用していたといいます^[13]。

海外でも同様の報告があります。FBIは2025年1月、北朝鮮IT労働者がビデオ面接でAIと顔の差し替え技術を使って正体を隠していること、発覚後に盗んだコードやデータで企業を恐喝した例があることを警告しました^[15]。Anthropicは、北朝鮮の工作員が同社のAIで偽の経歴を作り、技術試験を通過し、採用後の業務までこなしていたと報告し、AIが「訓練に何年もかかる」という制約を取り払ったと指摘しています^[3]。

国内でも、北朝鮮IT労働者とみられる人物が暗号資産取引事業者のエンジニア職に応募した例が公表されています。面接では、出社を拒むか先延ばしにする、暗号資産での給与支払いにこだわる、しきりに別のモニターを見て読み上げるような様子がある、背後で他人の声が聞こえる、映像が途切れる、といった特徴が見られ、同社は不審な点に気づいて採用しませんでした^[13]。外注先の北朝鮮IT労働者が、報酬をめぐるトラブルの際に担当していたプログラムのソースコードをインターネットに公開した事例もあります^[13]。

企業はAPT攻撃にどう備えればよいか？

AIを使う攻撃者に対しても、効く対策の中心は変わりません。Microsoftは、AIは弱点を見つけやすく、攻撃を相手に合わせて作り込みやすく、規模を広げやすくするものの、適切に管理されたID（アカウント）を過剰な権限を持つものに変えたり、公開していないサービスを公開状態にしたりはできないとしています^[8]。編集部は、変えるべきは対策を回す速さだと考えます。

経営層への報告では、「AIで攻撃が新しくなった」よりも「攻撃が速くなり、修正までの猶予が短くなった」と伝えるほうが実態に近いでしょう。Microsoftは、脆弱性が悪用可能になるまでの中央値が24時間を大きく下回る一方、企業の重大な外部脆弱性の修正には30〜60日かかりうるとしています^[8]。この差を縮めることが、予算と人員を割く理由になります。

対策が実際に働くかは、平時に試してみないと分かりません。役職者になりすましたメールや電話、偽の面接にどう対応するかを訓練で確かめ、公開機器や連携アプリの穴をペネトレーションテストで洗い出しておくことは、AIで加速する攻撃への備えになります。こうした攻撃の種類はAI詐欺・ハッキングの手口で、訓練やテストの形式は訓練・テストのメニューで紹介しています。

まとめ

APT攻撃は、国家などを後ろ盾にした攻撃者が特定の組織に長く居座り、情報や資金を奪う攻撃です。2025年から2026年にかけて、攻撃者はAIを調べものや文面づくりに使う段階から、AIエージェントに攻撃作業の多くを任せる段階へ進みつつあると報告されています^[1][8][10]。日本でも、MirrorFaceのような長期のスパイ活動や、AIで正体を隠して採用に紛れ込む北朝鮮IT労働者の手口が公表されています^[11][13]。

ただし、人間抜きの完全自律の攻撃が広がっているわけではありません^[6][8]。Microsoftは、AIは以前からある弱点を見つけやすく、突きやすくするものの、適切に管理されたIDや公開していないサービスを弱点に変えることはできないとしています^[8]。編集部は、公開機器の修正、連携アプリと権限の棚卸し、ログの別保存、送信者や応募者を確かめる手順という基本を、これまでより短い周期で回すことが、AI時代のAPT攻撃対策の出発点になると考えます。よくある疑問はよくある質問にもまとめています。