中国系ハッカーが2,250社に侵入｜委託先の鍵が盗まれた日

2026年10月21日、マイクロソフトの脅威インテリジェンス部門が、中国の国家と連携したハッカー集団による大規模な侵入を公表しました。入り口になったのは、企業のデータを預かるクラウドバックアップサービスです。盗まれたのはパスワードではなく、業者と顧客をつなぐ「アプリケーション認証情報」でした。

確認済みの事実
公表元・マイクロソフト脅威インテリジェンス（2026年10月21日）
攻撃主体・Storm-0940（中国国家と連携、2021年から活動）
侵害経路・クラウドバックアップ事業者のアプリ認証情報
規模・2,250を超えるテナントへ、毎分2,900回のサインイン試行
補足・同社側の製品やサービスの欠陥が原因ではないと明示

1. 何が起きたのか「委託先の鍵」が盗まれた

侵害されたのは、遠隔管理ソフト大手 ConnectWise が提供するクラウドバックアップでした。この種の業者は、顧客のデータを預かるために顧客の業務環境へ接続します。そのとき使うのが、利用者が毎回ログインしなくても業者側のアプリが自動で入れるようにする認証情報です。便利な代わりに、これ一つで「許可済みの業者」として入れてしまいます。

つまり今回盗まれたのは、玄関の鍵ではなく、すでに合鍵を渡してある業者の合鍵です。利用者がパスワードを変えても、多要素認証を入れていても止まりません。人としてログインしていないからです。

侵入後は、業務データを読み書きする仕組み（グラフAPI）を通じて、内部の構成を調べ、アプリに新しい鍵を追加し、権限の昇格を試みた形跡が複数の環境で確認されました。自分自身に最上位の管理者役割を割り当てた例も検知されています。

ここが怖い
慌ててアプリを削除すると、追加された鍵や設定変更の証跡まで消えます。しかもその鍵は、元のアプリを止めたあとも裏口として生き残ります。復旧の前に、記録の保全が先です。

2. 国家と連携したハッキングは何が違うのか

金銭目的の攻撃者は、換金できなければ動きません。だから身代金の要求という形で必ず表に出ます。一方、国家が背後にいる場合の目的は居座ることです。静かに読み、静かに残る。発覚しないことそのものが成果になります。

時間軸も違います。平時に入っておき、必要になったときに使う。そして実行者は自国内にいるため、警察が踏み込めません。採算も法執行も効かない相手だ、というのが根本的な非対称性です。

今回さらに厄介なのは速度でした。攻撃側は公開されているAIエージェント型の侵入試験フレームワークを使い、偵察から権限奪取までを自動化。標的を選んでから特権を得るまで3時間を切った例が複数あったと報告されています。アラートは鳴る。けれど人間が判断して遮断するより先に終わる。防御側の前提が崩れたわけです。

3. 中国の法律という構造問題

問題にすべきは「その会社が悪いことをするか」ではありません。「求められたとき、断れる制度があるか」です。

民主主義国にも捜査機関の要請はあります。違うのは、令状が要り、裁判所の審査があり、企業が拒否して争える点、そして要請を受けた事実を公表できる点です。中国の制度にはその三つがない。だから「あの会社は信用できる」という個別の評価が、制度の前では意味を持ちにくくなります。

4. 有事に狙われるのはどこか。太陽光と電気自動車

2025年5月、通信社の報道で、米国の送電網につながる中国製の太陽光用パワーコンディショナーから、製品資料に記載のない通信装置が見つかったと伝えられました。蓄電池側からは携帯無線が出てきたという証言もあります。遠隔で出力を止めたり設定を書き換えたりできれば、電力網は簡単に揺らぎます。

欧州の業界団体は、域内の太陽光容量のうち200ギガワット超が中国製の変換装置に依存していると警告しました。リトアニアは出力100キロワットを超える設備への国外からの遠隔接続を法律で遮断しています。日本でも、機器の安全性を示す適合ラベル制度の義務化が2027年度に控えています。

電気自動車も構造は同じです。常時つながり、位置も車内の音声も扱い、しかも無線で中身を更新できる。更新できるということは、出荷時に安全でも、あとから別物にできるということです。恐ろしいのは機器そのものではなく、遠隔で変えられるという性質のほうです。

5. 「全部が危険」ではない。リスクの測り方

部品単位で白黒をつけるのは現実的ではありません。スマートフォンも通信機器も、どこかで必ず中国の製造網に触れています。そこで思考停止するのではなく、置き場所で考えるのが実務です。判断軸は三つで足ります。

• 外に出ても困らないデータか、出たら事業が終わるデータか
• 遠隔で操作できる機器か、一方向にしか動かない機器か
• 止まったとき、代わりが用意できるか

重要度の低い領域にコストの安い選択をするのは経営判断です。問題は、重要度の高い場所に、断れない制度の下にある事業者を置いてしまうこと。全面排除でも全面許容でもなく、層を分ける。これが落としどころになります。

6. 日本で報じられにくい話

この種の話は、日本の大手メディアでは扱いが小さくなりがちです。理由は陰謀ではなく、構造だと見ています。

• 広告主や取引先に中国事業を抱える企業が多く、編集が慎重になる
• 国名を出した安全保障の指摘が、差別的な主張と混同されやすい
• 侵害事案では被害企業名も委託先名も伏せる慣行が強い
• 委託先がどの国の法律の下にあるかは、開示資料にほぼ書かれない

結果として、利用者は自分のデータがどの国の管轄に置かれているかを知る手段がありません。知らされないことと、危険がないことは別の話です。

7. 米国はどこまで踏み込んでいるか

米商務省は2025年1月、通信機能を持つ自動車について最終規則を出しました。中国とロシアが関与する車載通信・自動運転の仕組みを、ソフトウェアは2027年モデルから、ハードウェアは2030年モデルから禁止する内容です。米国内で生産した車も対象になります。

通信基地局や監視カメラは政府調達から排除され、電力設備も当局がリスク評価を続け、一部の電力会社は置き換えを始めました。

注目すべきは基準の立て方です。「その製品に欠陥があるか」ではなく「誰が支配しているか」で線を引いている。技術的に安全性を証明できても、支配の所在で落とされる。これは日本企業の調達担当にとって、いちばん理解しにくく、いちばん重要な転換点です。

8. それでも発注してしまう日本企業の事情

発注する側に悪意があるわけではありません。仕組みがそうさせています。調達部門の評価指標がコスト削減額であること。一次委託先の先、二次三次の開発体制が見えないこと。契約書に安全要件が書かれていないこと。そして事故が表に出るのは、担当者の在任期間が終わったあとだということ。

ただ、前提は変わりました。2026年10月1日、能動的サイバー防御の関連法が一部施行されています。基幹インフラ事業者には被害発生時の政府への報告が義務づけられ、重要な機器については製品名や型式に加え、導入や保守を委託する事業者の情報まで届け出の対象になります。「どこに出しているか把握していない」では、もう通りません。

9. 我々は何に気を付けるべきか

今回の件から、現場でそのまま使える対策を並べます。

• 自社環境につながっている外部アプリを棚卸しする。表示名ではなく識別子で照合する
• 外部アプリに与えた権限を最小化し、管理者が与えた同意を点検する
• 人のログインとは別に、アプリ単独の接続記録を分けて監視する
• 鍵の追加、権限役割の変更、転送設定の作成を即時の警告対象にする
• 委託先との契約に、通知の期限と記録の保全義務を明記する
• 事故の初動で、先にアプリを消さない。記録を確保してから切り離す

個人でできることもあります。パスワードを使い回さない。多要素認証を有効にする。業務データを個人契約の無料ストレージに置かない。地味ですが、効きます。

10. テック産業から見た、上手な付き合い方

現実として、切り離しは不可能です。部品も生産設備も市場も深く絡んでいます。目指すべきは完全な分離ではなく、依存の減量と検証可能性の確保です。

• 層で分ける。装置は使っても、制御と鍵の管理は自国側に置く
• 遠隔からの接続は原則遮断し、必要なときだけ時限と記録つきで開ける
• ソフトウェア部品表を求め、中に何が入っているかを見える化する
• 一社一国に寄せない。乗り換え先を常に一つ持っておく
• 技術者同士の交流までは閉じない。排除ではなく検証で担保する

相手が誰であれ、信頼を前提にせず、そのつど確かめる。ゼロトラストという言葉は本来これを指していました。今回の件は、その考え方を取引先の選定にまで広げろ、という請求書のようなものです。

まとめ
守るべきは自社の壁ではなく、委託の鎖です。鍵を渡した相手が、どの国の法律の下で、誰に断れないのか。発注書に書かれないその一行が、これからのセキュリティの本体になります。

出典・マイクロソフト セキュリティブログ（2026年10月21日）、TechCrunch（2026年10月22日）、各国規制当局および報道各社の公表資料