123 Reg、顧客データへの「AIサイバー攻撃」を公表　中国関与を疑う

何が起きたのか

123 Reg は、9月18日に侵入を受けたと発表しました。同社は、これを「AIを使った攻撃として初めて確認されたもの」と説明しています。顧客には、名前、電話番号、国、言語や通貨の設定、アカウント作成日、契約している商品、マーケティングの希望などが読まれた可能性があると伝えられました。会社は、攻撃者の活動は「読み取りだけ」に限られていたとしています。ただ、データのコピーが作られた可能性もあるとしています。

主な数字と事実

• 侵入日は9月18日です。
• 攻撃者が使ったIPアドレスの多くは中国とシンガポールのサーバーにありました。
• 中国の国家に支援されたとみられるグループが、少なくとも30の組織を攻撃したと報じられています。
• 同じグループが、韓国の金融機関を攻撃したとも疑われています。
• CrowdStrike は10月7日に、韓国の金融機関を狙った攻撃の報告書を公開しました。

攻撃者はどんな手口を使ったのか

123 Reg によると、攻撃者は中国のサーバーに、AIを使った攻撃用の「スキル」と呼ばれる部品を置いていました。その中には、Anthropic が公開したものの複製も含まれていました。攻撃に使われたとされる ARTEX は、2026年7月に公開された、中国で作られた無料のAI侵入テスト用ツールです。侵入テストとは、わざと攻撃してシステムの弱点を探す作業のことです。

なぜ大切なのか

AIを使った攻撃が、実際の企業の顧客情報を狙う段階に進んだ例だからです。もし攻撃者が電話やメールで顧客をだますことに情報を使えば、被害が広がるおそれがあります。123 Reg は、会社から来たように見える連絡には注意し、怪しいときは公式サイトから確かめるよう呼びかけています。

今後の注目点

• 攻撃者が本当に中国のグループなのか、確かな証拠が出るかどうか。
• 顧客データが実際に悪用されるかどうか。
• 英国、EU、米国の連邦取引委員会（FTC）などが、どのような対応をとるか。