要点
- ドイツのホスティング会社 mittwald が、顧客が AI をつなぐための窓口である MCP サーバーの欠陥から侵入されたと発表した。
- mittwald は、侵入された顧客プロジェクトを 56 件と確認した。10月27日以降のデータはすべて侵害されたものとして扱っている。
- 攻撃者が AI を使ったかは確定していない。mittwald は、ログの動きが人間にしては速すぎることから、AI ツールの利用を示す兆しだとしている。
何が起きたか
mittwald は2026年11月7日、公式ブログで「MCP サーバーのセキュリティインシデント」を公表した。書いたのは同社の経営者だ。
mittwald の MCP サーバーは、顧客が自分の AI アシスタントを管理画面「mStudio」につなぐための窓口だった。MCP は Model Context Protocol の略で、ここではその接続に使われていた。
mittwald の説明によると、事件は大きく二つの段階に分かれる。
まず侵入までの段階。攻撃者は10月21日に MCP サーバーの欠陥を初めて試している。その後、10月23日ごろから通常の利用者のようにサービスを動き回り、試験用に登録したアカウントで機能を調べた。10月27日の15時3分には、新しく登録したアカウントを使って欠陥を突いた。mittwald は、この日以降のデータをすべて侵害されたものとして扱う。
次に発覚後の段階。mittwald が社内の不審な動きに気づいたのは11月4日だ。攻撃者の最初のアカウントを止め、MCP サーバーが入口だったと特定して停止した。翌5日には、攻撃者の痕跡があったプロジェクトを止め、mStudio へのログインと SSH（サーバーへの遠隔接続）も一時止めた。7日には mStudio と SSH が使えるようになった。ただし、念のため止めた Web サイトは、当面止まったままだ。
外部の調査会社が分析に入り、当局にも届け出済みだという。繰り返しの検査で、ほかに侵害されたプロジェクトは見つかっていない。顧客センターは影響を受けていないとしている。どんな種類のデータが盗まれたかは、発表では示されていない。
AI の利用を疑う理由として、mittwald は、人間なら明らかにもっと時間がかかる操作の間隔が、ログでは数秒しかない場面があったことを挙げる。痕跡を消す動きや、注意をそらす動きもあったという。ただし、これは確定した事実ではなく mittwald の見立てだ。欠陥が mittwald 自身のコードにあったのか、使っている部品にあったのかも、本稿の時点では分かっていない。詳しい報告は後日出るとされる。
日本の利用者への影響
mittwald はドイツの会社で、日本の利用者や組織への影響の報告は確認できていない。
ただ、この件は特定の会社だけの話ではない。AI をつなぐ窓口を持つ、ほかのホスティングやクラウドにも同じ型の危険がありうる。自社のサービスや、使っている業者に MCP のような接続機能があるなら、他人事ではない。
今すぐやること
- 自社が使うホスティングやクラウドに、AI 連携の機能（MCP など）があるか確かめる。使っていなくても、有効になっていないかを見る。
- AI につないでいるなら、その AI に与えた権限を見直す。読むだけで足りる仕事に、書き込みや削除の権限を渡さない。
- 使っていない接続や、古い認証情報（API キーなど）を外す。
- 業者が公開する MCP の窓口が、ネットから誰でも届く状態か、利用者を絞れているかを業者に確かめる。
- mittwald の顧客は、mittwald の案内を確認する。mittwald は、mStudio で Passkey（パスワードの代わりになる本人確認）を設定できるようになったと案内している。
背景
AI アシスタントに、サービスの管理作業を任せる動きが広がっている。mittwald の MCP サーバーも、顧客が自分の AI から mStudio を扱うためのものだった。便利な分、窓口の守りが弱いと、侵入の入口にもなる。
The Record は、この件を AI を使った攻撃とされるものとして報じた。ただし、その根拠は mittwald のログの見立てにとどまる。AI を使った攻撃だったのかは、詳細な報告を待つ必要がある。
技術者向けの詳細
- 一次情報: mittwald のブログ「Sicherheitsvorfall am MCP-Server」（2026-11-07）。
- 侵害として扱う起点: 2026-10-27 以降（発表は日付単位の表記で、時刻の指定はない。時間帯の記載もない）。
- 欠陥を突いた時刻: 10-27 15:03（時刻表記は mittwald の発表のまま。時間帯は発表に明記なし）。
- 初回の試行: 10-21（同時期に PHP2Shell の対応が世界で進んでいた）。
- 被害: 侵害された顧客プロジェクト 56 件。念のため止めた Web サイトの数は未公表。発表には、これが 56 件に含まれるかも書かれていない。
- 停止した MCP サーバーの再開時期は、発表に記載がない。
- 侵害の痕跡（IOC）は、本稿の時点で公表されていない。詳報の公開後に確認する。
- 自社の確認点: MCP サーバーの公開範囲、アカウントの登録を誰でもできるか、トークンの権限範囲、操作ログの保管。
