ギリシャを拠点とするサイバーセキュリティ研究者ヴァンゲリス・スティカス氏が、北朝鮮国家と関係するハッカー集団が57カ国にわたり1,640社を侵害していたことを明らかにした。同氏は22カ月をかけて攻撃者自身のシステムに潜入し、そこで彼らが自らのマルウェアに感染してしまっていることを突き止めた。
この「自爆」のおかげで、スティカス氏はハッカーたちの作業端末やSlack・Discordでのやり取り、そして盗まれたデータ約5テラバイト分へのアクセスを得て、作戦全体の規模を洗い出すことができた。同氏はラスベガスで開催されたセキュリティカンファレンス「Black Hat」でこの調査結果を発表し、これまで報告されてきたものよりはるかに大規模な侵害作戦だったと説明している。
被害が確認された暗号資産関連企業
スティカス氏によると、被害組織にはCoinbaseやUniswap Labsのほか、ボストン小児病院や中国のスマートフォンメーカーOPPOも含まれていた。影響を受けた1,640社のうち700~800社は、同氏が「本当に深刻」と表現するレベルの侵害を受けており、攻撃者は「サーバーへのroot権限、つまりAWSへのroot権限」を手にしていたと同氏は語る。
関連記事: 研究者が北朝鮮ハッカー集団に潜入、CoinbaseやUniswapなど1,640社の被害を確認
偽の採用面接という手口
攻撃者が主に使っていた侵入経路は、ソフトウェア開発者向けの偽の採用面接だ。機密インフラへのアクセス権を持つエンジニアなどを標的に、技術評価やコーディングツールを装ったマルウェアをインストールさせる。この手口は、北朝鮮が暗号資産・テック企業を狙う際の代表的な手法の一つになっている。こうした企業のエンジニア採用者は、通常の企業侵害ではなかなか到達できないホットウォレットや秘密鍵、本番システムに直接アクセスできることが多いためだ。
今回の発表は、暗号資産セキュリティ企業が何年も前から警鐘を鳴らしてきた脅威に対し、稀に見る内部からの視点を提供するものだ。北朝鮮の工作員は高価値の侵害後に痕跡を周到に消し去ることで知られており、これほど具体的な数字でその実態が定量化されたことはこれまでほとんどなかった。
