約2年間、北朝鮮のハッキングインフラに静かに潜入し続けたセキュリティ研究者が、その活動の実態がこれまで考えられていた以上に大規模だったことを明らかにした。57カ国にまたがる1,640社が侵害を受けており、その中には暗号資産大手のCoinbaseとUniswap Labsも含まれるという。セキュリティ企業KumioのCTOを務めるVangelis Stykas氏は、攻撃者たちが自らの作ったマルウェアに感染してしまったとみられる状況を突いて、グループの指令サーバーだけでなく、場合によってはハッカー自身の作業端末やSlackチャンネル、Discordサーバーにまでアクセスすることに成功した。
Stykas氏はこのアクセスを22カ月間にわたり維持し、今月ラスベガスで開催されたセキュリティカンファレンスBlack Hatでその調査結果を発表した。侵害の痕跡を確認できた1,640社のうち、単なるネットワークへの表面的なアクセスにとどまらず、実害を及ぼすほど深刻な侵入を受けていたのは700〜800社に上るという。
侵入口となった偽の求人オファー
主要な攻撃手法は、高度な技術的エクスプロイトではなく、ソーシャルエンジニアリングに依存している。Microsoftが少なくとも2022年から追跡してきたこのキャンペーンは「Contagious Interview」と呼ばれ、ソフトウェア開発者や業務委託先に偽の求人オファーを持ちかけ、一見普通のコーディングテストに見えるプログラムの実行を求める手口を取る。実行した瞬間にマルウェアが密かにインストールされる仕組みだ。この手法が効果を発揮してきたのは、まさに警戒が緩む瞬間、つまり求職者がネットワークを守る立場ではなく転職の機会を吟味している瞬間を突いているからにほかならない。
ハッカーが実際に手にしたもの
Stykas氏によれば、アクセスの深度は標的によって異なるものの、単なる足がかりにとどまらないケースが少なくなかったという。複数のケースで、攻撃者は企業全体への権限、サーバーへのroot権限、AWSインフラへのroot権限まで獲得していた。とりわけ暗号資産関連企業に関しては、秘密鍵やブロックチェーンへの直接アクセスまで含まれており、単なるデータ窃取にとどまらず、そのまま資金盗難につながりかねない深刻な侵害だった。
関連記事: 暗号資産の「レンチ攻撃」、2026年上半期の被害額3000万ドル フランスが最多
被害企業として名指しされたリストには、Boston Children's Hospitalや中国のスマートフォンメーカーOPPOも含まれており、このキャンペーンが決して暗号資産企業だけを狙ったものではなかったことがうかがえる。とはいえ、サーバーへのアクセスがそのままオンチェーン資産への直接的な経路につながることから、暗号資産企業は特に価値の高い標的として扱われていたとみられる。北朝鮮の国家系ハッキング集団はこれまでも、体制の兵器開発資金を賄うための暗号資産窃取と結び付けられてきたが、Stykas氏の調査結果は、その実際の被害範囲がこれまで公になっていたよりもはるかに大きく、成果を上げていたことを示唆している。
