北朝鮮の国家ハッカーたちは、自らのマルウェアで自らのコンピューターを感染させるという初心者じみたミスを犯し、その結果、セキュリティ研究者に2年間にわたって内部を覗かれる隙を与えた。
ギリシャ出身のセキュリティ研究者で、Kumioの最高技術責任者を務めるヴァンゲリス・スタイカス氏は、ラスベガスで開催された年次セキュリティカンファレンスBlack Hatで調査結果を発表した。同氏は、北朝鮮のハッキンググループが運営する司令制御サーバーに約22カ月間潜伏し、侵入の突破口となったのはグループ側のずさんな運用だったと述べた。攻撃者が誤って自らのツールで自らのワークステーションを汚染した事例が複数あり、スタイカス氏はそこから彼らのSlackやDiscordでの会話や日常の運用環境を直接覗くことができた。同氏は、最初にどうやって彼らのシステムに侵入したかについては明らかにしなかった。
内部で見つかったものは、Wiredが最初に報じたところでは、これまで記録された中で最大級の企業侵害キャンペーンの一つだ。スタイカス氏は、57カ国にまたがる1,640社への侵入を特定し、そのうち700〜800社が、サーバーへのルートアクセス、AWS環境への侵入、暗号通貨企業ではブロックチェーンの鍵とウォレットの直接入手を含む侵害を受けたと述べた。同氏は合計で約5テラバイトのデータを取得した。
攻撃手法はどの事例でもほぼ同一だ。ハッカーは採用担当者を装い、経験豊富なエンジニアに高給のソフトウェア開発職をちらつかせ、応募者のマシンに静かにマルウェアを仕込むコーディングテストを送りつける。Contagious Interviewと呼ばれるこの手口は2022年ごろから確認されており、マイクロソフトはこれを北朝鮮の広範なサイバー作戦の一部として追跡してきた。Heiseの報道によると、各グループは以前は流出した認証情報に頼っていたが、2024年末以降は主にこのソーシャルエンジニアリング手法に切り替えている。
このキャンペーンの波及は契約社員を経由して広がっている。スタイカス氏によると、一度に最大30社分の認証情報やシステムアクセスを保有する契約社員を確認しており、1人の開発者が侵害されれば、数十の組織への道が開かれることになる。同氏が公に名指しした被害者には、Oppo、ボストン小児病院、日本のAEON Smart Technology、イタリアの最高司法評議会、ベルギーのDigitaal Vlaanderen、Coinbase、Uniswap Labsが含まれる。
対応はさまざまだ。ボストン小児病院は、この事件を自社ネットワークではなく、元契約社員がかつて使用していた個人用ラップトップに由来するとし、不正アクセスの形跡は見つからなかったと述べた。Coinbaseは、セキュリティツールが警告を発したため、契約社員を採用から数週間以内に解雇したが、その人物が北朝鮮にいたり、政権に属していたという証拠は見つからなかったと述べた。フランドル政府は2025年3月に通知を受け、影響を受けたシステムを隔離し、認証情報を更新したことを確認した。スタイカス氏によると、他の多くの組織は同氏の警告を完全に無視し、数百の組織はまったく返答しなかった。新たな被害者は毎日のように増えていた。
資金の流れがこの焦点を説明している。HeiseがChainalysisのデータを引用して報じたところによると、北朝鮮は2025年に暗号通貨で20億2,000万ドルを盗み、前年比51％増となり、2017年以降の累計は約67億5,000万ドルに上る。2026年の最初の4カ月間では、北朝鮮による犯行が世界の暗号通貨ハッキング被害額の76％を占めた。盗まれた資金が同国の核・ミサイル計画に流れ込んでいることは明らかで、国際的な制裁にもかかわらずハッキングが続く理由はまさにそこにある。
永続的なアクセスこそ、セキュリティ研究者が懸念する点だ。WannaCryの感染拡大を食い止めた研究者マーカス・ハッチンズ氏は、暗号通貨窃盗のために築かれた足がかりが、いつでもスパイ活動に転用される恐れがあると警告した。このキャンペーンはまた、盗んだ身元で給与職に就き、稼いだ金を本国に送金する何千人ものリモートITワーカーを北朝鮮が送り込んでいる動きと並行して進んでいる。米国では最近、136社以上に影響を及ぼした一連の事件で、こうしたネットワークを支援したとして5人の協力者が有罪を認めた。
雅子 訳
出典: セキュリティの専門家が北朝鮮ハッカーをハッキング、世界中の数百のネットワークが侵害されているのを発見 (Wired, 2026年8月5日); 北朝鮮ハッカー：セキュリティ研究者が世界中での攻撃を暴露 (heise online, 2026年8月6日); 研究者、北朝鮮ハッカーによる1,640社の侵害を発見 (Omega Technology Solutions Group, 2026年8月5日)