ギリシャのセキュリティ研究者が北朝鮮のハッカーサーバー内部に22か月間とどまり、57か国1640組織の被害リストを持ち帰ったと報じられている。
バンゲリス・スティカス氏はセキュリティ企業Kumioの最高技術責任者（CTO）。今週、ラスベガスのBlack Hatで調査結果を発表した。
狩る側が狩られる側に
スティカス氏は従来の構図を逆転させた。ハッカー集団がマルウェアを操作するコマンド&コントロールサーバーに侵入した。
スポンサード
スポンサード
一部では彼らの個人用コンピューターにもアクセスした。ハッカー自身がそのマシンを感染させていた。
そして彼は、そのままとどまった。約2年にわたりハッカーの行動を観察し、新たな被害が出るたび記録を続けた。
約5テラバイトのデータを取得した。開発者用のキー、非公開ソースコード、そしてSlackやDiscord上で交わされたハッカー自身のメッセージなどが含まれていた。
この内部からのアクセスが件数の根拠となっている。多くの脅威レポートは外部から被害数を推計する。
今回は攻撃者側のファイルから直接カウントした。1640組織のうち700から800は「深刻な侵害」とスティカス氏は評価する。
Xで最新ニュースをフォロー リアルタイムの情報をお届け
そうしたケースでは、ハッカーがサーバーのroot権限、Amazon Web Services（AWS）のroot権限、暗号資産ウォレットのキーなどを取得していた。
スポンサード
スポンサード
「採用」が唯一の攻撃手法
ソフトウェアの脆弱性がきっかけではなかった。求人が入り口だった。
開発者に管理職と高額報酬を提示し、採用課題として自宅でコードを書くよう求める。その試験がマルウェアをインストールしていた。
Palo Alto Networksの研究者は2023年11月にこの手口を「Contagious Interview」と命名。以降、5社が異なる名称で同一集団の動向を追跡している。
マイクロソフトも2026年3月に独自分析を発表。偽のコードパッケージがGitHub、GitLab、Bitbucketにホストされていたことを突き止めた。
Visual Studio Codeでパッケージを開くと「信頼」許可を求めるダイアログが表示される。ユーザーが許可すれば、エディターが攻撃者のコードを実行する。
「対象を絞ったマルウェア配布を面接ツールやコーディング課題、審査プロセスと一体化させ、開発者が当然信頼する要素に仕込むことで、脅威行為者は求職者が採用プロセスに寄せる信頼を悪用している」 ― マイクロソフトセキュリティブログ2026年3月抜粋
バックドアは短いリストを探しに行く。マイクロソフトはAPIトークン、クラウド認証情報、署名キー、暗号資産ウォレット、パスワードマネージャーのファイルなどを挙げている。
採用は繰り返される弱点。コンセンシスはMetaMask開発業務を開始してわずか1か月の時点で北朝鮮出身の開発者が混じっていたことを発見した。
1人の委託者が30以上の突破口
誘導手法は安価だが、影響範囲は広い。
スティカス氏は、最大30社分の認証情報を保持した請負業者も把握した。1台の感染ノートPCが30件の侵入口になった。
ボストン小児病院はこの典型例である。スティカス氏は元請負業者の私物デバイスを通じて同院の暴露を突き止めた。
同病院はこの認識を否定。数時間で認証情報を無効化し、自院システムへの侵入痕跡は確認されなかったと説明した。
ハッカー集団はターゲット選びも慎重。医療記録や犯罪データベースにアクセス可能だったが、いずれも無視した。
暗号資産ウォレットやブロックチェーンアクセスを攻撃した。コインベースやUniswap Labsなどは彼の警告で対応した組織である。
この選択は統計にも表れる。朝鮮民主主義人民共和国（DPRK）系集団は2025年に20億2000万ドル相当のデジタル資産を窃取したとされる。
CrowdStrikeはこの1年で51%増と記録。また、リクルート手法でフィンテックのクラウド環境に到達する「GOLDEN CHOLLIMA」グループを警告した。
これこそスティカス氏が内部で監視した攻撃の連鎖である。人的経路が依然優位を保つ。
TRM Labsは今年4月のDrift Protocolからの2億8500万ドル流出を、北朝鮮側の代理人とスタッフによる対面会合まで追跡した。
2件の攻撃で2026年の被害総額の76%が発生。2017年以降、平壌側の累計はすでに60億ドル超へ。
スティカス氏によれば、新たな被害は今もデータ内で見つかり続けている。同氏の警告に返答しない組織がほとんどで、Crypto ISACのような団体はDPRK脅威インテリジェンスの共同運用に移行している。