北朝鮮ハッカーがマルウェアに自爆感染、研究者がCoinbaseなど1,640社の侵害を特定

ギリシャのサイバーセキュリティ研究者が、北朝鮮のハッカー自身の運用上のミスを足掛かりに、攻撃者のインフラへ22カ月間アクセスし、57カ国の1,640社に及ぶ侵害の実態を特定した。そのうち700〜800社では、企業サーバーやAmazon Web Services（AWS）環境の最上位権限などを奪われる深刻な侵害があったという。調査からは、複数企業の認証情報を保持する外部委託先が、攻撃の侵入口となる構造的なリスクも浮かび上がった。

【あわせて読みたい】
・北朝鮮のハッカー集団、韓国グループウェア企業に潜伏しGoogle Drive悪用の新種バックドアを展開
・2026年上半期の仮想通貨ハッキング件数が過去最多に、北朝鮮の攻撃とAIエージェント悪用が急増
・出張者が標的に：ホテルWi-Fi経由でMicrosoft 365認証情報を窃取、MFAもすり抜け

■北朝鮮ハッカーはいかにして自ら感染したのか

ギリシャのサイバーセキュリティ研究者が、北朝鮮側のオペレーショナルセキュリティ上の失敗を突き、同国のコマンド＆コントロール（C2）インフラの内部に22カ月間アクセスした。そして、北朝鮮による世界的な侵害キャンペーンについて、これまで公表された中で最も詳細な実態を明らかにした。対象は57カ国の1,640社に及び、そのうち700〜800社では、攻撃者が企業サーバーやAmazon Web Services（AWS）環境のルートレベル権限を取得する「非常に深刻な」侵害が起きていたと、サイバーセキュリティ企業Kumioの最高技術責任者（CTO）、Vangelis Stykas氏は説明した。暗号資産企業の場合は、現地に赴くことなくデジタル資産を移動させるために必要なウォレットの秘密鍵やブロックチェーン関連の認証情報も取得されていたという。Stykas氏は、北朝鮮のハッキングインフラを約2年間調査した後、これらの結果をまとめた。

Stykas氏は水曜日、ラスベガスで開催された「Black Hat USA 2026」で調査結果を発表した。Black Hatは、セキュリティ業界の第一線で活動する専門家が毎年8月に集まり、企業や政府、規制当局が対応に何年も要することもある研究成果を共有するカンファレンスである。今回の発表は、「Contagious Interview」キャンペーンについて過去に公表された調査を大きく上回る規模だった。情報はネットワークテレメトリやダークウェブ監視ではなく、攻撃者自身のインフラから得られたものだ。

1,640の対象組織として名前が挙がったのは、米国で上場する最大の暗号資産取引所Coinbase、主要な分散型取引所プロトコルの開発元Uniswap Labs、ボストン小児病院、日本のテクノロジー企業イオンスマートテクノロジー（AEON Smart Technology）、中国のスマートフォンメーカーOppo、サウジアラビア最大のイスラム金融機関Al Rajhi Bankの関連会社、イタリアの最高司法評議会、ベルギーのフランドル地域政府に関係するテクノロジー機関Digitaal Vlaanderenなどである。セキュリティ研究者らは、これらをStykas氏からの通知に対応した組織、または問題への対処を終えた組織として公表している。

この攻撃インフラへの逆潜入は、高度なエクスプロイトではなく、脅威アクターが犯し得る最も初歩的なオペレーショナルセキュリティ上の失敗を端緒としていた。北朝鮮の工作員が、標的のソフトウェア開発者に仕掛けていたものと同じマルウェアに、誤って自分たちのワークステーションを感染させたのである。

この自己感染により、攻撃者自身の端末からC2サーバーへ通信するライブのコールバック経路が生まれた。これはセキュリティ研究者がほとんど得ることのできない機会である。C2サーバーとは、感染した被害者の端末から盗んだデータを受信、保存し、追加の攻撃命令を送るマルウェア作戦の中枢だ。攻撃者自身の端末がC2サーバーと通信するようになったことで、Stykas氏はSlackやDiscordなどで交わされたハッカーの内部連絡、複数の攻撃で蓄積された窃取データ、開発者の認証情報、ソースコード、インフラ関連の痕跡を確認できるようになった。これらの情報を基に、侵害された組織の全体像を再構築した。マルウェア作戦におけるC2サーバーの役割については、セキュリティ分野で広く研究されている。

Stykas氏は、C2サーバーに保存されていた約5テラバイトのデータを調査した。これは攻撃者が被害者から持ち出し、まだ別の場所へ移したり削除したりしていなかったデータである。調査結果を最初に報じたWiredに対しては、情報の機微性を理由に、C2インフラへの最初のアクセスに使った具体的な技術的方法を掲載しないよう求めた。攻撃者のワークステーションが自己感染したことはアクセスを可能にした決定的な失敗だったが、具体的な侵入方法は明らかにされていない。

■1人の委託先から30社へ：北朝鮮が突いた構造的欠陥

個々のソフトウェア開発者を標的とするキャンペーンが1,640社にまで到達した理由は、マルウェア配布手法の巧妙さだけでは説明できない。背景には、現代のソフトウェア開発体制に組み込まれた構造的な問題がある。

複数の顧客企業へ同時に開発サービスを提供する外部委託の開発者は、一般に、それぞれの顧客で使用する有効な認証情報を同時に保持している。これにはログインアカウント、APIキー、リポジトリへのアクセス権、AWS環境の権限などが含まれる。Stykas氏の調査では、侵害された開発者の中に、最大30社の認証情報を保持している者がいた。こうした開発者1人をContagious Interviewによって感染させることに成功すれば、侵害されるのは1社だけではない。1つの侵入口から30社が同時に危険にさらされる。

これはコードの脆弱性ではない。委託先が数十の企業ネットワークに対するマスターキーのような存在になるアクセス制御上の問題には、CVE（共通脆弱性識別子）は付与されない。企業が外部の作業者に信頼と権限をどのように付与するかという構造的な欠陥であり、北朝鮮の作戦は、それが主要な攻撃対象になり得ることを世界規模で示した。

外部委託先を利用する組織への実務的なメッセージは明確だ。認証情報の分離は、もはや任意のセキュリティ対策ではない。数十の顧客環境へのアクセス権を同時に維持する委託先は、社内従業員向けのアクセス制御をどれほど厳格にしても解消できない攻撃対象となる。Contagious Interviewが1,640社に到達した事実は、この欠陥を大規模に放置した場合に何が起こり得るかを示している。

■偽の求人と本物のマルウェアの手口

Palo Alto NetworksのUnit 42が2023年後半に初めて公表した北朝鮮の長期的な作戦「Contagious Interview」は、規模と到達範囲を拡大しながら同じ手口を繰り返してきた。北朝鮮の工作員はLinkedInなどのビジネス向けプラットフォームで採用担当者を装い、高待遇の求人を提示してソフトウェア開発者に接触する。その後、コーディングテストの実施や開発ツールのダウンロードを求める。

この操作によって、開発者の個人用端末または業務用端末にマルウェアがインストールされる。使用されるのは通常、BeaverTail、InvisibleFerret、OtterCookieと呼ばれるマルウェアファミリーの亜種である。感染後、マルウェアはC2サーバーとの通信を開始し、認証情報やソースコードなど、端末からアクセスできる情報を外部へ送信する。Lazarus.dayは、5つのオープンソースエコシステムにまたがる作戦の変遷を記録したContagious Interviewのトラッカーを運営している。

すべての攻撃が同じ形で行われるわけではない。Microsoftは、北朝鮮のグループが同様の方法で認証情報を収集し、そこから企業ネットワークへ侵入している事例を報告している。「ClickFix」と呼ばれる亜種では、ビデオ面接中にカメラが故障したように見せかけるなど、偽のエラーメッセージを表示し、解決策として悪意のあるコマンドをコピーして実行するよう指示する。45分間の採用面接を終えたばかりの開発者をだませるほどエラーメッセージはもっともらしいが、実行を求められるコマンドは正規のものではない。

Proofpointが「UNK_DeadDrop」として追跡する別のキャンペーンでは、2026年4月と5月、テクノロジー、教育、金融、暗号資産分野の約100組織に所属する開発者へ250通を超えるメールが送られた。UNK_DeadDropはLinkedInを通じた接触ではなく、コーディング課題を装った悪意のあるGitHubおよびGitLabリポジトリへのリンクを記載した未承諾メールを利用した。また、Visual Studio Codeの拡張機能をインストールする仕組みを悪用し、最小限のユーザー操作でペイロードを展開した。

Proofpointは、最初のアクセス方法とマルウェアフレームワークが異なることから、UNK_DeadDropをContagious Interview本体とは別の活動クラスターとして追跡している。ただし、「北朝鮮と連携している可能性が非常に高い」と評価している。

■ハッカーが狙ったもの、そして無視したもの

Stykas氏の調査結果で、分析上とりわけ重要なのは、北朝鮮の工作員が何を盗んだかだけでなく、何に関心を示さなかったかという点である。ボストン小児病院のCOVID-19関連健康データベースを含め、重要な非金融データを保有する組織へアクセスしたにもかかわらず、攻撃者は医療記録、政府情報、デジタル資産と無関係な企業の知的財産にはほとんど関心を示さなかった。

焦点は、ほぼ暗号資産ウォレットの認証情報とブロックチェーンへのアクセスに絞られていた。この選択的な標的設定は、これまで報告されてきた北朝鮮の戦略的な資金需要と一致する。暗号資産は追跡が難しく、従来の制裁手段による凍結が困難であり、北朝鮮が長年構築してきた複数のブロックチェーンをまたぐ資金洗浄ネットワークを通じて、速やかに換金できる資金をもたらすためだ。

Chainalysisの「2026 Crypto Crime Report」によると、北朝鮮の国家支援ハッカーは2025年だけで20億2,000万ドル（約3,192億円、1ドル＝158円換算）相当の暗号資産を盗んだ。これは前年比51％増であり、単年として過去最高額だった。2017年以降に北朝鮮の犯行とされた累計額は67億5,000万ドル（約1兆665億円、同レート換算）に達した。米国政府機関と国連は、こうした収益が北朝鮮の核兵器および弾道ミサイル計画の資金源になっていると報告している。

米国における最大の中央集権型暗号資産取引所Coinbaseと、主要な分散型暗号資産取引プロトコルを開発するUniswap LabsがStykas氏の侵害データに含まれていたことは、委託先を経由した侵入が理論上のリスクにとどまらないことを示す。この経路によって、国家を背景とする攻撃者が、デジタル資産エコシステムで特に重要なプラットフォームに到達していた。Coinbaseは自社に関する事案を直接確認している。

■Coinbaseの対応と確認された事実

Coinbaseは公式ブログで自社の事例を詳しく説明した。Stykas氏から連絡を受け、問題となった委託先が北朝鮮に関連するより広範な侵入活動の一部だと示す情報を共有されたこと、少量のコードが社内の非公開リポジトリへプッシュされていたことを確認している。

注目すべきなのは、Stykas氏から通知を受ける前に、Coinbaseの内部統制が何を検知し、何を把握できていなかったかである。同社によると、セキュリティシステムは、委託先が第三者へ業務を再委託していた可能性を示す異常を検知していた。これは、米国にいる仲介者が雇用され、実際の業務は北朝鮮の工作員が遠隔で行うIT労働者スキームで知られる兆候である。同社はStykas氏から情報提供を受ける前に、採用から30日以内でこの委託先との契約を打ち切っていた。機密情報や顧客データは流出していないという。

Coinbaseは、Stykas氏の調査が、公に得られる情報をはるかに上回る可視性を備えていたと説明した。また、同氏からの連絡により、この事例の全体像を確認し、対応を完了できたとしている。

ボストン小児病院は、このインシデントが元独立契約者の個人用端末に関係するものであり、病院のネットワークインフラ自体には及んでいないと確認した。同病院は、残っていた認証情報を無効にし、システムへの不正アクセスを示す証拠は見つからなかったと説明している。

Digitaal Vlaanderenは、2026年3月にStykas氏から通知を受けた後、影響を受けたワークステーションを隔離し、侵害された可能性のある認証情報を無効にした。さらに、インシデントは封じ込められたと発表した。

■すでに発せられていた警告

Stykas氏がBlack Hatで明らかにした問題には、以前から警告が出されていた。FBIは長年、偽の身元を用いて正規の職を得て、将来の作戦に使う情報やアクセス権を収集しながら、賃金を平壌へ送る北朝鮮のリモートIT労働者について、米国企業向けの公開勧告を提供してきた。2025年1月には勧告を更新し、潜入したIT労働者が企業の内部データを盗み、それを恐喝の材料として使った事例もあると指摘した。

Stykas氏によるBlack Hatでの発表の5日前に当たる2026年7月31日には、同盟関係にある11カ国の政府が協調して警告を発表した。北朝鮮の工作員がリアルタイムのAIディープフェイク映像を使用し、採用時のライブ面接による審査を突破しているという。これは、多くの企業が採用プロセスに追加していた対面型の本人確認に対し、攻撃側が手法を進化させたことを示している。

2026年だけで、米司法省は「ラップトップファーム」を運営していた米国内の協力者8人について有罪判決を獲得している。ラップトップファームとは、偽の身元で企業から支給されたノートパソコンを米国内の住宅などで受け取り、国外の工作員が遠隔操作できるようにする設備である。この取り組みにおける直近の量刑に関する情報は、5カ月間で7件目と8件目の措置だったことを示している。

Stykas氏による22カ月間のアクセスが、すでに知られていた一連の問題に加えたのは、これまでの公開警告にはなかった広がりと具体性だ。推定被害数ではなく、具体的な組織名が示された。攻撃主体の帰属に関する評価だけでなく、攻撃者自身のサーバーで確認された直接的な証拠も得られた。

■企業が取るべき対策

1,640社に及んだ侵害から得られる構造的な教訓は、採用プロセスの改善だけではない。ただし、11カ国の勧告が示すように、ディープフェイクを考慮した本人確認も基本的な要件となっている。2026年6月にSkaddenが公表した分析によると、不十分なコンプライアンス体制が原因で北朝鮮のIT労働者を雇用した企業は、単に被害者となるだけでなく、刑事責任を問われる可能性もある。より根本的な問題は、企業が委託先にどのように権限と信頼を付与しているかにある。

セキュリティチームが直ちに検討すべき具体策は次の通りである。

委託先が持つ認証情報の範囲を監査する。活動中の外部委託先ごとに、現在いくつの顧客システムに対する認証情報を保有しているかを確認する。5つを超える異なる企業環境へ同時にアクセスできる委託先は、監視強化が必要な高リスクアカウントとして扱うべきだ。

委託先のアクセス権に期限と範囲を設定する。外部の開発者には、現在の契約で必要な特定のリポジトリ、システム、クラウド環境に限って認証情報を付与する。過去の契約で関わった環境への恒常的なアクセスを残してはならない。

業務の再委託を示す兆候を監視する。Coinbaseの内部統制は、委託先との契約を打ち切る前に、業務が第三者へ再委託されていた可能性を示す異常を検知した。具体的には、接続地域の不整合、複数のIPアドレスからの同時ログイン、委託先が申告した勤務地や勤務時間と一致しないコードのコミットやアクセスなどを確認する。

暗号資産による報酬の支払い要求に注意する。11カ国の勧告は、暗号資産または送金サービスを通じて報酬を受け取ろうとする行為を、北朝鮮のIT労働者が関与している主な兆候の一つとして挙げている。これは依然として、初期段階で確認できる信頼性の高い兆候の一つである。

疑わしい活動はIC3.govを通じてFBIへ報告する。米国以外では、それぞれの国や地域を管轄するサイバーセキュリティ当局へ報告する。

■注目ポイントQ&A

●1人の研究者が、どのようにして北朝鮮のハッキングインフラへ22カ月間アクセスできたのですか？

北朝鮮のハッカーが、標的のソフトウェア開発者に仕掛けていたものと同じマルウェアに、誤って自分たちのワークステーションを感染させたためです。この自己感染により、攻撃者の端末から、盗んだデータを受信して攻撃命令を送るコマンド＆コントロール（C2）サーバーへのコールバック経路が生まれました。Vangelis Stykas氏は、この状況を足掛かりに継続的なアクセスを獲得しました。これは典型的なオペレーショナルセキュリティ上の失敗であり、攻撃者が最も基本的な分離の原則を破ったところを研究者が利用した形です。ただし、Stykas氏は情報の機微性を理由に、最初のアクセスに用いた具体的な技術的方法を明らかにしていません。

●なぜ北朝鮮は、個人のソフトウェア開発者を狙うことで1,640社に到達できたのですか？

外部委託の開発者が、複数の顧客企業で使う有効な認証情報を同時に保持していることが多いためです。中には最大30社へのアクセス権を持つ開発者もいました。こうした委託先の1人をContagious Interviewで感染させることに成功すれば、1社だけでなく、その委託先がアクセスできるすべての企業が同時に危険にさらされます。これはソフトウェアの脆弱性ではなく、企業による委託先の権限管理に存在する構造的な問題です。パッチでは解決できません。アクセスに期限を設け、現在の契約に必要な範囲へ限定し、外部開発者の受け入れ前に認証情報の到達範囲を監査する必要があります。

●名前が挙がった組織はどこですか。また、実際に何が狙われましたか？

Black Hat USA 2026でStykas氏が名前を挙げたのは、Coinbase、Uniswap Labs、ボストン小児病院、イオンスマートテクノロジー（AEON Smart Technology）、Oppo、Al Rajhi Bankの関連会社、イタリアの最高司法評議会、Digitaal Vlaanderenです。このうちCoinbaseとDigitaal Vlaanderenは、インシデントに関する公式回答を公表しています。主な標的は暗号資産ウォレットの認証情報とブロックチェーンへのアクセスでした。医療記録や政府データはアクセス可能だったにもかかわらず、ほとんど関心を持たれなかったとされています。Coinbaseは顧客データが流出していないと確認しています。ボストン小児病院も、問題が元委託先の個人用端末に関係するもので、病院のシステムへの不正アクセスを示す証拠はなかったと説明しています。

●Contagious Interviewキャンペーンとは何ですか。現在も活動していますか？

Contagious Interviewは、Palo Alto NetworksのUnit 42が2023年後半に初めて公表した、北朝鮮を背景とする国家支援型のキャンペーンです。LinkedInなどで偽の採用担当者を装ってソフトウェア開発者へ接触し、魅力的な求人を提示した後、開発ツールのインストールやコーディング課題の実施を求めてマルウェアを送り込みます。Famous Chollima、DEV#POPPER、DeceptiveDevelopment、UNC5342など、複数の名称で追跡されています。いずれも、北朝鮮のLazarus Groupに属する同じ金銭目的の作戦を指すものとされています。キャンペーンは現在も活動中です。2025年1月から2026年4月までに、研究者らは5つのオープンソースエコシステムで確認された1,700件を超える悪意のあるパッケージを、この作戦に関連付けています。

元記事: North Korean Hackers Infected Themselves, Exposing 1,640-Company Breach to Researcher