採用面接を装う北朝鮮のサイバー攻撃で3万台超が侵害、暗号資産1070万ドルが被害に

要点

• 日本・米国・豪州・ドイツの4カ国当局が、北朝鮮の脅威グループによるサイバー攻撃「Contagious Interview」に関する共同警告を発表した。

• 採用面接やコーディング試験を装ってマルウェアを感染させる手口により、世界100カ国以上で3万台超の端末と7000以上の暗号資産ウォレットが被害を受けた。

• 暗号資産の被害総額は少なくとも1071万ドルに上り、Web3やブロックチェーン分野の開発者・エンジニアが主な標的となっている。

• 侵入した端末を踏み台にした企業ネットワークへの不正アクセスや、日本国内に設置された遠隔操作拠点の摘発事例も報告された。

• 日本、米国、オーストラリア、ドイツのサイバーセキュリティおよび情報機関は、IT技術者を標的とした北朝鮮のサイバー攻撃キャンペーン「Contagious Interview」に関する共同アドバイザリを公開した。同キャンペーンによって世界100カ国以上で3万台以上の端末が侵害され、少なくとも1071万ドル相当の暗号資産が不正に流出していたことが判明した。

• 発表によると、この攻撃は主にWebデザイナーやソフトウェアエンジニア、ブロックチェーンや暗号資産、Web3関連技術のスペシャリストを標的にしているという。

100カ国・3万台規模に及ぶ被害と攻撃主体の正体

共同勧告によると、一連の攻撃は求職中のエンジニアのコンピューターに侵入して機密情報を収集し、暗号資産ウォレット（暗号資産を保管・送金するための電子上の財布）から資金や認証情報を奪い取る手口で実行されている。これまでに不正アクセスや窃取の被害に遭ったウォレットは7000件を超えている。

この攻撃活動は、セキュリティ業界で「WaterPlum」「PurpleBravo」「UNC5342」「DEV#POPPER」「Famous Chollima」などの別名で追跡されている。調査機関の分析によれば、同グループは北朝鮮の軍需工業部第313総局の配下で活動しているとみられており、偽名で海外企業に潜り込む北朝鮮のIT労働者グループ（PurpleDeltaまたはWagemole）とも同一のIPアドレスを共有するなど、深い協力関係にあることが指摘されている。

採用面接やコーディング試験を悪用した感染経路

「Contagious Interview」は、セキュリティ企業のPalo Alto Networks Unit 42によって存在が最初に公表された長期的なキャンペーンで、少なくとも2022年から継続して観測されている。

攻撃者は、企業の採用担当者や雇用主を装い、ビジネス向けSNSのLinkedInなどを通じて好待遇の求人案件を提示して標的に接触する。標的との信頼関係を築いた後、採用選考の一環として技術評価やコーディングテストの実施を指示し、課題ファイルの実行を通じて段階的なマルウェア感染を引き起こす。

この攻撃チェーンでは、「BeaverTail」や「InvisibleFerret」「FlexibleFerret」「StoatWaffle」といった多様なマルウェアが送り込まれる。攻撃者は設置したバックドア（外部から不正侵入するための秘密の抜け穴）を経由して、端末を遠隔操作できるリモートアクセストロイの木馬（RAT）を配置し、端末への持続的なアクセス権の維持とデータの持ち出しを行う仕組みだという。

企業ネットワークへの侵入拡大と身元偽装

当局は、この攻撃の影響が個人の暗号資産の盗難にとどまらない点を強調している。侵入に成功した端末を足がかりとして、標的となったエンジニアが所属する組織の内部ネットワークへと侵入範囲を広げるラテラルムーブメント（横方向への不正侵入拡大）が行われ、スパイ活動や知的財産の窃盗に悪用される危険性があるとしている。

また、感染端末から盗み出された身分証明書の画像データは、北朝鮮のIT関係者が実在の人物になりすまして海外企業から業務を受注し、外貨を獲得するための身元偽装に再利用されていると報告されている。

日本国内の遠隔操作拠点や偽装手口の広がり

共同勧告では、グループの一部が正規の受託開発者を装い、企業のWebシステム設計や開発業務を請け負っていた実態も明かされている。攻撃者はオンラインチャットツールを使って日本や米国の開発者と接触し、現地の協力者を介して「ラップトップファーム」（遠隔から多数のPCを一括管理・中継する設備拠点）を構築・運用していたという。なお、日本国内に設置されていたラップトップファームについては、すでに特定されて解体されたことが明らかにされている。

さらに、Discordなどのチャットプラットフォームを通じて代理人や協力者を募集する動きや、生成AI技術を利用して架空の人物情報を精巧に作成し、活動規模を世界的に拡大させている状況についても注意が呼びかけられている。