北朝鮮系の偽採用攻撃、57カ国1640社に影響か

　米WIREDは8月5日、ギリシャを拠点とする研究者バンゲリス・スティカス氏の調査を報じた。スティカス氏は、米セキュリティ企業クミオの共同創業者兼最高技術責任者（CTO）。複数のC2サーバにアクセスし、攻撃者が自らのマルウェアに感染したことで、その作業端末も確認できた例があったという。分析したデータは約5TB。同氏は、1640社のうち約700～800組織で、サーバやAmazon Web Services（AWS）の最高権限、暗号資産関連の鍵などに及ぶ「深刻な侵入」があったと主張する。


　米コインベースは、問題となった短期契約者は米国内に居住し、北朝鮮政府との関係を裏付ける証拠は確認できなかったと説明した。同社は契約開始から30日以内に契約を終了しており、顧客データや機密情報の流出も確認していないという。

　攻撃の主な入り口は、好条件の求人を装った偽の採用面接だった。開発者に技術試験を装ったコードやnpmパッケージを実行させ、端末にバックドアを導入する手口である。

　米マイクロソフトは、この攻撃活動「Contagious Interview」が少なくとも2022年12月から続き、APIトークン、クラウド認証情報、署名鍵、暗号資産ウォレットなどを狙うと報告している。同社は、採用試験用コードを通常の業務端末で実行せず、隔離した仮想環境を使用するよう推奨した。

　外部委託の開発者が複数企業の認証情報やシステム権限を持つ場合、端末1台の侵害が複数の取引先へ広がるおそれもある。スティカス氏は、最大30社のシステムへアクセスできる委託先の例を確認したと話した。

　スティカス氏は、米ラスベガスで開催中のセキュリティ会議「Black Hat USA 2026」で、開発者が信頼できないコードを実行した際の侵害と、その影響範囲に関する調査内容を講演する予定。採用候補者や委託先の端末を含め、開発環境全体を攻撃面として管理する必要性が高まっている。