ギリシャ人研究者が北朝鮮ハッカーを逆ハッキング：57カ国1640社に被害、ブラックハットで衝撃の実態が明らかに

すべての侵害が同じ程度だったわけではない。スティカス氏は、そのうち700～800もの被害組織が「極めて深刻な」侵害を受けたと推定している。深刻なケースでは、攻撃者は以下を掌握していたという。

• 企業サーバーへのルートアクセス
• Amazon Web Services（AWS）環境の完全な制御
• 暗号資産の秘密鍵を含む、マスター暗号鍵の窃取

被害を受けた著名企業：暗号資産、医療、家電

スティカス氏は、情報開示プロセスが適切に行われた、または既に独立して侵害を発見していた、約12の組織を公表した。その中には以下のような企業・組織が含まれる。

• コインベース（Coinbase） および Uniswap Labs（暗号資産/金融）
• OPPO（中国のスマートフォンメーカー）
• ボストン小児病院（Boston Children's Hospital）（医療）
• イタリア最高司法評議会
• AEON Smart Technology（日本）

このキャンペーンは広範囲に及び、世界各国のテクノロジー企業、金融機関、医療機関、政府機関などが標的となった。

攻撃の入り口：偽の求人面接

主な初期侵入手段は、スティカス氏が 「Contagious Interview」 と名付けたソーシャル・エンジニアリング・キャンペーンだった。北朝鮮のハッカーたちは、LinkedInなどのプロフェッショナルネットワーク上で企業の採用担当者を装い、ソフトウェア開発者に魅力的な求人を持ちかけた。そして、偽の面接の中で、マルウェアが仕込まれたコーディングテストやPDFなどのファイルをダウンロードさせるよう騙したのだ。

一人の契約社員や従業員の端末が侵害されると、攻撃者はそこから企業ネットワーク内部へと侵入した。さらに、北朝鮮のITワーカーが偽のリモート雇用を通じて直接企業に潜入したケースもあった。

スティカス氏はいかにして侵入し、潜伏し続けたか

スティカス氏は高度な侵入技術を使ったわけではない。北朝鮮のハッカーたちが、自分たちの業務用端末を自分たちのマルウェアに誤って感染させてしまったのだ。この運用上のセキュリティ上の失敗が、スティカス氏に彼らの指令サーバーへの足がかりを与えた。そこから、内部のSlackやDiscordのチャンネルにアクセスし、盗まれたデータを精査し、開発者キー、ソースコード、内部通信を入手した。

彼は22カ月もの間、気付かれることなく静かに彼らの活動を監視し続けた。

Black Hat 2026でスティカス氏が明らかにしたこと

Black Hatで、スティカス氏は以下の点を明らかにした。

• 57カ国にわたる1640もの被害組織の全容
• ハッカー集団が活動範囲を拡大するためにAIツールを活用し始めていること
• コインベース、OPPO、ボストン小児病院などを含む、被害組織の一部リスト
• 数百の被害組織が、サーバーへのルートアクセス、AWS環境の制御、暗号鍵の窃取といった深刻な侵害を受けた証拠
• 主要な初期侵入経路としての**「Contagious Interview」** キャンペーンの詳細

影響と示唆

スティカス氏の発見は、現代の企業セキュリティにおける重大な脆弱性、すなわちリモートの契約社員への依存と、採用プロセス自体が攻撃対象となり得ることを浮き彫りにした。また、国家支援を受けたハッキンググループが、これまで知られていたよりもはるかに多くの侵害を、何年にもわたって隠蔽できることも示している。

一人の研究者が国家のハッキング装置に2年近く潜入し、監視できたという事実は、北朝鮮のサイバー部隊内に、重大な運用上のセキュリティギャップが存在することを示唆している。