北朝鮮ハッカー、偽のZoom会議と盗撮映像で4億ドルを窃取 FBIが警告

ビデオ通話の画面の向こうにいたのは、標的がすでに知っている友人や同僚、投資家だった。しかし、それは録画映像だった。FBIによると、北朝鮮のハッカーは偽のZoomやTeams会議に人々を誘い込み、以前の被害者からひそかに撮影したウェブカメラ映像を再生したうえで、手早い技術的な修正を装ったマルウェアをインストールするよう、新たな標的を言葉巧みに誘導している。

FBIはこの手口を「FaceStealer」と呼ぶ。リモートワークでごくありふれた場面を、そのまま攻撃の機会に変えてしまうものだ。招待は信頼している相手の実アカウントから届き、会議画面は普段使っているアプリそっくりで、待っている相手も期待していた人物そのものに見える。FBIによると、セキュリティ意識の高い経験豊富なユーザーでさえだまされる可能性がある。

被害の規模は大きい。暗号資産業界とオープンソースソフトウェアの保守担当者に向けた警告で、FBIはこの手口により、過去18カ月間に4億ドルを超える暗号資産が盗まれたとしている。捜査当局は背後にあるクラウド基盤を押収したほか、世界各地で暗号資産やWeb3に携わる被害者のウェブカメラ映像900本以上を確保した。ハッカーはこれらをライブラリーとして保管し、後の攻撃で本人になりすますために利用していた。

攻撃は、すでにハッキングされた人物を起点に始まる。攻撃者はその人物のTelegramなどのメッセージアプリを乗っ取り、チャット履歴を読み、連絡先に相手に合わせた文面でメッセージを送る。近況を話したい、協業について相談したい、投資の話をしたいといった内容で、相手を誘い出すのだ。続いてCalendlyの招待が届くが、会議リンクが記載されていないことも多い。リンクは通話の直前になって初めて送られ、ZoomやTeamsの偽サイトを開く。そこはハッカーが管理する複製サイトだ。中に入ると、見覚えのある相手が、ほかの参加者数人とともに画面に現れる。全員が録画映像だ。

そこで仕掛けが始まる。偽の相手から、こちらの声が聞こえないというメッセージが届き、アップデートを促されたり、スクリプトの実行やターミナルへのコード貼り付けを求められたりする。その「修正」を実行すると、ブラウザーのCookieを盗むプログラム、キーロガー、画面キャプチャー機能、バックドアがインストールされる。リンクをクリックした時点から、ハッカーは標的のウェブカメラを録画している。こうして新たな被害者は、次の標的を誘い込むための「顔」になる。「自分が被害に遭う状況など想像できないと思うなら、想像力が足りません」と、FBIロサンゼルス支局を率いるパトリック・グランディ（Patrick Grandy）は語った。

危険は暗号資産ウォレットにとどまらない。FBIによると、広く使われているオープンソースコードの保守担当者も、同じ手口の標的になっている。ある事例では、週に数千万回ダウンロードされる主要なJavaScriptライブラリーの保守担当者が、知り合いを装った相手との偽のTeams通話に参加し、提案された修正を実行した結果、コンピューターに感染した。ハッカーはそのアクセス権を使い、侵入が発覚する前に、ライブラリーのダウンロードに悪意ある依存パッケージを紛れ込ませた。FBIによると、ほかにもJavaScriptの主要パッケージレジストリーであるnpmの保守担当者が狙われており、最近ではRustの開発者も標的になっている。保守担当者が一人だまされるだけで、どの会議にも参加していない何百万人もの人々にマルウェアが届くおそれがある。

人工知能も関与しているが、ディープフェイクをめぐる報道から想像されるほど大きな役割ではない。FBIによると、このグループは暗号資産業界の著名人を題材にしたディープフェイク動画の生成を始めている。粗いウェブカメラ映像に見せかけるだけでよいためだ。それでも手口の大部分は、実際の被害者から盗んだ本物の映像に依存している。そのため、ディープフェイク検出器を使っても、こうした通話の大半は見抜けない。

摘発によっても、未解決の問題は多く残る。サーバーは入れ替えられるうえ、FBIがBlueNoroff、APT38、Sapphire Sleetの名でも知られる北朝鮮の国家支援ハッカー集団に帰属させているこの手口の実行犯は、米国の裁判所の手が届かない北朝鮮から活動している。900本の映像に映っていた人々のうち、何人が金銭的被害を受けたのか、FBIは明らかにしていない。また、複数の事例では、ハッカーはウォレットの残高が増えるのを待ち、資産を抜き取るまでに数カ月、場合によっては1年以上を費やしていた。そのため、自分のコンピューターが侵害されていることに、まだ気づいていない被害者もいるかもしれない。

FBIの助言は具体的だ。特に初めて連絡を取る相手や、めったにやり取りしない相手から招待が届いた場合は、ウェブリンクではなく招待コードを使い、ZoomやTeamsの公式アプリから会議に参加すること。招待した相手の姿が見え、声が聞こえ、会話ができるまではカメラをオフにしておくこと。通話を直すためだと言われても、スクリプトを実行したり、ターミナルにコードを貼り付けたりしないこと。会議リンクのないカレンダー招待が届き、開始数分前になってリンクが送られてきた場合は疑い、別の連絡手段で会議の事実を確認すること。Telegram、WhatsApp、Slackでは、多要素認証、ログイン通知、メッセージの自動消去を有効にすること。

FBIがFaceStealerに関する警告を公表したのは11月12日で、司法省が押収を発表したのと同じ日だった。司法省はまた、北朝鮮のハッカーが10月下旬にBinanceから盗んだ暗号資産について、裁判所の承認を得て12億ドル超を押収または凍結できる状態にあると発表した。これまでに凍結された額は27億ドルを超えており、残りの回収に向けた作業も続いている。FBIは、標的にされたと思われる人に向けて、FaceStealer専用の情報ページを設けている。

タグ: サイバーセキュリティ, ディープフェイク, FBI, Zoom, 北朝鮮, FaceStealer