本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
米司法省とFBIは2026年11月12日（現地時間）、北朝鮮のハッカーが知人の録画映像などで標的を信用させる「FaceStealer」と呼ぶ手口により、過去18カ月間に4億ドル超の暗号資産を盗んだと発表した。司法省は攻撃に使われたクラウド基盤の押収を公表し、FBIも連邦令状に基づき、被害者のウェブカメラ映像900本超を押収した。
知人を装う会議から端末を感染させる
司法省の説明によると、攻撃者は過去の被害者から乗っ取ったアカウントを使って標的を会議に招く。そこで標的の知人の録画映像を再生し、本人が参加しているように装う。信頼を得る足掛かりにするのは、見覚えのある顔と既存のアカウントだ。
FBIの警告文書によると、招待リンクはZoom、Microsoft Teams、Google Meetなどを装う偽の会議環境につながる。攻撃者は会議中に音声などの架空の不具合を持ち出し、修復用と称するリンクや更新案内を提示する。標的が案内に従ってスクリプトを実行したり、ターミナルにコマンドを入力したりすると、マルウェアがインストールされる。
さらに攻撃者は、新たな標的の映像も録画する。その人物の連絡先や通信アカウントを利用し、私的・仕事上の知人へと標的を広げるという。当局は、実際の被害者の録画に加え、暗号資産業界などの著名人のディープフェイク映像も使われると説明している。
開発者も標的、感染から窃盗まで時間差も
当局によると、標的には暗号資産・Web3関係者のほか、オープンソースソフトウェアの開発者や保守担当者も含まれる。当局は、彼らが管理するソフトウェアのリポジトリーへのアクセスを得て、供給網攻撃につなげる狙いがあるとみている。
端末への侵害と資産窃盗の間に長い時間差がある例も示された。司法省は、最初の端末侵害から数カ月ないし1年以上後に、暗号資産の窃盗や通信アカウントの乗っ取りが起きたとの報告例を挙げている。
今回の執行措置では、攻撃に使われたクラウド基盤と録画映像が押収された。The Recordの取材に対し、FBI当局者は多くの被害者に連絡して聞き取りを行ったと説明する一方、攻撃の連鎖の出発点となった最初の被害者は特定できていないと述べた。
FBIは対策として、正規の会議アプリと招待コードを使った参加を推奨している。また、会議中の更新案内に従ってスクリプトを実行したり、ターミナルにコードを貼り付けたりしないよう呼びかけている。
参考・出典
- Justice Department Announces Actions to Disrupt North Korea’s Massive Theft of Cryptocurrency
- North Korean Hackers Use Secretly Recorded Webcam Library of 900+ Tech Workers in $400M FaceStealer Crypto Theft Scheme
- FaceStealer Cryptocurrency Theft Scheme
- North Korean hackers steal more than $400 million using video images, FBI says
- Feds announce seizure of $1.2 billion from Binance theft; also takedown of FaceStealer tools
- FBI disrupts intricate North Korean fake-call scheme tied to $400M in crypto theft
