今週のまとめでは、CTIが、北朝鮮政府のために活動している世界中のIT従事者からなるネットワークについて調査しています。 続いて、CTIでは、脅威アクターがスパムを送信するために、正規のウェブサイトの機能をどのように悪用しているかを検証します。 最後に、CTIでは、Recorded Futureによる 82 件のディープフェイクに関する分析（ （新しいタブで開きます） ）について取り上げ、2023年7月 と2024年7月の間に特定された事例をまとめています。
北朝鮮のIT技術者が、リモート勤務を通じて世界各国の組織に潜入しています
マンディアント社は、 （新しいタブで開きます）、、 といった、北朝鮮政府の指示を受けて活動している世界中のIT従事者からなるネットワークを、積極的に追跡しています。 これらの労働者は、さまざまな業界の組織での就職を希望しています。 彼らの主な目的は、利益を得ること、将来的な搾取の可能性に備えて長期的なアクセス権を維持すること、そして場合によってはスパイ活動を行うことです。 マンディアント社は、このグループを「 UNC5267」として追跡しています。
UNC5267とは誰のことですか？
UNC5267は、 2018年から活動を続けていますが、従来型の中央集権的な脅威グループではありません。 この組織は、西側諸国の企業、とりわけ米国のテクノロジー分野での就職を確保するために、北朝鮮国外に派遣された個人たちで構成されています。
こうした人々は通常、盗んだ個人情報を用いて、正社員や契約社員の職に応募します。 彼らは、 100％リモートワークが可能な求人に応募する傾向があります。 マンディアント社は、IT担当者が複数の仕事を同時にこなしている事例を確認しています。
マンディアント社の報告書における主な調査結果
マンディアント社は、朝鮮民主主義人民共和国（DPRK）が支援するIT技術者が関与した、同社が手がけたインシデント対応案件の一部について、詳細を明らかにしました。 これらの業務は、主に、雇用された職務の範囲内で業務を行う労働者が関与するものでした。 しかし、マンディアント社は、従業員がコードの修正やネットワークシステムの管理を行うために、より高いアクセス権限を求めた事例もいくつか確認しました。
[関連記事：Active Directoryのセキュリティとは？ リスクとベストプラクティス] （新しいタブで開きます）
マンディアント社は、リモート勤務の求人に応募するために使用されている多くの履歴書を特定しました。 あるIT従事者とみられる人物が使用したメールアドレスが、過去に他のIT従事者に関連する事例でも確認された事例があります。 これを手がかりに、彼らは、見た目は似ているものの、氏名、電話番号、出身大学、その他の経歴が異なる追加の履歴書を特定することができました。
こうした方々は通常、会社が所有する端末をラップトップファームに送付し、そこからリモートでアクセスして業務を遂行します。 彼らは、デバイスに接続するために以下のツールを使用しています：
- GoToRemote / LogMeIn
- GoToMeeting
- Chrome リモートデスクトップ
- AnyDesk
- TeamViewer
- RustDesk
推奨される対応策
マンディアント社は、脅威アクターを誤って採用してしまうことを防ぐため、いくつかの対策を推奨しています。
そのアドバイスには、次のようなものがあります：
- 採用候補者の徹底的な審査
- 電話番号の確認
- 会社のノートパソコンがどこへ発送されているかを確認する
- IT導入時に、ノートパソコンのシリアル番号の確認をお願いいたします
[関連記事：リモート勤務のITスタッフを採用する際は？ 【ディープフェイク詐欺にご注意ください】 （新しいタブで開きます）
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
北朝鮮と関係のある人物が、IT技術者を装って国際的な組織に就職し、違法な活動を行うケースがますます増えています。
マンディアント社によると、この脅威は今後も続く可能性が高いとのことです。特に、攻撃者が人事部門や採用チームを騙して、自らがこれらの環境に潜り込めるようにするための新たな手口を開発していることから、なおさらです。
マンディアント社はこの脅威を次のように的確に要約しています：
彼らの活動の背後にある「国家の目標を達成すること」と「個人的な金銭的利益を追求すること」という二つの動機が、彼らをとりわけ危険なものにしています。
攻撃者は、スパムを送信するためにウェブサイトのインフラを悪用しています
Cisco Talosによる の新しいレポート （新しいタブで開きます） では、脅威アクターが正規のウェブサイトを悪用してスパムを拡散させる手口について解説しています。
こうした攻撃に悪用されるインフラは、多くの場合、正当な目的でも利用されているため、これらのメッセージを遮断することは困難です。 研究者らは、この活動には自動化された側面と人間による側面の両方が存在することを突き止め、攻撃者がデータ侵害を通じて入手した認証情報を試している様子を確認しました。
Webフォームの悪用
シスコ・タロスによると、脅威アクターはウェブフォームを悪用してスパムフィルターを回避しているとのことです。 例えば、ユーザーがアカウント登録できるサイトでは、通常、ユーザーに確認メールが送信されます。 現在、悪意のあるユーザーたちが「名前」欄にテキストやリンクを詰め込み、スパムメッセージを返信しています。
これは、イベントの参加申込フォームやお問合せフォームでも同様の傾向が見られます。 出演者たちは、Googleクイズやその他のアプリに関連するウェブフォームも利用しています。
漏洩した認証情報
脅威アクターは、Webフォームを悪用するだけでなく、流出した認証情報を利用してスパムを送信しています。 例えば、攻撃者は盗んだ認証情報を使って、被害者のメールアカウントにアクセスしようとします。 メールアカウントに直接アクセスされると、多くの場合、さらに機密性の高い情報にたどり着いてしまうほか、そのメールアカウントを通じて、 の多要素認証コード (新しいタブで開きます) を受け取ることができるようになってしまいます。
また、一部のアクターが認証情報を使用して、アウトバウンドSMTPサーバーにアクセスしていることも確認されています。 ここから、彼らは自社のサーバーを使ってメッセージを送信したり、正当なメールサーバーからメールを送信したりすることができ、そのメールはブロックされる可能性が低いでしょう。 攻撃者は、個人用またはテスト用のメールアカウントを作成し、盗んだ認証情報を使って自分自身にテストメールを送信し、正常に機能しているかを確認します。
また、関係者がこれを実現するために利用できるオープンソースのツールも数多くあります。 よく使われているツールの一つに、認証情報詰め込み機能を備えたオープンソースのSMTPツール「MadCat」があります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脅威アクターがWebフォームを悪用するために用いる戦略の多くは、ランダムな登録通知やイベントの確認通知など、予期せぬメッセージを送信することを伴います。 エンドユーザーは、メッセージを開く前に、その送信者からのメッセージを期待しているかどうかを慎重に検討する必要があります。
また、 を活用し、適切なパスワード管理を行うようお願いいたします。 （新しいタブで開きます）。 攻撃者は、攻撃の際に、漏洩した認証情報をよく悪用します。 強力なパスワードを設定することで、悪意のある者が個人アカウントにアクセスすることをより困難にすることができます。
Recorded Futureが、政治関連のディープフェイクの実態を明らかにしました
Recorded Futureの最新レポート『 』（新しいタブで開きます） では、 2023年7月 から 2024年7月 の間に収集された 82 件のディープフェイクを分析しています。 これらのディープフェイクは、 38 カ国の公人、すなわち選出された公職者、選挙候補者、ジャーナリストなどを装ったものです。
同報告書によると、最も一般的な目的は、金融詐欺の助長や虚偽の声明の捏造であるとのことです。
ディープフェイクの主な標的
研究者らは、 38 カ国に及ぶ人物を装ったディープフェイクを特定しました。中でも、EU加盟国の人物が最も頻繁になりすましの対象となっていました。
なりすましの対象となった人物は、国家元首・政府首脳、選挙候補者、選出された公職者、メディア関係者の4つのカテゴリーに分類されています。
ディープフェイクの目的
脅威アクターがディープフェイクを用いて個人を標的にするのは、いくつかの理由があります。 金銭的な利益を得るためにこれを行う人もいますが、これは、なりすまされた人物が詐欺的な計画を推奨した場合によく見られます。 もう一つの理由は、虚偽や極端な発言や支持表明を作り出すことで、単に一般市民を惑わすためです。
Recorded Futureの調査によると、過去1年間に著名人を標的としたディープフェイクの 26.8％は金銭的な利益を目的としており、また、 25.6％の事例では虚偽の発言を作成することで一般市民を誤解させる意図があったことが判明しました。
新たに台頭しているディープフェイクの手口
Recorded Futureは、分析の結果、いくつかの新たな戦術を特定しました：
- 匿名の第三者を対象として活用し、その活動を検知されないように隠蔽すること
- ソーシャルメディア以外の場で、ディープフェイクを用いて脆弱なユーザーを標的にすること
- メディア各社の情報を基にオーバーレイを作成し、本物の情報源を模倣すること
- 外国の指導者のディープフェイクを作成すること
- 政治指導者を称賛したり、その評判を傷つけたりするために、公人の家族になりすますこと
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
サイバー攻撃者は、ディープフェイクを制作し、選挙などの時事問題と組み合わせて利用するケースがますます増えています。 この傾向は今後も続くと思われます。
組織の皆様には、この新たな脅威に対処するため、 に対する確実な対応および軽減策を策定されることをお勧めいたします。 （新しいタブで開きます） AIを活用した偽情報のこの新たな時代において、ディープフェイクを見分け、適切に対処する方法を理解することは極めて重要です。 （新しいタブで開きます）。
Recorded Futureは、 のディープフェイク対策に関する有益なヒントをいくつか提供しています。 （新しいタブで開きます）。これには、ディープフェイクを見分けるのに役立つ質問も含まれています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。 （新しいタブで開きます）。