北朝鮮のハッカー、ウクライナの専門家を標的に　ロシアの戦争に関する情報収集が狙いか

新たな報告書によると、北朝鮮のハッカーが、外交・安全保障・国際政策を専門とするウクライナの専門家を標的にしています。背景には、北朝鮮とロシアの軍事協力の拡大があるとみられます。

韓国のセキュリティ企業Genians（ジェニアンス）が月曜日に公開した報告書によると、ハッキング集団「Kimsuky」は、偽の会議招待や共同研究の依頼、情報窃取を狙った悪意のある文書を使って攻撃を仕掛けました。 

北朝鮮は2024年以降、ウクライナでの戦争に向けてロシアに部隊を派遣しているほか、さまざまな軍事支援も提供しています。 

研究者らは「Kimsukyによるウクライナへの攻撃は、戦争に関する情報や北朝鮮軍の兵士の損失規模、捕虜の尋問・取り扱いの進展、韓国とウクライナの協議内容などを収集する狙いがある可能性がある」と指摘しています。ただし、確認された攻撃の大半は失敗に終わったと付け加えています。

Geniansによると、ウクライナ軍に捕らえられた北朝鮮兵2人が9月に韓国へ移送された件も、平壌にとって情報収集の対象になり得ます。特に、捕虜が北朝鮮の軍事作戦や死傷者について何を明かすかが関心事とみられます。

「Operation GitPower」

8月に確認された攻撃の一つでは、ハッカーがソウルで開かれるサイバーセキュリティ会議の主催者になりすまし、ウクライナのセキュリティ専門家に講演を依頼しました。

メールには会議に関する本物の詳細情報が記載され、旅費と宿泊費を負担するとも書かれていました。当初のメールには悪意のあるリンクや添付ファイルは含まれていませんでした。その代わり、攻撃者は追加資料を送る前に返信するよう受信者に促していました。

別のケースでは、ハッカーが欧州の政策研究者を装い、ロシアと北朝鮮の軍事協力に関する報告書へのフィードバックを求めました。Geniansによると、受信者が返信すると、攻撃者は研究資料に偽装した悪意のあるアーカイブへのリンクを送ってきました。

ハッカーはまた、PDF文書や正規のZoomインストーラーに偽装したファイルを使い、受信者をだましてマルウェアを実行させようとしました。このマルウェアは、感染したコンピューターから情報を収集し、侵害したシステムへのアクセスを維持し、盗んだ情報を攻撃者が管理するインフラに送信するよう設計されていました。

研究者らは、このキャンペーンに関連するインフラ上で日本語の文書も確認しました。ハッカーが日本語圏の標的に対する攻撃を準備していた可能性があります。

研究者らによると、これらの攻撃は「Operation GitPower」として追跡されている、より広範なサイバースパイ活動の一環です。この活動では、GitHub、GitLab、Codebergといった正規のソフトウェア開発プラットフォームを悪用し、悪意のあるファイルの配布や侵害したシステムとの通信を行っています。

より広範なスパイ活動

Kimsukyは少なくとも2012年から活動しており、アジア、欧州、日本、ロシア、米国の政府機関、シンクタンク、学術関係者、メディア組織を標的にしてきました。2023年には、米国とその太平洋地域の同盟国が同集団に制裁を科しました。北朝鮮の外交政策や制裁逃れを支えるために情報を収集していたと非難しています。

2025年5月には、セキュリティ企業Proofpointが、「TA406」として追跡されている北朝鮮系のグループがウクライナの政府機関に悪意のあるメールを送っていたと報告しました。ロシア軍とともに戦う北朝鮮部隊が直面するリスクに関する情報を求めていた可能性があるとしています。

Proofpointによると、TA406のウクライナでのサイバー作戦は、戦争に関する政治的な情報と戦略的な分析に重点を置いています。これに対し、ロシアのハッカーは通常、戦場での作戦に関する戦術的な情報を求める傾向があります。