北朝鮮、ウクライナの戦況情報を狙いフィッシング攻撃

北朝鮮の国家支援ハッカーが、ウクライナの政府機関、政策関係者、学術界に対してスピアフィッシング攻撃を仕掛け、ロシア・ウクライナ戦争における同国自身の立場に関する情報を盗み出そうとしています。

朝鮮民主主義人民共和国（DPRK）は2024年10月、ウクライナでのロシアの戦争に参加しました。同盟国への支援として特に目立つのが、約1万4000〜1万5000人の兵士を前線に送ったことです。ただし、すべてが計画どおりに進んだわけではありません。たとえばウクライナは、北朝鮮の捕虜2人を韓国に移送しました。

約6,400キロ離れた地で起きていることを把握するため、北朝鮮の攻撃者はウクライナの組織や個人をフィッシング攻撃で狙い、情報収集を続けています。韓国のGenians Security Centerによると、このスパイ活動はすでに数年にわたって続いています。そしてDPRKの戦争参加全般と同様に、この活動にもどこか不器用な面が見られます。

ウクライナで広がるDPRKのスパイ活動

ここ数年、複数の研究グループが、北朝鮮のハッカーがウクライナを標的にしている証拠を相次いで確認してきました。

まず、Proofpointの研究者が明らかにしました。北朝鮮政府と関連するハッカーが、ウクライナの政府機関にスピアフィッシング攻撃を仕掛けていたというものです。この活動は少なくとも2025年2月にさかのぼり、金正恩氏による戦争支援が始まってからわずか数カ月後のことでした。Proofpointはこの攻撃者をTA406として追跡しており、KonniやOpal Sleetの名で知られるグループと重なっています。

2026年8月には、非政府組織（NGO）のDigital Security Lab Ukraine（DSLU）が、ウクライナの公務員に対するスピアフィッシング攻撃を調査しました。特定の攻撃者への帰属は示していないものの、「これは単発の事案ではない」と特に強調しています。

さらに先月、ソウルで開催されたKorea Cyber Security Conference（KSCON）2026では、韓国企業Enki White Hatの研究者が、北朝鮮のAPT（高度な持続的脅威）グループ「Kimsuky」のものとみられる戦術・技術・手順（TTP）を解説しました。発表では、とりわけ韓国の標的に対する継続的な攻撃に焦点が当てられました。

日曜日に公開したブログ記事で、Genians はこれらの個別の調査結果を一つの全体像にまとめました。ウクライナから戦争に関する情報を引き出すことを狙った、Kimsukyによるキャンペーンです。研究者らによると、Kimsukyは「戦況、北朝鮮軍の死傷者の規模、捕虜の調査や取り扱いの動向」、とりわけウクライナから韓国に送られた2人の兵士の状況に関する詳細を収集しています。

皮肉なことに、「ウクライナを標的にする前、彼らは西側のロシア専門家に強い関心を持っていた」と、ProofpointのプリンシパルスレットリサーチエンジニアであるGreg Lesnewich氏は指摘します。「ロシア関連の専門家を狙い、ロシアが何を考えているのかを探ろうとしていたのです」

Lesnewich氏は、この方針転換は、DPRK当局がロシア政府から本当の状況を聞かされていないことの表れかもしれないと述べています。

「私の推測では、ロシアは自国の部隊がウクライナにどれだけ長く駐留するのかを北朝鮮に伝えなかったのでしょう。そもそも予定表がなかったからです。そこで北朝鮮はウクライナの組織を標的にし、ウクライナがあとどれくらい持ちこたえるのか、その見通しを得ようとしたのだと思います」と同氏は推測します。

Kimsukyのフィッシング攻撃の手口

一見すると大掛かりな作戦のようですが、実際の攻撃そのものは初歩的です。

この攻撃者が持つ最大の武器は、返信誘導（リプライベイティング）かもしれません。マルウェアを添付したあからさまなフィッシングメールを送る代わりに、まずは無害な挨拶を送って相手との信頼関係を築き、メールセキュリティの防御をすり抜けます。

たとえば研究者らは、ウクライナの外交・安全保障の専門家を狙ったスピアフィッシング攻撃を確認しています。攻撃者はKSCON 2026の組織委員会になりすましていました。メールには実際のイベントの詳細や受信者の専門分野への言及が含まれ、ゲスト講演者として来場してくれれば、航空券と宿泊費の補償に加えて登壇料も支払うと持ちかけていました。この魅力的な申し出に被害者が返信すると、今度は正式な「招待状」が送られてきます。その正体は、PDFアイコンと二重拡張子（「.pdf.lnk」）でPDFに見せかけた、悪意のあるショートカット（LNK）ファイルでした。

返信誘導のほかにも、GeniansがKimsukyの活動と結びつけている手口には、ごく基本的なコマンドの難読化、永続化のためのスケジュールタスク、GitHubやGitLabといった公開リポジトリサービス上にホストされたスクリプト、文書、コマンドなどがあります。ほかの怠惰なハッカーと同様に、このグループも大規模言語モデル（LLM）を試しているとのことです。最近の攻撃にも、Google Meetの通話への招待メールにZoomのリンクが含まれているなど、かなり分かりやすいミスが見られます。

「彼らはこの分野の革新者ではありません。中堅クラスの攻撃者です」とLesnewich氏は言います。「ほかの攻撃者が、おそらく公開されたブログなどから、ある感染チェーンを使っているのを観察し、それを借用して自分たちの標的に使っていた例が何度か見られました」

組織にとって幸いなことに、こうした見劣りする北朝鮮の攻撃者は、比較的簡単に見つけ出せます。「彼らを探し出すのに大した労力はかかりません。ただ、攻撃のペースと量で消耗させられることはあります」と同氏は認めます。

分岐する攻撃グループ、あいまいになる帰属

Lesnewich氏はDark Readingに対し、Proofpointが追跡するTA406は2025年に比べて2026年は活動が低調で、特に夏場は目立って静かだったと語りました。ただし、これは進化の途上にあるためかもしれません。より新しく、輪郭がはっきりしないグループの中には、「TA406の一部が別々の方向に分かれていったように見えるものもある」といいます。たとえばProofpointは、Geniansの新しいブログで説明されたGitHub関連の攻撃チェーンを、まだ名前のない攻撃者に関連付けています。

「私たちが確認しているサブクラスターの一つは「Honeycrisp」と呼んでいます」と続け、この呼称は暫定的なものだと述べています。

Honeycrispについては、「教育機関を標的にするケースがかなり多く見られます。特に、高等教育機関やシンクタンクに移った元外交官になりすます、あるいは狙うケースです。つまり、大きく2つのクラスターが見えています。Geniansが確認したのと同じことをしているTA406と、似たようなことをしながらも標的がまったく異なるもう一つのクラスターです」

Lesnewich氏はGeniansの帰属判断については直接コメントしなかったものの、サイバーセキュリティアナリスト全般が、別々である可能性のある北朝鮮の攻撃グループを大まかな枠に当てはめる際に、やや精度を欠いてきたと主張します。

「ロシアのAPTについては、Sandworm関連の攻撃者がAPT28関連の攻撃者にアクセスを引き渡した、というように区別します。ところが北朝鮮については、なぜか『手口（TTP）が優れていればLazarus、お粗末ならKimsuky』という具合に、ひとまとめにされてしまうのです」と同氏は嘆きます。

「私の仮説では」とLesnewich氏は言います。「2026年初めに偵察総局（RGB）［DPRKの情報機関］が再編されたことに加え、北朝鮮が工作員や人員を頻繁に入れ替えていることが原因です。外から見ている限りでの推測ですが、これによって、『これがこの攻撃者、あれがあの攻撃者』と線引きしてきた従来の区分が揺らいだのだと思います」