この記事の要点
- 英JUMPSECが北朝鮮系の偽Zoom攻撃キットをソースコードから解析
- 信頼する知人を装った攻撃でウォレット窃取の実態が明らかに
偽Zoom会議で仮想通貨を狙う手口が露呈
英サイバーセキュリティ企業JUMPSECは2026年7月24日、北朝鮮系ハッカー集団BlueNoroff（ブルーノロフ）が偽のビデオ会議で仮想通貨（暗号資産）関係者を狙う攻撃キットの内部構造を解析したと公表しました。
調査では、偽のZoom会議を入り口として仮想通貨ウォレットを狙う一連の攻撃の全体像が判明し、攻撃者が標的を選別したうえでマルウェアを送り込む仕組みも明らかになりました。
こうした解析が実現したのは、攻撃者がサーバー上にプログラムの設計図にあたるソースマップを残していたためで、JUMPSECは攻撃キットをソースコードレベルまで再構築したとしています。
BlueNoroffは国家資金の獲得を目的とするラザルスグループの下部組織とされ、仮想通貨業界を狙った攻撃活動を継続している実態も改めて示されました。
メタマスク開発元に約1か月潜入
攻撃キットの手口と北朝鮮内部の金融犯罪
知人のTelegram乗っ取りで標的を誘導
JUMPSECの調査によると、攻撃の出発点は標的がすでに信頼している実在の人物のTelegramアカウントを乗っ取ることだったといいます。
乗っ取ったアカウントからは偽のZoom・Teams会議のリンクが送られ、JUMPSECが確認した事例では面識のある著名人を装ったメッセージが大手企業の幹部へ直接送信されていました。
送り主が実在する知人本人に見えるため受け手はメッセージを疑いにくく、この信頼関係の悪用こそが攻撃の核心にあたるとJUMPSECは指摘しています。
リンクを踏んだ標的は偽会議の画面でカメラの起動を求められ、映像はWebRTCを通じて攻撃者の操作画面へひそかに送り届けられていました。
一方、標的の画面に映る相手は、生成AIで作成した顔画像に過去の会議映像から切り出した体の動きを重ねたディープフェイク動画だったとされています。
こうして標的が会話に集中している裏で、ブラウザに入っているイーサリアム（ETH）やソラナ（SOL）向けのウォレット拡張機能が自動でスキャンされ、高額資産の保有者だけを次の段階へ送るフィルターとして使われていたとJUMPSECは説明しています。
「更新が必要」の偽通知でコード実行を誘導
このフィルターを通過した標的の画面には、会議の途中で「Zoom SDKの更新が必要だ」とする偽の通知が現れ、修正コマンドの実行を促す「ClickFix（クリックフィックス）」という手口でマルウェアが送り込まれていました。
表示されるコマンドは一見すると無害ではあるものの、標的がコピーした瞬間にクリップボードの中身が攻撃用のコードへすり替わる仕掛けだったとJUMPSECは説明しています。
Windows端末ではこのコードからPowerShellが起動し、VirusTotalがラザルスのバックドア型「Trojan.NukeSped」に分類しているVBScript型マルウェアが呼び込まれていました。
macOS端末では偽のインストーラーで標的の注意を引いている裏で、キーチェーンからChromeのマスターキーを盗み出すプログラムがひそかに動いていたといいます。
盗まれたデータはTelegramのBot APIで攻撃者へ送られ、JUMPSECはその送信用トークンが解析時点でもなお有効だったことを確認しています。
感染した端末ではTelegramのセッション情報も同時に抜き取られており、JUMPSECが分析した3件のうち2件では被害者のアカウントが別の相手への攻撃にそのまま転用されていました。
北朝鮮国内で中央銀行への不正侵入が発覚
BlueNoroffが国外で攻撃を展開する一方、北朝鮮の内部でも国家の金庫を狙った犯罪が発覚しており、韓国のデイリーNKが7月23日付の記事で報じています。
同報道によると、朝鮮中央銀行と対外貿易銀行の内部ネットワークに侵入して奪った資金を仮想通貨に換え、国境地域で外貨と取引していた犯罪組織が7月12日に国家情報局に摘発されました。
組織を率いていたのは偵察情報総局傘下のサイバー部隊出身の除隊軍人で、金策工業総合大学などの理工系人材を集めたうえ、中国製の無線機器を使って当局の監視を逃れながら活動を続けていたと伝えられています。
奪った資金は細かく分割して海外のウォレットへ送られたのち中国側の仲介業者を経て現金化され、新義州や恵山など国境地域で米ドルや人民元へ繰り返し両替されていたとされています。
国家情報局は外貨決済のわずかな金額のずれと不審な海外IPを手がかりに、仮想通貨取引の通信が集中していた平壌市内の一軒家を突き止めて摘発に踏み切ったと同メディアは伝えています。
北朝鮮の仮想通貨窃取にG7が結束
拡大する北朝鮮の仮想通貨攻撃に業界が警戒
北朝鮮系のハッカーによる仮想通貨窃取は年々規模を広げており、2025年2月にはBybitからラザルスグループが約14.6億ドル（約2,200億円）相当のイーサリアムを盗み出したとされています。
今回のBlueNoroffの攻撃でも、JUMPSECはGoogle Meetを装う版のキットが開発途中であることを確認しており、狙われるサービスがさらに広がる可能性を指摘しています。
JUMPSECは60を超えるホスト名と10のIPアドレスにまたがる攻撃基盤を特定したうえで、2026年7月24日の時点でもキットが稼働し続けていたと明らかにしました。
Telegramで届くZoom・Teams・Google Meetの招待リンクは、長く連絡を取ってきた相手からであってもドメインを確認したうえで、別の手段で本人に直接確かめることが推奨されています。
※価格は執筆時点でのレート換算（1ドル=163.54 円）
関連の注目記事はこちら
Source：JUMPSEC調査レポート
サムネイル：AIによる生成画像
