オープンソースソフトウェアの脆弱性を狙う北朝鮮ハッカー集団への身代金支払が同国のミサイル核兵器開発を助けている―最近の日本企業を狙ったのも北朝鮮なら相当の代償を同国に支払わせないといけません

 

北朝鮮がオープンソースソフトウェアを狙う広範なハッキングを実行しているとアマゾンが明らかにした

Amazon uncovers broad North Korean hacking campaign against open-source software

平壌が支援するグループが2025年にさかのぼる侵害4件に関与していると判明し、大規模な作戦が明らかになった

• Defense One

• デイビッド・ディモルフェッタ

• 2026年7月29日

https://www.defenseone.com/threats/2026/07/amazon-uncovers-broad-north-korean-hacking-campaign-against-open-source-software/415110/?oref=d1-homepage-river

アマゾンの研究者らは水曜日、北朝鮮と関連するハッカーグループが、2025年3月にさかのぼる4件のオープンソースソフトウェアへの侵害に関与していたと発表した。これにより潜在的な被害者多数にリーチし、企業のシステムへのアクセス権を獲得しようとする平壌の活動が広範囲に及んでいることが明らかになった。。

今回の分析により、金銭目的の同一ハッカーグループが、開発者が他のソフトウェアの構成要素として使用する4つの主要なJavaScriptパッケージ（typo-crypto、debug、chalk、axios）への侵害に関与していることが初めて明らかになった。axiosパッケージだけでも毎週1億回以上ダウンロードされており、その侵害は以前より北朝鮮グループによるものとされていた。

アマゾンは水曜日、コードの再利用事例や攻撃手法の類似性といった技術的調査結果に基づき、この攻撃主体を前述の3件のインシデントと結びつける証拠を発見したと発表した。

水曜日の夕方に公開予定の、Amazon Integrated SecurityのCISOであるCJ Mosesによるブログ記事によると、Amazon Threat Intelligenceは、これらの攻撃キャンペーンを「中程度の確信度」で同グループによるものと断定した。このサイバー攻撃者グループは、Sapphire Sleet、Stardust Chollima、BlueNoroff、CageyChameleon、Alluring Piscesなど、複数名称で追跡されている。

Amazonによると、各インシデントにおいて、ハッカーは信頼されているソフトウェアメンテナーを騙し、そのアクセス権を利用して悪意あるコードを含むアップデートを公開している。これらのパッケージの最新版を自動的にダウンロードするように設定された組織は、侵害されたアップデートをシステムに直接取り込んでしまった可能性がある。この手法により、ハッカーは広く使用されている少数のパッケージを侵害するだけで、下流システム数千へのアクセス権を獲得できる可能性があり、組織を個別に標的にするより効率的だ。

オープンソースソフトウェアでは自由に検証、修正、再利用が可能で、オペレーティングシステム、Webサーバー、暗号化ツール、さらに世界中の企業が日々依存している多くのアプリケーションの基盤となっている。こうしたプロジェクトは、提案された変更のレビュー、セキュリティ上の欠陥の修正、アップデートの公開を、ボランティアのメンテナーに依存していることが多い。

このモデルは、信頼に大きく依存している。攻撃者は、数週間から数ヶ月にわたり、正当な貢献者を装ってバグを修正し、関係を築いた上で、確立されたプロジェクトの制御権を掌握したり、悪意ある更新を公開しようと試みる。

この手口は2024年、広く注目を集めた。当時、「Jia Tan」という名前で活動していたアカウントが、数年にわたり他の開発者の信頼を勝ち取った後、数多くのLinuxディストリビューションに含まれる広く使用されているデータ圧縮ツール「XZ Utils」にバックドアを仕込もうとした。このバックドアは、広く展開される前に発見された。

「率直に言って、オープンソースコミュニティは『良き市民』を求めている。なぜなら、これらのパッケージは、フルタイムの仕事として報酬を得てメンテナンスを行っている人々によって管理されているわけではないことが多いからだ」と、Amazonの脆弱性管理サービス「Inspector」のシニアマネージャー、リック・アンソニー氏は水曜日、バージニア州アーリントンで記者団に語った。「彼らは、貢献する意思のある人なら誰に対しても非常に歓迎的だ。」

北朝鮮はかねてより、サイバー作戦を情報収集の手段と同時に、収入源としても扱ってきた。同国のハッカー部隊は仮想通貨を盗み、スパイ活動を行い、被害者から金をゆすり取っている。一方、IT作業員を装った工作員たちは、外国企業に就職し、給与を政権に送金している。アマゾンもそうした企業のひとつであると、幹部らは水曜日に述べた。米国当局者によると、これら収益は、平壌が制裁を回避し、核兵器や弾道ミサイル計画に資金を供給するのに役立っているという。

「制裁に縛られた体制にとって、こうした作戦を通じて収益を上げるということは、効率が高ければ高いほどより多くの資金が得られ、その資金を、そもそも制裁の原因となった活動に充てることができることを意味する」とモーゼスは記者団に語った。「サプライチェーンへの侵害が1件成功するだけで、数百件、あるいはそれ以上の標的型侵入へのアクセスが可能になる」

この調査結果は、オープンソースを悪用した攻撃の検知がますます困難になっている実態も浮き彫りにしている。

アマゾンによると、攻撃者は悪意のある操作を、個別に確認しただけでは無害に見える複数のパッケージに分割する傾向が強まっているという。あるパッケージには暗号化されたデータが、別のパッケージにはそれを解読するコードが、さらに別のパッケージには最終的なペイロードをダウンロードして実行する指示が含まれている場合がある。これらの構成要素が組み合わさって初めて、悪意のある動作が明らかになる。

また、ブログ記事では、AIの台頭によりマルウェアの発見が前より困難になっていると警告している。ハッカーはAIを利用して、洗練されたコード、説得力のあるドキュメント、偽の開発者プロフィールを作成することができ、かつては危険信号として認識されていた明らかなミスの多くを排除できるようになった。

攻撃者は、AIコーディングアシスタントによる誤りも悪用できる。AIツールが存在しないソフトウェアパッケージを推奨した場合、ハッカーはその名前を登録し、マルウェアを仕込むことができる。これにより、開発者や自動化システムが、推奨が誤りであることに気付かずにそれをダウンロードすることを狙う。

オープンソースソフトウェアのセキュリティに関する懸念は、ワシントンでますます注目を集めている。12月、上院情報委員会の委員長は、ホワイトハウスの国家サイバー担当ディレクターに対し、米軍および民間機関全体で使用されているシステムを支えるオープンソースプロジェクトの脆弱性に対処する措置を講じるよう要請した。

昨年8月、Nextgov/FCWは初めて報じたところによると、ロシアのテクノロジー企業Yandexの従業員が、国防総省が利用可能な少なくとも30の既製ソフトウェアパッケージに組み込まれている、広く使用されているオープンソースツールの唯一のメンテナーであったという。■

中国がワシントンの天安門事件関連イベントへサイバー攻撃？

天安門事件は中国国内では情報統制により知る人が減っており、木キーワードでウェブから即削除されるそうですが（当ブログも中国で閲覧できなくなるかも）現代の中国王朝ともいうべき共産党が触れられたくない部分であるのは明らかです。そしてついに世界規模で言論統制に向かいつつあるというのが今回の記事です。あらためて情報戦の本質を考えざるを得ませんね。南京事件や尖閣、南シナ海もここに含まれるのでしょうね。ワシントンには天安門事件含め共産主義による犠牲者の慰霊碑があるのですね。

China Suspected in Hack of Tiananmen Anniversary

Victims of Communism website attacked, teleconference disrupted

BY: Bill Gertz

June 3, 2016 6:05 pm

http://freebeacon.com/national-security/china-suspected-hack-tiananmen-anniversary/

AP

中国共産党の息のかかったハッカー集団が6月3日にワシントンの反共団体のウェブサイトを閲覧不可能にし、国際オンライン会議を妨害した。それぞれ1989年の北京天安門事件を取り上げていた。

1. 共産主義犠牲者追悼記念碑財団 Victims of Communism Memorial Foundationへのサイバー攻撃は非常に巧妙で木曜日から金曜日にかけ発生しており、同グループが虐殺事件の画像を公開しオンライン会議で事件の生存者との座談会で合わせて中国の人権問題を議論しようとしていた矢先のことだったと財団を主宰するマリオン・スミスが述べている。
2. スミスはサイバー攻撃の背景に中国政府の関与を確信している。「これだけの時間と資源を投入できるのは政府以外にない」
3. ハッカー集団はシスコシステムズが運営するオンライン会議サービスWebExも攻撃し、数時間にわたり利用できなくなる被害が発生した。
4. さらに財団の主催する2,000名規模のオンライン会議のホストとなっているピューチャリタブルトラストも攻撃を受けている。
5. 世界で二百万人が6月5日の天安門虐殺事件記念日に抗議したと推定されている。
6. 財団関係者によればサイバー攻撃は木曜日に始まり、一時的に財団本部でインターネットが使えなくなった。金曜日に天安門事件のビデオ発表と同時に攻撃は激化している。天安門虐殺事件とは1989年に共産党指導部が民主運動家を軍により制圧し北京中心部から排除したものだ。中国政府は事件で数百名が殺害され、その後も多くが処刑されたとは一切認めていない。
7. 攻撃のためオンライン本会議の前に準備打ち合わせをしていた30名ほどが妨害され香港、ドイツ、フランス、オーストラリア、米国から接続できなくなった。会議は携帯電話やFacebookのライブストリーミングで続けたという。
8. 財団のウェブサイトは金曜日午後に使用不能になり、技術スタッフが回復を試みた。
9. スミスによればFBIに通報ずみで初動捜査が始まっている。財団には当日の記録を保存してあり、FBIに協力しているという。
10. 「当財団は今後も中国で1989年の五月、六月に何があったのかを事実として記録を残していきます。当財団を妨害するのはそれだけ触れられたくない秘密だからでここワシントンにまで結社の自由、言論の自由を妨害せざるを得ないのです」
11. 中国政府の関与が明らかになれば米政府も正式に抗議するのではないかとスミスは述べた。
12. 財団はワシントンDCにある共産主義犠牲者慰霊碑で金曜日夜にキャンドルによる抗議活動を後援して天安門事件の遺族も参加した。
13. 「当財団は今後も被害者を忘れず、正義を求め、天安門で何が起こったのかを記録し、中国が国家権力でこの出来事を世界の記憶から消し去ろうとしても決して止まりません」とスミスは述べた。
14. FBIからは本件に関しコメントは出ていない。■

北朝鮮によるサイバー攻撃

Cyber Attacks Increasing, Effects Minor

aviationweek.com 7月9日


ワシントンの合衆国政府機関少なくとも三つの省庁のウェブサイトを利用できなくしたサイバー攻撃は北朝鮮によるものと見られる。技術的には今回の攻撃は軽微の影響にとどまるものの、今後の政策立案、経済運営また軍事訓練上に大きな影響を与えそう。

「詳細については触れませんが、今回のサイバー攻撃が個人によるものなのか国家的な策謀なのか重大な懸念をもっております。これまでサイバー防衛に多大の投資をしてきました。今回の事件で軍上層部に共通の課題となりました。」（マイク･マレン統合参謀本部議長）

「この分野の専門技術者を増やす必要があります。2010年度予算では将来に向けて総合的な対策を講じます。そこには非正規戦闘向けの投資に加え、サイバー世界向けもあります。今後はこれに多大の関心を向ける必要があると考えます。」（マレン議長）

今回のサイバー攻撃は韓国と米国政府それぞれのウェブサイトが攻撃の対象となった。サイバー攻撃は一般市民にはまだよく知られていない。今回の攻撃対象サイトが消えたことで、異常に気づいた者はごく少数。サイバー戦の戦略価値は少なく実際の損害の可能性も低いことを意味する。

ただ今回の結果からサイバーテロは脅威ではないので無視していいというわけではない。ウェブサイト、データを保全し、ネットワークを脅威から守ることが重要だが、このためには各サイト、ネットワークの所有者、運営者による整然として継続的な努力が求められる。今回の北朝鮮による攻撃の対象に国防総省は入っていなかったが、「本省はサイバー世界を常に精査しております。警戒態勢を高め、異常事態には適正に反応していきます」（マレン議長）

7月4日独立記念日の週末からシークレットサービス、連邦公正取引委員会、財務省、運輸省のサイトが断続的にダウンし、今週に入ってもサービスが停止している。今回の攻撃の直接の効果は大きいとは見られないが、三日間たっても停止状態が継続しているのはサイバー戦では異例に長いとしていいだろう。