米司法省は11月12日、Justice Department Announces Actions to Disrupt North Korea’s Massive Theft of Cryptocurrencyにおいて、北朝鮮のハッカーが偽のオンライン会議を使って参加者の顔動画を盗み、知人へのなりすましやマルウェア感染に悪用する「FaceStealer（フェーススティーラー）」と呼ばれる攻撃について発表した。

Microsoft TeamsやZoomなどを装った会議に標的を誘導する手口で、過去18カ月間に4億ドル（約640億円）を超える暗号資産が盗まれたという。米連邦捜査局（FBI）は、攻撃に使われていたクラウドインフラを押収し、注意を呼びかけている。

  • FBIが、北朝鮮のハッカーが偽Teams・Zoom会議で顔動画を盗む　攻撃を発表した。被害は640億円超に上る（Photo：PIXTA）

    FBIが、北朝鮮のハッカーが偽Teams・Zoom会議で顔動画を盗む　攻撃を発表した。被害は640億円超に上る（Photo：PIXTA）

偽のオンライン会議で顔動画を録画、マルウェアをインストール

FaceStealerは、オンライン会議で知人になりすまし、標的の端末にマルウェアをインストールさせるソーシャルエンジニアリング攻撃だ。

攻撃者は、過去の被害者から乗っ取った通信アカウントなどを悪用して、標的にオンライン会議への招待を送る。招待を受けた人物が会議に参加すると、画面には知人が参加しているかのような動画が表示される。

しかし、表示されているのは攻撃者が以前の被害者から密かに録画した映像だ。標的が会議に参加している間、その人物のWebカメラ映像も録画され、次の攻撃に利用される。

会議の途中では、「音声が聞こえない」などの偽の技術的な問題が発生したように見せかける。攻撃者は問題を解決するためとしてリンクや操作手順を提示し、標的にマルウェアをインストールさせる。

端末が侵害されると、攻撃者は暗号資産を盗むほか、端末からアクセスできるシステムやアカウントを悪用する。さらに、被害者の連絡先やSNS、通信アプリにアクセスし、友人や仕事上の関係者を次の標的にする。

米司法省によると、初期侵害から数カ月、場合によっては1年以上が経過した後に、暗号資産の窃取や通信アカウントの乗っ取りが行われた事例も確認されている。

AIディープフェイクも悪用、900件超の顔動画を押収

攻撃者は録画した動画だけでなく、AIを使って生成したディープフェイク動画も用いていた。

米司法省によると、暗号資産やWeb3業界で知られる人物の偽動画を作成し、オンライン会議に参加しているように見せかけることで、標的の信頼を得ようとしていたという。

今回の攻撃には、Sapphire SleetやUNC1069などの名称で知られる北朝鮮のハッカー集団が関与しているとされる。

FBIは裁判所の令状に基づき、FaceStealerの攻撃に使用されていたクラウドインフラを押収した。押収したデータには、900件を超える被害者のウェブカメラ動画が含まれていた。

こうした動画は、単に個人の顔を記録するだけでなく、別の人物をだますための材料として繰り返し利用されていた。

オープンソース開発者も標的、サプライチェーン攻撃につながる恐れ

FaceStealerは主に暗号資産やWeb3関連業界の関係者を狙っていたが、標的はソフトウェア開発者にも広がっている。

米司法省によると、攻撃者はオープンソースソフトウェアの開発や保守に携わる人物を狙い、端末やソフトウェアリポジトリのアカウントへのアクセスを試みていた。

こうしたアカウントが侵害された場合、攻撃者が正規のソフトウェアに不正なコードを混入させ、利用者や企業に被害を広げるサプライチェーン攻撃につながる恐れがある。

FBIは、今回の手口について、技術やセキュリティに詳しい利用者であってもだまされる可能性があると警告している。

FBIが注意喚起、知人からの会議招待にも警戒を

今回の攻撃では、実際に知っている人物のアカウントや顔動画が悪用されるため、送信者や会議参加者の見た目だけで正当な会議と判断することは危険だ。

特に、オンライン会議中に音声や接続の不具合を理由として、外部サイトへのアクセスやソフトウェアのインストール、コマンドの実行などを求められた場合には注意が必要となる。

不審な会議招待を受け取った際は、普段利用している別の連絡手段で本人に確認し、会議中に提示された不明なリンクや操作手順に安易に従わないことが重要だ。

FBIはFaceStealerに関する専用ページを設け、攻撃の仕組みや被害を防ぐための対策、侵害が疑われる場合の対応方法を公開している。