【脅威アクター解説】Kimsukyとは？北朝鮮のサイバースパイ集団の実態

AIの進化とともに、新たなセキュリティのリスクが増えており、さらなる防御力が求められています。防御を強化する際、押さえておきたいのが脅威アクターの情報です。彼らが用いる攻撃手法を知ることで、有効な対策を講じることが可能になります。

そこで本連載では、フォーティネットの「Threat Actor Encyclopedia」から、特に注目すべき脅威アクターの情報をお届けします。今回は、北朝鮮のAPT「Kimsuky」を紹介します。

Kimsukyとは何か？特徴と活動の概要

Kimsukyは、少なくとも2012年からサイバースパイ活動に関与している北朝鮮の国家支援型APTグループです。主な標的には、韓国の政府機関、シンクタンク、軍事組織、原子力関連機関、防衛産業組織が含まれます。活動範囲を次第に拡大させ、米国、ロシア、欧州、国連も標的とするようになっています。

注目すべき活動としては、2014年のKorea Hydro & Nuclear Power Co.（韓国水力原子力発電）の侵害、2018年のOperation Stolen Pencil、2019年のOperation Kabar Cobra、2019年のOperation Smoke Screenが挙げられます。

どう感染する？流通経路と攻撃の仕組み

Kimsukyは、スピアフィッシングキャンペーンなどの多様な手口を用います。これらのキャンペーンでは、悪意ある文書やLNK / HTA / HWP / CHMファイルを標的に送付します。フィッシングは、被害者が信頼する正規の通信や情報源を模倣するよう慎重に設計されており、開封される可能性を高めています。

標的候補に関する情報収集を目的としたフィッシング作戦を実行できる能力も備えており、その一環として、標的候補の認証情報を収集するためにGoogle、Outlook、Navarなどの著名Webサイトを模倣することがあります。

サイバー活動では、独自開発のマルウェアに加え、市販のマルウェア、RAT、情報窃取ツールも利用しています。代表的なツールにはBabySharkとAppleSeedがあり、いずれも多機能なRATです。

Kimsukyは、成熟度の高いインフラストラクチャと運用手法を有しており、複数のサーバーからなるネットワークを利用して活動を隠蔽し、匿名性を維持しています。また、特筆すべき点として、WindowsとAndroidの両プラットフォームに対してマルウェアを展開できる高い能力も有しています。

日本への影響と注意点

北朝鮮の偵察総局傘下に属していると言われているKimsuky（キムスキー）は、同じく北朝鮮を拠点とするLazarus（ラザルス）同様に、10年以上にわたって活動を続けている息の長い脅威アクターです。

破壊的攻撃や大規模な金銭搾取をいとわないLazarusとは対照的に、Kimsukyは北朝鮮政府の外交・安全保障策を支援する情報収集に特化してきたのが最大の特徴です。Kimsukyの目的の特性上、隠密活動が求められ、OSの標準機能や正規ツールを悪用して侵入後の痕跡を隠蔽する「環境寄生型攻撃（Living-off-the-Land）」を積極的に活用しており、防御側が検知することを困難にしています。

かつてはスピアフィッシングと呼ばれる標的型メール攻撃や脆弱性の悪用が攻撃の主流であり、日本国内においても、安全保障や外交関係の組織を装って送り付けるメール攻撃が確認されています。近年では、QRコードを悪用して検知を回避する「Quishing（クイッシング）」や、ユーザーをだまして悪意のあるコマンドを自ら実行させる「ClickFix（クリックフィックス）」といった高度なソーシャルエンジニアリング手法を導入しており、その手口は絶えず進化しています。

こうした手口の巧妙化の背景には、国際社会による継続的な経済制裁の影響もあり、自組織の活動資金を確保するため暗号資産を狙った金銭目的の攻撃も主目的に組み込まれるようになってきました。

このように、攻撃の動機を「情報の搾取」から「外貨獲得」へと広げつつ、新たな攻撃手法を取り入れるKimsukyは、日本のデジタル主権と安全保障にとって深刻な脅威となっています。