虚構企業「Ballena Azul」に北朝鮮IT集団が接触
サイバーセキュリティ専門家のマウロ・エルドリッチ氏とハイナー・ガルシア氏は約5週間に渡り、架空の暗号通貨スタートアップ「Ballena Azul」を創設。Zoomを通じて北朝鮮籍とみられるIT技術者たちと接触し、彼らが資金調達や開発協力を求めていると誤認したまま、綿密な調査を実施しました。英国に登記された同名企業の情報を組み合わせ、現実感を高めたうえで、エルドリッチ氏は共同創業者レオナルド・ネルソンを、ガルシア氏はチームリーダーのアンディ・ジョーンズ役を演じました。
建物となるサーバー群と関連悪意ある活動の確認
調査により、北朝鮮ITグループが通信に使う複数の中間サーバーが特定されました。これらのサーバーは以前の北朝鮮のマルウェア「InvisibleFerret」や「BeaverTail/OtterCookie」の活動に関与したものも含まれており、一部はこれまでの脅威リストに挙がっていない新たなインフラの展開も示していました。これらのサーバーは悪質プログラムの配布だけでなく、指揮・制御やプロキシ転送の多層的役割を担っていることも判明しました。
専門家は、対象IT技術者が悪意あるプログラムを直接拡散しなくとも、正規の社内アクセス権を悪用し重要なコードやシステムに長期的に潜伏可能であり、北朝鮮政権への資金調達に寄与している可能性を指摘しています。
AI活用が日常化した作業環境
関与するIT人材は、OpenAIのChatGPTを軸にプログラム作成や技術的質問に活用し、GoogleのGeminiを利用して画像修正や書類偽造を行うなど、AI支援ツールを活用する様子が明らかになりました。また遠隔操作ツールや暗号資産ウォレット、多要素認証コード共有サービスなども併用し、作業の効率化・機密保持を図っています。
採用ルートと管理体制の詳細
最初の接触は「Famous Chollima」と関連するGitHub上のリクルーターを通じて行われ、その後「ジャック・アンダーソン」「アンジェロ・エスプリ」「ルーカス・テオ」といった遠隔開発者が段階的に招集されました。仮想デスクトップの割り当てやネットワーク障害を模擬したテストで彼らの対応力が検証され、チャット記録やVPNの出口ノード、ライブ映像の記録といった証拠が収集されました。
北朝鮮IT関連の遠隔人材案件は過去にも米国検察が4人を逮捕し、90万ドルを超える仮想通貨資産の窃取で取り調べを進めており、核兵器や大量破壊兵器の資金源との関連が疑われています。
偽装崩壊と関係者の離脱
調査終盤には偽の共同創業者「ベニート・カメラ」が現れ、開発者の身分確認の食い違いを問いただしました。先にエスプリ氏がZoom通話から退出し、追ってアンダーソン氏も詐称と判明して撤退。その後Telegramの偽企業チャネルでは「CEO」と「アンディ・ジョーンズ」間で公開のもめ事が生じ、協力打ち切りと離散を告知し、計画は崩壊しました。
少なくとも1名の北朝鮮関係者がガルシア氏に個別に謝罪を伝えたものの、他の参加者とは連絡が途絶えたままです。彼らはいまだ自分たちが監視されていたとは認識していません。
セキュリティ上の示唆と産業界への注意点
今回の虚構企業を利用した長期的な調査は、北朝鮮IT人材の遠隔作業体制や技術的戦術、基盤インフラの詳細を初めて包括的に浮き彫りにしました。直接的な攻撃に関与しない場合でも、内部アクセス権を持つ影響力は暗号資産プラットフォームに潜在的な脅威を及ぼす恐れがあります。今後、規制当局及び業界はこのような遠隔ITチームの進化動向とリスクを継続的に監視する必要があります。