サイバー攻撃を誰の仕業と判断する「帰属（アトリビューション）」は、1つの証拠では決まらない。攻撃者が意図せず繰り返し残す痕跡、いわば「指紋」を種類ごとに集め、互いに独立した複数の系統が同じ相手を指すかを確かめて、はじめて確度を付けた判断になる。本稿では、株式会社Sola.comが用いる指紋の7分類と、国際的に参照される分析の枠組みを3つの層に整理し、各国政府の公的帰属で主な根拠になった指紋をたどる。そのうえで北朝鮮IT労働者による外貨獲得の事案に当てはめる。

要点

  • 指紋は「登録・通信・サイト・コード・手口・人物・資金」の7分類で整理できる。口座や鍵にひも付く値は強く、IPアドレスのように無関係の多数が共有する値は弱い。
  • 国際的な実務は、記録の枠組み（ダイヤモンドモデル、ATT&CK、STIXなど）、強さの評価（Pyramid of Pain）、帰属判断と確度（米国家情報長官室の帰属ガイド、ICD 203など）の3層で成り立つ。
  • 2017年のWannaCryではコードの共通部分が出発点になった。北朝鮮IT労働者の事案では、身元（人物）と、口座や暗号資産（資金）が帰属の中核に移っている（推定）。
  • 2018年の平昌冬季五輪への攻撃（Olympic Destroyer）は、北朝鮮の仕業に見せかけた偽装が見破られた例で、北朝鮮の事案ではない。
  • 北朝鮮IT労働者の指紋の多くは、採用書類、支払口座、接続の記録など、企業が自社で持つ記録に現れる。

帰属判断の難しさ — 「指紋」という考え方

攻撃者は居場所と名前を隠し、通信は他国のサーバーや匿名化の仕組みを経由する。米国家情報長官室（ODNI）が2018年9月14日に公表した「サイバー帰属ガイド」は、帰属を「困難だが不可能ではない」とし、責任の所在を決める単純な技術的手順や自動化された解決策は存在しないと述べる。2017年12月19日にランサムウェア（身代金要求型の不正プログラム）WannaCryを北朝鮮に帰属させたホワイトハウスの会見でも、国土安全保障担当の大統領補佐官は、決定的な証拠は見つけにくいと認めたうえで、攻撃者は異なる出所の部品を結び付けたことで手の内を明かしたと説明した。

ここでいう「指紋（フィンガープリント）」は、攻撃者が意図せず繰り返し残す固有の特徴を指す。同じ指紋が別の事案に現れれば、名前の分からない相手でも2つの事案を「同じ運用者」によるものとして結び付けられる。ただし指紋には本人しか持てない値もあれば、無関係の多数が共有する値もある。1つの指紋で結論を出さず、独立した複数の系統の一致を重ねて判断するのが国際的な手法である。

指紋の7分類 — 攻撃者が残す痕跡の種類と重み

当社は痕跡を次の7つに分けて記録する。A〜Cは攻撃者が用意した「基盤」、Dは「道具」、E〜Gは攻撃者自身の「やり方」「身元」「お金」に関わる。識別力は、その値を本人以外が持ちうるか、同じ値を持つ第三者がどれだけいるかで決まる。

分類具体例（架空の値）識別力（当社の評価）
A 登録（ドメインを借りた記録）careers.example[.]com と talent.example[.]net が同じ登録者メール recruit77@example[.]com で、同じ日に同じ業者から登録されている登録者メールは強。登録日と業者の組合せは中。名前解決の委託先は弱
B 通信・サーバー192.0.2.10 と 192.0.2.77 の2台が同じ遠隔ログイン（SSH）の鍵を提示する証明書と鍵は強。応答の癖は中。IPアドレスは弱
C サイト内容見た目の異なる2社のサイトに同じアクセス解析の管理ID「G-EXAMPLE-01」と同じ連絡用IDがある管理IDと連絡先は強。ページのひな型は中（市販品は購入者が別人）
D コード（不正プログラム）2つの検体はファイルの一致値（ハッシュ値）が異なるが、独自の暗号化処理と開発者PCの利用者名「dev01」が共通独自処理の再利用は強。開発環境の痕跡は中〜強。ハッシュ値は作り手の特定には弱
E 手口・行動2つの事案で操作がUTC+9の平日9〜18時に集中し、同じ「技術課題」の筋書きが使われている珍しい段取りの組合せと作業上の失敗は強。時間帯と言葉は中。ありふれた手口は弱
F 人物別人を名乗る応募者2人が同じネット電話番号と同じ報酬口座を使う身分証と銀行情報の一致は強。写真・経歴書の型は中
G 資金3つのサイトが同じ暗号資産の受取先「W1」を掲示し、W1からの送金が同じ取引所の入金口座に届く受取先の使い回しと取引所口座は強。財布の束ねは中〜強

※値はすべて説明用の架空値。ドメインは例示用に予約された example[.]com など、IPアドレスは文書用に予約された 192.0.2.0/24 を用いた（[.] は誤クリック防止の表記）。

社会・政治の軸（意図・動機）技術の軸攻撃者基盤通信の構造能力道具・技術被害者標的の選び方

攻撃者の頂点やり方・身元・お金
E手口・行動強い例：作業上の失敗
F人物強い例：身分証・銀行情報
G資金強い例：受取先・取引所口座
基盤の頂点攻撃者が用意した設備
A登録強い例：登録者メール
B通信・サーバー強い例：証明書・SSHの鍵
Cサイト内容強い例：解析・広告の管理ID
能力の頂点道具
Dコード強い例：独自処理の再利用

識別力は株式会社Sola.comの評価。

図1 指紋の7分類とダイヤモンドモデルの4頂点の対応

国際的な枠組みの3層 — 記録、重みの評価、確度付きの結論

帰属分析で参照される枠組みは、役割で並べると3つの層になる。

第1層 記述の枠組み — 記録の項目と書式

  • ダイヤモンドモデル：2013年7月に、米国防技術情報センター（DTIC）に技術報告として収録された。1件の侵入を「攻撃者」「能力（道具と技術）」「基盤（通信の構造）」「被害者」の4頂点で記録し、1つの頂点で見つけた値から関連する要素をたどる「ピボット」を検証の主な手段とする。7分類のA〜Cは基盤、Dは能力、E〜Gは攻撃者の頂点に当たる。
  • MITRE ATT&CK：米非営利法人MITREが公開する攻撃の「やり方」の辞書。目的の段階（戦術）と具体的なやり方（技法）に番号を振る（例：T1566＝フィッシング）。北朝鮮系のLazarus Group（G0032）や、偽の求人で開発者を狙うContagious Interview（G1052）の技法も収録されている。2026年10月13日に第20版が公開された。
  • サイバーキルチェーン：米ロッキード・マーチン社の研究者が示した、侵入を偵察から目的の実行までの7段階に並べる考え方。
  • STIX 2.1：脅威情報を機械で読める共通書式で記述・交換する標準で、2021年6月10日に標準化団体OASISの標準となった。「指標」「基盤」「侵入セット」「脅威主体」など18種類の対象と、それらの「関係」「目撃」を記録する。
  • DISARM：偽情報・影響工作の手口をATT&CKの形式で記述する枠組み。

第2層 強さの評価 — 指紋ごとの信用の度合い

米国のセキュリティ研究者が2013年3月に示した「Pyramid of Pain（痛みのピラミッド）」は、指紋を下からハッシュ値、IPアドレス、ドメイン名、通信や端末に残る痕跡、道具、手口の6段に並べ、防御側に押さえられたときに攻撃者が受ける痛みが上の段ほど大きいとする。図には下から「些細」「簡単」「容易」「面倒」「困難」「極めて困難」と添えられている。当社はこれを指紋の変えにくさの目安とし、「本人以外が持ちうるか」「同じ値を持つ第三者が何件あるか」の2軸を加えて識別力を評価している。

第3層 帰属判断と確度 — 結論の確度の表し方

  • 米国家情報長官室の帰属ガイド：手口、基盤、不正プログラム、意図、外部の情報源（民間企業・報道・学術などの報告）の5つを主な指標とし、手口を最も重要と位置づける。習慣は道具より変えにくいためで、公になれば模倣されうるとも記す。確度は、合理的な疑いを超え代替仮説がない「高」、明確で説得力があり代替仮説が状況証拠に限られる「中」、証拠の過半が一方を指すが重大な欠落がある「低」の3段階である。
  • Qモデル：研究者2人が2015年に戦略研究の学術誌で示した階層モデル。技術面の「どうやって」を扱う戦術、攻撃の全体像を扱う作戦、「誰が・なぜ」を扱う戦略の3層に、外部への「伝達」を加える。指紋は主に戦術と作戦の材料で、戦略の結論には意図や外部情報を重ねる。
  • ICD 203（米情報機関の分析基準）：可能性を「ほぼ無い（1〜5%）」から「ほぼ確実（95〜99%）」までの7段階の定型語で表し、確度と同じ文で組み合わせないよう定める。英国にも同趣旨の7段階の物差しがあり、英国政府はWannaCryの帰属で「非常に可能性が高い」、五輪への攻撃の帰属で「ほぼ確実（95%以上）」と表現した。
  • Admiralty方式：情報源の信頼性と、情報そのものの確からしさを別々に格付けする方式。
  • 競合仮説分析（ACH）：米中央情報局（CIA）の研究部門が1999年に刊行した書で解説された手法。複数の仮説を競わせ、手元の情報と矛盾しないかで絞り込む。帰属ガイドも認知の偏りを避ける手法として挙げる。
01記述の枠組み記録の項目と書式

  • ダイヤモンドモデル：4頂点で1件を記録
  • MITRE ATT&CK：手口に番号を振る辞書（例 T1566＝フィッシング）
  • サイバーキルチェーン：7段階で並べる
  • STIX 2.1：機械で読める共通書式
  • DISARM：偽情報・影響工作の手口辞書
02強さの評価指紋ごとの信用の度合い

手口　極めて困難
道具　困難
通信・端末の痕跡　面倒
ドメイン名　容易
IPアドレス　簡単
ハッシュ値　些細
  • Pyramid of Pain（上ほど、押さえられたときの攻撃者の痛みが大きい）
  • 当社が加える2軸：口座・鍵にひも付くか／同じ値を持つ第三者の数
03帰属判断と確度結論の確度の表し方

  • 米国家情報長官室の帰属ガイド：5指標と確度（高・中・低）
  • Qモデル：戦術・作戦・戦略と伝達
  • ICD 203：可能性の7段階（ほぼ無い1〜5%〜ほぼ確実95〜99%）
  • Admiralty方式：情報源の信頼性×情報の確からしさ
  • 競合仮説分析：仮説を並べ、区別できる証拠で絞る
指紋（7分類）は主に01・02の材料。03の結論には、意図や外部の情報を重ねる。
図2 帰属分析の国際的な枠組みの3層

識別力の5原則 — 同じ値を見つけたときの重み付け

2つの事案に同じ値があっても、その重さは値の性質で変わる。当社は次の5原則で重みを決める（例の値と日付はすべて架空）。

  1. 口座・鍵にひも付く値は強い：登録者メール、管理ID、証明書やSSHの鍵、暗号資産の受取先、身分証や銀行情報は、持ち主にしか使えない。careers.example[.]com と talent.example[.]net が同じ登録者メールと同じSSHの鍵を持てば、同じ運用者が用意した可能性が高い。ただし他人のサイトを丸ごと複製すると元の管理IDも写るため、そのIDが最初に現れた時期とサイトを確かめる。
  2. 同じサーバーへの同居は同じ運用者の証拠にならない：レンタルサーバーやVPNでは無関係の多数が同じIPアドレスを共有する。偽サイトのある 192.0.2.10 に2,000件のドメインが同居していても、通常それらは偽サイトと無関係である。同居は調べる範囲を絞る材料にとどまる。
  3. 母数を数える：同じ値を持つ第三者が3件か3万件かで一致の意味は逆転する。管理IDを共有するサイトが3件なら強い手掛かりだが、ネームサーバーを共有するドメインが3万件なら判別に役立たない。どの仮説とも矛盾しない証拠は、仮説を絞り込む力を持たない。
  4. 時間の相関を重ねる：登録者が2025年11月3日に替わり、翌日にサーバーが 192.0.2.55 へ移っていれば、乗っ取りや転売の兆候とみる根拠になる。操作時刻が平日日中に集中し休日に減る「生活リズム」も組織的な運用を示すが、偽装できるため他の系統の裏付けとして使う。
  5. 偽旗を疑う：2018年2月9日の平昌冬季五輪の開会式を狙ったOlympic Destroyerでは、不正プログラムに残る開発環境の記録が北朝鮮系とされる検体と同一だった。カスペルスキーは2018年3月8日、記録が示す開発ツールの版とプログラムの中身が食い違い、記録は写し取られた偽物だと公表した。米司法省は2020年10月19日、ロシア軍参謀本部情報総局（GRU）74455部隊の要員6人を起訴し、英国政府は同日、GRUが北朝鮮や中国のハッカーに見せかけようとしたと公表した。

加えて当社は一致の独立性を確かめる。同じ報告書に載ったIPアドレスとドメインのように同じ情報源から派生した一致は1系統と数え、基盤・コード・人物や資金など独立した系統が同じ相手を指したときに、同一の運用者という判断に進む。

弱強
弱共用・ありふれた値（無関係の多数が同じ値を持つ）
  • IPアドレス・回線事業者・レンタルサーバー
  • ネームサーバー
  • ハッシュ値（作り手の特定について）
  • ありふれた手口
  • 市販の遠隔操作ソフト・VPN
中作り・設定・習慣の一致（模倣や偶然の一致がありうる）
  • サーバー応答の癖
  • ページのひな型、命名の規則
  • 顔写真の加工
  • 活動の時間帯・言葉
  • 手口の組合せ
強口座・鍵にひも付く値（本人しか持てない・作れない）
  • 登録者メール、解析・広告の管理ID
  • 証明書・SSHの鍵
  • 暗号資産の受取先・取引所口座
  • 身分証・銀行情報
  • 独自コードの再利用

同じ値を持つ第三者が少ないほど右へ、多いほど左へ。「強」でも、複製・盗用・偽装の可能性は個別に確かめる。

基盤（同じ鍵）コード（独自処理）資金（同じ受取先）同じ相手独立した3系統が同じ相手を指す
同一の運用者という判断に進む
IPアドレスだけ？IPアドレスだけが一致
判断は保留し、別の系統を探す

識別力は株式会社Sola.comの評価。例示はすべて架空。

図3 識別力のものさしと、独立した系統の重ね方

公的帰属の実例 — 主な根拠になった指紋の種類

事案公表主体と日付公表文に記載された主な根拠分類
WannaCry（2017年5月）米国・英国政府（2017年12月19日）。英・豪・加・NZ・日本が米国の分析を見て非難に加わった。米司法省の訴追発表（2018年9月6日）既知の北朝鮮の道具・手口・基盤との技術的なつながり（米国政府）。WannaCryを含む一連の攻撃について、互いにつながるメールやSNSのアカウント、盗んだ認証情報を集めるアカウント、共通のコード群、北朝鮮や中国などのIPアドレス、使い回された基盤（米司法省）D・A・B・F
Olympic Destroyer（2018年2月）カスペルスキー（2018年3月8日）、米司法省・英国政府（2020年10月19日）北朝鮮系に見せかけた開発環境の記録の偽造。ロシアGRUの要員の起訴。北朝鮮の事案ではないD（偽装の排除）
北朝鮮IT労働者の全米一斉摘発米司法省（2025年6月30日）16州でラップトップ・ファームの疑いがある29か所を捜索し、29の金融口座、21の不正サイト、約200台のコンピューターを押さえた。起訴状によると、ある事件では米国人80人超の身元を悪用して100社超の在宅の職を得、ダミー会社のサイトと口座を用意していたF・G・A・C
多国間制裁監視チーム（MSMT）第2報告書日本を含む11か国（2025年10月22日）暗号資産の窃取は2024年に少なくとも11億9,000万ドル、2025年1〜9月に少なくとも16億4,500万ドル。IT労働者は大半が中国に所在（推計1,000〜1,500人）。日本・ウクライナ・UAE・米国の協力者が就職と送金を助け、換金は中国の相対取引業者に大きく依存F・G
WaterPlum（通称Contagious Interview）警察庁・国家サイバー統括室と、米FBI・米国防総省サイバー犯罪センター、豪州通信情報局サイバーセキュリティセンター（ASD’s ACSC）、独連邦情報庁・独連邦憲法擁護庁（2026年9月18日）攻撃者のIPアドレスと、北朝鮮IT労働者がラップトップ・ファームやクラウドソーシング・サービスへの接続、国内の暗号資産交換業者への応募に使ったIPアドレスの一致。偽の求人と技術課題の手口。警察庁とFBIは、WaterPlumと北朝鮮IT労働者による一部の外貨獲得活動のいずれも、朝鮮労働党中央委員会軍需工業部313総局が中心的な役割を果たしていると評価B・E・F

WannaCryでは、2017年5月15日にカスペルスキーが、ごく初期の版と北朝鮮系「Lazarus」の2015年の検体とのコードの共通部分を報告し、偽旗の可能性は考えにくいとしつつ、さらなる調査が必要だとした。2018年の米司法省の訴追では、コードに加えてアカウント・基盤・IPアドレスの系統が並べられた。コードの一致は出発点で、帰属を固めたのは系統の重なりだったとみられる。

北朝鮮IT労働者の事案で並ぶのは、悪用された身元、ダミー会社のサイトと口座、資金の経路であり、不正プログラムの解析からは得られない指紋である。またIPアドレスは通常は弱い指紋である。WaterPlumの公表文は、合致したIPアドレスの性質（多くの利用者が共有するVPNの出口かどうかなど）を示しておらず、警察庁とFBIは捜査で得たほかの情報と合わせて評価したとみられる（推定）。

北朝鮮IT労働者事案への当てはめ — 人物と資金の指紋

警察庁などの2026年9月18日の公表によると、北朝鮮IT労働者は北朝鮮国内のほか中国やロシアなどに拠点を持つ。国内では、支援者から提供された身分証の画像で支援者になりすまして業務を受注し、支援者の口座で報酬を受け取っていた。支援者が借りた仮想専用サーバーで居場所を偽り、警察は日本で初めて、国内の支援者が設置したラップトップ・ファーム（支援者の自宅に置かれ、北朝鮮IT労働者が遠隔で操作するPC）を把握し解体した。暗号資産などで数億円相当が海外へ送金されていた。企業からは国内で働いているように見えるため、不正プログラムやサーバーの指紋より、人物・資金と、企業自身が持つ接続の記録が主な手掛かりになる（推定）。

人物と接続の指紋 — 自社の記録に残る値

FBIは2025年7月23日の注意喚起で、複数の従業員が似た書類や同じ銀行情報を使う、口座を頻繁に変える、支給機器を身分証と異なる住所へ送るよう求める、といった兆候への対策を示した。2026年7月31日に日本を含む11か国が出した注意喚起は、同じ身分証による複数アカウント、時間帯で連絡相手が替わる運用、暗号資産での支払いの要求に加え、同じIPアドレスから複数アカウントへのアクセスや、短時間に複数のIPアドレスから1つのアカウントへのアクセスを挙げた。こうした接続の記録は特定のアカウントと時刻に結び付くため、公開情報から見える同居より重い（推定）。

警察庁などの公表には、国内の暗号資産交換業者への応募の事例（2025年5月）がある。応募者は別人になりすました履歴書で応募し、複数の分野でそれぞれ10種類以上の経験を記したが、面接では日本への転居を拒み、暗号資産での給与の支払いに固執した。同社は不審点に気づき、採用にも被害にも至らなかった。この応募者のIPアドレスは、WaterPlumの攻撃者のIPアドレスと合致した。単独では弱い挙動の組合せが類型としての指紋になり、接続という別系統が別の事案とのつながりを示した例である。

資金の指紋 — 消えない台帳をたどる

暗号資産の送金は、誰でも閲覧できる公開の台帳（ブロックチェーン）に恒久的に記録される。米司法省によると、ある事件では盗んだ暗号資産（盗難時の価値で90万ドル超）を、出所を分かりにくくする混合サービスに通したうえで、偽造したマレーシアの身分証で開設された別名義の取引所口座へ移していた。台帳の分析では、1回の送金で一緒に使われた複数の財布を同じ持ち主とみなす規則などで財布を束ねるが、取引所の一括送金や複数人の共同送金では誤る。当社は束ねた結果を推定として扱い、取引所の入金口座のように本人確認の情報にひも付く値で裏付けてから結論に用いる。

部門現れやすい指紋（公表された兆候を当社が整理）分類
採用経歴の不自然な記載、身分証の加工、面接映像の不自然さ、ビデオ会議や来社・転居の拒否F・E
人事・経理同じ銀行情報の共用、口座の頻繁な変更、暗号資産での支払いの要求F・G
情報システム同じIPアドレスからの複数アカウントの利用、短時間に複数地点からの接続B・E
総務支給機器を身分証と異なる住所へ送る要求F

当社の分析の進め方 — 記録、重み付け、仮説の検証

  1. 観測した値を、ダイヤモンドモデルの4頂点と7分類で記録し、手口はATT&CKの番号、成果はSTIXの書式で残す。
  2. 値ごとに口座・鍵にひも付くか共用かを見分け、母数を数えて識別力を決める。
  3. 一致を情報源ごとにまとめ、独立した系統の数を数える。
  4. 「同一の運用者」「キットを共用する別人」「他者による偽装」などの仮説を並べ、区別できる証拠を探す。
  5. 可能性と確度は別の文で示す。例：「事案Xと事案Yは、同一の運用者による可能性が高い。この判断の確度は中である」。推定の部分は推定と明記する。

帰属の質は、技術の知識に加え、どの一致をどれだけ信用するかという判断の規律で決まる。人物と資金が中核になる北朝鮮IT労働者の事案では、採用・経理・情報システムの各部門が扱う記録が、そのまま指紋になる。

出典

  1. 米国家情報長官室（ODNI）「A Guide to Cyber Attribution」（2018年9月14日）https://www.dni.gov/files/CTIIC/documents/ODNI_A_Guide_to_Cyber_Attribution.pdf
  2. 米国家情報長官室「Intelligence Community Directive 203: Analytic Standards」（2015年1月2日、2022年1月21日改定）https://www.dni.gov/files/documents/ICD/ICD-203.pdf
  3. 英国政府「Explaining uncertainty in UK intelligence assessment」（2025年3月24日）https://www.gov.uk/government/publications/explaining-uncertainty-in-uk-intelligence-assessment/explaining-uncertainty-in-uk-intelligence-assessment
  4. S. Caltagirone, A. Pendergast, C. Betz「The Diamond Model of Intrusion Analysis」（米国防総省 技術報告、2013年7月5日）https://apps.dtic.mil/sti/pdfs/ADA586960.pdf
  5. MITRE「ATT&CK Versions」（v20、2026年10月13日〜）https://attack.mitre.org/resources/versions/
  6. MITRE ATT&CK「Phishing, Technique T1566」https://attack.mitre.org/techniques/T1566/
  7. MITRE ATT&CK「Lazarus Group, G0032」https://attack.mitre.org/groups/G0032/
  8. MITRE ATT&CK「Contagious Interview, G1052」https://attack.mitre.org/groups/G1052/
  9. E. M. Hutchins, M. J. Cloppert, R. M. Amin（Lockheed Martin）「Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains」https://www.lockheedmartin.com/content/dam/lockheed-martin/rms/documents/cyber/LM-White-Paper-Intel-Driven-Defense.pdf
  10. OASIS「STIX Version 2.1」（OASIS Standard、2021年6月10日）https://docs.oasis-open.org/cti/stix/v2.1/os/stix-v2.1-os.html
  11. DISARM Foundation「DISARM Frameworks」https://github.com/DISARMFoundation/DISARMframeworks
  12. D. J. Bianco「The Pyramid of Pain」（2013年3月1日）https://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html
  13. T. Rid, B. Buchanan「Attributing Cyber Attacks」Journal of Strategic Studies, 38巻1-2号, 4-37頁（2015年）https://doi.org/10.1080/01402390.2014.977382
  14. R. J. Heuer Jr.「Psychology of Intelligence Analysis」（米中央情報局 情報研究センター、1999年）https://www.cia.gov/resources/csi/static/Pyschology-of-Intelligence-Analysis.pdf
  15. Kaspersky GReAT「WannaCry and Lazarus Group – the missing link?」（2017年5月15日）https://securelist.com/wannacry-and-lazarus-group-the-missing-link/78431/
  16. ホワイトハウス 記者会見（WannaCryの北朝鮮への帰属の発表）（2017年12月19日、The American Presidency Project 収録）https://www.presidency.ucsb.edu/node/331986
  17. 英国政府「Foreign Office Minister condemns North Korean actor for WannaCry attacks」（2017年12月19日）https://www.gov.uk/government/news/foreign-office-minister-condemns-north-korean-actor-for-wannacry-attacks
  18. 米司法省「North Korean Regime-Backed Programmer Charged With Conspiracy to Conduct Multiple Cyber Attacks and Intrusions」（2018年9月6日）https://www.justice.gov/opa/pr/north-korean-regime-backed-programmer-charged-conspiracy-conduct-multiple-cyber-attacks-and
  19. Kaspersky GReAT「The devil’s in the Rich header」（2018年3月8日）https://securelist.com/the-devils-in-the-rich-header/84348/
  20. 米司法省「Six Russian GRU Officers Charged in Connection with Worldwide Deployment of Destructive Malware and Other Disruptive Actions in Cyberspace」（2020年10月19日）https://www.justice.gov/opa/pr/six-russian-gru-officers-charged-connection-worldwide-deployment-destructive-malware-and
  21. 英国政府「UK exposes series of Russian cyber attacks against Olympic and Paralympic Games」（2020年10月19日）https://www.gov.uk/government/news/uk-exposes-series-of-russian-cyber-attacks-against-olympic-and-paralympic-games
  22. 米司法省「Justice Department Announces Coordinated, Nationwide Actions to Combat North Korean Remote Information Technology Workers’ Illicit Revenue Generation Schemes」（2025年6月30日）https://www.justice.gov/opa/pr/justice-department-announces-coordinated-nationwide-actions-combat-north-korean-remote
  23. 米連邦捜査局（FBI）・IC3「North Korean IT Worker Threats to U.S. Businesses」（2025年7月23日、I-072325-4-PSA）https://www.ic3.gov/PSA/2025/PSA250723-4
  24. 外務省「Release of the Second Report of the Multilateral Sanctions Monitoring Team (MSMT)」（2025年10月22日）https://www.mofa.go.jp/press/release/pressite_000001_01758.html
  25. 多国間制裁監視チーム（MSMT）「The DPRK’s Violation and Evasion of UN Sanctions through Cyber and Information Technology Worker Activities」（2025年10月22日）https://www.mofa.go.jp/files/100922718.pdf
  26. 外務省「Alert to Countries, Companies, and Other Entities Regarding North Korean IT Workers」（2026年7月31日）https://www.mofa.go.jp/press/release/pressite_000001_02558.html, https://www.mofa.go.jp/files/101068357.pdf
  27. 警察庁・国家サイバー統括室「北朝鮮サイバー攻撃グループ「WaterPlum」によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の我が国、米国及び欧州における活動実態等について」（2026年9月18日）https://www.npa.go.jp/bureau/cyber/koho/caution/caution20260918.html, https://www.npa.go.jp/bureau/cyber/pdf/20260918_j.pdf
  28. 警察庁 報道発表（2026年9月18日）https://www.npa.go.jp/news/release/2026/20260918001.html

Threat Intelligence Section · DPRK

本稿は株式会社Sola.com 脅威インテリジェンスセクションによる北朝鮮関連の研究記事です。北朝鮮系サイバー脅威に関する記事は、脅威インテリジェンス・公開研究のページにまとめています。

株式会社Sola.com 脅威インテリジェンスセクション