偽のオンライン会議への招待 — 北朝鮮系攻撃者が採用・商談を悪用する手口と対策

採用面接や投資の打ち合わせを装い、相手を偽のオンライン会議に誘い込む手口が、北朝鮮系とみられるサイバー攻撃者の間で広がっている。会議ツールに似せたサイトで「音声が聞こえない」「更新が必要」と告げ、更新プログラムに見せかけて不正なソフトを入れさせる。狙われるのは暗号資産交換業者やその従業員、ソフトウェア開発者、採用に応じた求職者である。本稿は、各国の公的機関や大手セキュリティ企業の公開報告でわかっている全体像を整理したうえで、当社が2026年1月から3月にかけて観測した偽の会議サイトの仕掛けを、手口の構造に絞って補足する。

偽の会議への招待という手口 — 接触から感染までの流れ

この手口は、いきなりファイルを送りつける従来型の攻撃と違い、相手との信頼関係をつくってから本題に入る。入口は大きく二つある。一つは採用・転職をかたる経路で、高待遇の求人や採用前試験を持ちかける。もう一つは投資・事業提携をかたる経路で、暗号資産やフィンテック分野の経営層・開発者に商談を装って近づく。

警察庁が米連邦捜査局（FBI）・米国防総省サイバー犯罪センター（DC3）と2024年12月24日に共同で公表した文書によると、北朝鮮を背景とするグループ「TraderTraitor」は、ビジネス向けSNS上でリクルーターを装って暗号資産ウォレットのソフトウェア企業の従業員に接触し、採用前試験を装って悪意あるスクリプトを含むURLを送っていた。同日、警察庁・内閣サイバーセキュリティセンター・金融庁が連名で出した注意喚起も、企業の幹部などを装ってSNSで暗号資産関連事業者の従業員に接触する手口を挙げている。米セキュリティ企業SentinelOne（センチネルラボ）は2025年9月4日の報告で、求職者に偽の採用案内を送り、評価プラットフォームを模した偽の採用サイトへ誘導する一連の活動（「Contagious Interview」）を分析し、2025年1月中旬から3月末までに230人を超える人物が誘い込まれていたと指摘した。同社は、これはごく一部のサーバーの記録に基づく数であり、実数はさらに多いとみている。

接触の次に来るのが、会議への招待である。米グーグル傘下のマンディアント（Google Threat Intelligence Group）が2026年2月9日に公開した報告では、北朝鮮関連とみられる攻撃者（同社の呼称はUNC1069）が、乗っ取った暗号資産企業幹部のアカウントからメッセージアプリで接触し、予定調整サービスのリンクを送って30分の打ち合わせを設定し、攻撃者の用意した偽のオンライン会議に誘い込んでいた。正規の会議ツールでも、初めて使うときにアプリの導入を案内されることはある。しかし、会議に入った後で「音声の不具合を直すため」などとして別のソフトの導入やコマンドの実行を求められることは、通常ない。この要求が、手口を見分けるうえでの最初の分かれ目になる。

偽の会議画面に仕込まれた仕掛け — 本物らしさと焦りの演出

偽の会議サイトは、ブラウザ上で会議ツールの起動画面や会議中の画面をそっくり再現する。被害者に「正規のサービスにつながっている」と信じ込ませ、同時に「早く会議に入らなければ」という焦りを起こさせることが狙いである。公開報告からは、次のような共通の仕掛けが確認できる。

• 偽の参加者と録音された映像・音声。英セキュリティ企業JUMPSECが2026年7月24日に公開した分析によると、被害者はまず「ほかの参加者を待つ」画面に一人で置かれ、その後、あらかじめ録画した「司会者」の映像があたかも生中継のように流される。マンディアントの事案でも、被害者は別の暗号資産企業の最高経営責任者を装った、ディープフェイクとみられる映像を見せられていた。
• 音声不具合を口実にした操作の誘導。攻撃者は「マイクが動いていない」「音声に問題がある」と告げ、その解決と称して被害者自身に操作をさせる。マンディアントはこれを、利用者に不具合解消を装ったコマンドを実行させる手法(ClickFix)と説明している。英Netcraftが2026年3月5日に公開した分析でも、偽のZoom・Google Meet画面でわざと音声を劣化させ、続けて「更新が必要」と表示する流れが確認されている。
• 更新を迫る表示。JUMPSECの事例では、映像のボタンを押すたびに更新を促す表示が出た。被害者が不審な点に気づく前に押させようとする仕掛けである。
• 不正プログラムまたは正規の遠隔管理ソフトの導入。北朝鮮系とされる事例では、音声の不具合を直すと称してコマンドを実行させ、不正プログラムを入れさせていた（マンディアント、JUMPSEC）。一方、帰属が示されていない同種の偽会議を分析したNetcraftの報告では、「更新」として配られたのは正規に署名された遠隔サポート製品や従業員モニタリング製品であった。正規ソフトは警告が出にくく、被害者も「会議アプリの更新」と信じて導入しやすい。
• 攻撃者への即時通知。被害者がソフトを導入すると、その操作や窃取したデータが、メッセージアプリ（Telegram）を通じて攻撃者側へ送られる。JUMPSECは、盗んだデータがTelegramの経路で運用者に届く仕組みを確認している。

JUMPSECは、この一連の仕組みを、攻撃者が管理画面から会議の進行とメッセージ表示を操る「運用者主導の被害者獲得基盤」と表現している。単発の罠ではなく、繰り返し使える道具立てとして設計されている点に、この手口の深刻さがある。

当社が観測した偽の会議サイト群 — 2026年初頭の事例

当社は2026年1月から3月にかけて、この手口に用いられたとみられる偽の会議サイト群を観測した。ある一つのホスティング事業者の基盤上に、会議ツールの名称に似せた綴りのドメインがまとまって確認され、その数は少なくとも38件に上った。このうち21件は「meet」や「zoom」といったオンライン会議の呼称を模したもので、名前の付け方がそろっていることから、同じ目的でまとめて用意されたドメインとみられる（推定）。ただし、同じ基盤に置かれていることは運用者が同じことの証拠にはならず、これらのサイトの運用者は現時点では特定できていない。綴りを一文字だけ変えるなどして正規のURLと見誤らせる手法は、タイポスクワッティングと呼ばれる。これらの名前の中には、一部に日本語の単語を含むものもあった。

観測の時点で実際に稼働していたのは、このうち1件であった。そのサイトの仕掛けは、前節で見た公開報告の内容とよく一致していた。会議中を思わせる画面で被害者を焦らせ、数秒おきに更新を促すポップアップを表示し、配られるインストーラーの中身は正規の遠隔管理ソフトそのものであった。被害者がソフトを導入すると、攻撃者にメッセージアプリで通知が届く仕組みも確認した。

こうした観測の端緒は、攻撃者側の綻びにある。当社が確認した事例では、攻撃に用いる一連のファイルが、誰でも閲覧できる公開状態のままサーバーに置かれていた。攻撃者が「第三者には見つからない」と油断して保護を怠ったものとみられ、本来は外部から参照できないはずの道具立てが、結果として手口の解明につながった。JUMPSECも、運用者がソースマップ（元のプログラムを復元できるファイル）や公開ディレクトリを放置していたことから攻撃基盤の中身が明らかになったと報告しており、同種の油断は各所で観測されている。

正規の遠隔管理ソフトの悪用 — 見つかりにくさという利点

この手口の肝は、最後に導入させるものが「正規のソフト」である点にある。遠隔管理ソフト（RMM）は、本来は情報システム部門が社内の端末を遠隔で保守・管理するための正規ツールである。これを攻撃者が持ち込んで悪用する手口は、サイバー犯罪者を中心に増えている。

米セキュリティ企業Proofpointは2025年3月の分析で、正規の遠隔管理ソフトを攻撃の初期段階の導入物として使う攻撃者が増えていると指摘した。理由は三つある。第一に、正規ソフトは正当な電子署名を備えるため、ウイルス対策製品や通信監視で検知されにくい。第二に、利用者も、見慣れない不正プログラムより「管理用のソフト」と言われたほうが警戒しにくい。第三に、導入後は遠隔操作・データ窃取・横展開など攻撃に必要な機能がひととおり揃う。米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）らも、2023年の勧告で、正規の遠隔管理ソフトの悪用に警鐘を鳴らし、組織側の対策を示している。当社が観測した偽の会議サイトでも、「更新」として配られていたのは正規の遠隔管理ソフトであった。

金銭被害の規模と標的 — 暗号資産をめぐる攻防

この種の攻撃の最終目的の多くは、暗号資産の窃取である。被害は個人にとどまらず、交換業者の基幹システムにまで及ぶ。

前出の警察庁・FBI・DC3の2024年12月の共同公表によると、国内の暗号資産関連事業者であるDMM Bitcoinから2024年5月に約482億円相当（FBIの発表では約3億800万ドル、4,502.9ビットコイン）の暗号資産が窃取され、「TraderTraitor」によるものと特定された。このときの入口は、前述の採用前試験を装った接触であった。またFBIは2025年2月26日、暗号資産交換業者Bybitから同月21日ごろに約15億ドル相当の暗号資産が窃取された事案について、同じく「TraderTraitor」によるものと公表した。

標的が暗号資産業界に集中するのは偶然ではない。マンディアントは、UNC1069が暗号資産関連の新興企業、ソフトウェア開発者、ベンチャーキャピタルを狙っていると報告している。送金が国境を越えて速く、取り戻しにくい暗号資産は、外貨獲得を目的とする攻撃者にとって好都合な標的となっている。採用に応じる求職者、開発者、暗号資産事業者は、いずれもこの手口の射程に入っている。

見分け方と実務的な対策 — 立場ごとの勘どころ

この手口は人の心理と業務上の慣行を突くものであり、技術だけでは防ぎきれない。立場ごとに勘どころを押さえておきたい。

採用担当者。求人・採用の過程そのものが攻撃の入口になっている。応募者・候補者とのやり取りで、自社が指定していない外部サイトや予定調整リンクに誘導された場合は警戒する。採用前試験と称して外部のコードを実行させる、特定のアプリを入れさせるといった要求は、業務用端末では応じない。警察庁は、SNSでの接触に対しては本人確認のためビデオ通話を求め、複数回拒否される場合は不審と判断するよう促している。

面接・商談を受ける技術者。会議への参加は、まず正規サービスのアプリやブラウザから、自分で入手したURLで行う。先方から送られたリンクを開いた先で、会議に入るためと称してソフトの導入やコマンドの実行、設定変更を求められたら、その場では応じない。「音声が聞こえない」「更新が必要」という誘導は、この手口の典型的な合図である。打ち合わせ中に手を止め、相手を別の既知の連絡先で確認するだけで、多くは防げる。

暗号資産関連の事業者。鍵やウォレット管理システムにアクセスできる従業員ほど狙われやすい。重要な操作は複数人の承認を要する体制とし、業務用端末と私用端末を分け、管理システムへのアクセスを必要最小限の権限にしぼる。通常と異なる時間帯や地域からのアクセスの監視も有効である。

情報システム部門。遠隔管理ソフトは、自組織で正式に採用した製品だけを許可し、それ以外の導入と実行を技術的に止める（アプリケーション制御・許可リスト化）。導入済みの遠隔管理ソフトを棚卸しし、想定外の製品が動いていないかログで点検する。CISAらの勧告は、承認外の遠隔管理ソフトの通信を境界で遮断することや、利用者教育とフィッシング訓練を挙げている。会議中の更新要求への警戒を、こうした訓練に組み込むことも有効とみられる（推定）。感染が疑われる端末は、電源を入れたまま速やかにネットワークから隔離し、揮発性情報の保全を優先することが望ましい。

まとめ — 当社の見方

偽の会議への招待は、単発の技術的な罠ではなく、接触から感染、通知までを一つの基盤でまかなう「運用」として設計されている。乗っ取った本人のアカウントから届くため、差出人を確かめるだけでは見破りにくく、最後に入れさせるものが「更新」や正規ソフトに偽装されるため、検知もすり抜けやすい。弱点は、技術よりも「会議中に新しいソフトを入れさせる」という不自然な一点に現れる。ここで立ち止まれるかどうかが、防げるか否かの分かれ目になる。

当社が2026年初頭に観測した偽の会議サイト群は、公開報告が描く構造と主要な仕掛けが一致しており、同種の手口が継続的に運用されているとみられる（推定）。暗号資産業界が外貨獲得の主要な標的であり続ける限り、採用・商談・会議という日常の接点を悪用するこの手口は、当面続くと考えられる（推定）。日常の業務動線そのものが攻撃面になっているという前提に立ち、立場ごとの基本動作を定着させることが、最も確実な備えとなる。

出典

1. 警察庁「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について」（2024年12月24日）https://www.npa.go.jp/bureau/cyber/koho/caution/caution20241224.html
2. 警察庁・内閣サイバーセキュリティセンター・金融庁「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによるサイバー攻撃について」注意喚起文書（2024年12月24日）https://www.npa.go.jp/bureau/cyber/pdf/20241224_caution.pdf
3. FBI・DC3・警察庁（警察庁による仮訳）「FBI、DC3及び警察庁は、Bitcoin.DMM.Comから3億800万ドルを窃取したとして、北朝鮮のサイバーアクターTraderTraitorを特定」（2024年12月24日）https://www.npa.go.jp/bureau/cyber/pdf/20241224_jp.pdf
4. FBI（IC3）「North Korea Responsible for $1.5 Billion Bybit Hack」（2025年2月26日）https://www.ic3.gov/PSA/2025/PSA250226
5. Google Threat Intelligence Group（Mandiant）「UNC1069、新たなツールとAIを活用したソーシャルエンジニアリングで暗号通貨セクターを標的に」（2026年2月9日）https://cloud.google.com/blog/ja/topics/threat-intelligence/unc1069-targets-cryptocurrency-ai-social-engineering
6. SentinelOne（SentinelLABS）「Contagious Interview: North Korean Threat Actors Reveal Plans and Ops by Abusing Cyber Intel Platforms」（2025年9月4日）https://www.sentinelone.com/labs/contagious-interview-threat-actors-scout-cyber-intel-platforms-reveal-plans-and-ops/
7. Netcraft「When the Call Connects, So Do They: Remote Access Delivery via Fake Meetings」（2026年3月5日）https://www.netcraft.com/blog/remote-access-delivery-via-fake-meetings
8. JUMPSEC「Inside a DPRK BlueNoroff ClickFix Kit」（2026年7月24日）https://www.jumpsec.com/guides/inside-a-dprk-bluenoroff-clickfix-kit/
9. Proofpoint「Remote Monitoring and Management (RMM) Tooling Increasingly an Attacker’s First Choice」（2025年3月）https://www.proofpoint.com/us/blog/threat-insight/remote-monitoring-and-management-rmm-tooling-increasingly-attackers-first-choice
10. CISA・NSA・MS-ISAC「Protecting Against Malicious Use of Remote Monitoring and Management Software」(AA23-025A)（2023年1月25日）https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-025a

株式会社Sola.com 脅威インテリジェンスセクション