米国 FBI 巧妙なソーシャルエンジニアリング攻撃で暗号産業を標的にする北朝鮮 (2024.09.03)

こんにちは、丸山満彦です。

FBI、IC3が一般向けに北朝鮮によるソーシャルエンジニアリング攻撃をつかった暗号資産の窃取についての注意喚起を行っていますね...

ターゲットを決めて、個別化したメール等を使い、何度もやりとりをしながら信頼を得て...

ということで、大口顧客には、本気で取り組んできているようですね...

暗号資産をたくさんお持ちの方は、気をつけてくださいませ...

● Internet Crime Complaint Center; IC3

Alert Number: I-090324-PSA

・2024.09.03 North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks

North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks	巧妙なソーシャルエンジニアリング攻撃で暗号産業を標的にする北朝鮮
The Democratic People's Republic of Korea ("DPRK" aka North Korea) is conducting highly tailored, difficult-to-detect social engineering campaigns against employees of decentralized finance ("DeFi"), cryptocurrency, and similar businesses to deploy malware and steal company cryptocurrency.	朝鮮民主主義人民共和国(「DPRK」、通称北朝鮮)は、分散型金融(「DeFi」)、暗号通貨、および類似の事業に従事する従業員を標的に、高度にカスタマイズされた検知が困難なソーシャルエンジニアリングキャンペーンを実施し、マルウェアを展開して企業の暗号通貨を盗んでいる。
North Korean social engineering schemes are complex and elaborate, often compromising victims with sophisticated technical acumen. Given the scale and persistence of this malicious activity, even those well versed in cybersecurity practices can be vulnerable to North Korea's determination to compromise networks connected to cryptocurrency assets.	北朝鮮のソーシャルエンジニアリングの手法は複雑かつ巧妙で、高度な技術的洞察力を駆使して被害者を陥れることが多い。この悪質な活動の規模と持続性を考えると、サイバーセキュリティの実践に精通している人でも、暗号資産に接続されたネットワークを侵害しようとする北朝鮮の決意に対して脆弱性がある可能性がある。
North Korean malicious cyber actors conducted research on a variety of targets connected to cryptocurrency exchange-traded funds (ETFs) over the last several months. This research included pre-operational preparations suggesting North Korean actors may attempt malicious cyber activities against companies associated with cryptocurrency ETFs or other cryptocurrency-related financial products.	北朝鮮の悪意あるサイバー犯罪者は、過去数か月にわたり、暗号通貨上場投資信託(ETF)に関連するさまざまなターゲットについて調査を行っていた。この調査には、北朝鮮の行為者が暗号通貨ETFやその他の暗号通貨関連金融商品に関連する企業に対して悪意のあるサイバー活動を試みる可能性を示唆する、事前活動準備が含まれていた。
For companies active in or associated with the cryptocurrency sector, the FBI emphasizes North Korea employs sophisticated tactics to steal cryptocurrency funds and is a persistent threat to organizations with access to large quantities of cryptocurrency-related assets or products.	暗号通貨部門で活動している、または関連している企業に対して、FBIは、北朝鮮が高度な戦術を用いて暗号通貨資金を盗み、大量の暗号通貨関連資産または製品にアクセスできる組織に対して持続的な脅威となっていることを強調している。
This announcement includes an overview of the social engineering tactics North Korean state-sponsored actors use against victims working in DeFi, cryptocurrency, and related industries; potential indicators of North Korean social engineering activity; mitigation measures for those most at risk; and steps to take if you or your company may have been victimized.	この発表では、北朝鮮の国家支援を受けた攻撃者が、DeFi、暗号通貨、および関連業界で働く被害者に対して使用するソーシャルエンジニアリング戦術の概要、北朝鮮のソーシャルエンジニアリング活動の潜在的な兆候、最もリスクの高い人向けの低減策、そして、ご自身またはご所属の企業が被害に遭った可能性がある場合の対応手順が含まれている。
North Korean Social Engineering Tactics	北朝鮮のソーシャルエンジニアリング戦術
Extensive Pre-Operational Research	広範な事前調査
Teams of North Korean malicious cyber actors identify specific DeFi or cryptocurrency-related businesses to target and attempt to socially engineer dozens of these companies' employees to gain unauthorized access to the company's network. Before initiating contact, the actors scout prospective victims by reviewing social media activity, particularly on professional networking or employment-related platforms.	北朝鮮の悪意あるサイバー犯罪者グループは、標的とする特定の DeFi または暗号通貨関連企業を識別し、その企業のネットワークに不正アクセスするために、それらの企業の従業員数十名に対してソーシャルエンジニアリングを試みる。接触を開始する前に、犯罪者グループは、特にプロフェッショナルネットワークや雇用関連のプラットフォーム上のソーシャルメディアのアクティビティを調査し、潜在的な被害者を偵察する。
Individualized Fake Scenarios	個別化された偽のシナリオ
North Korean malicious cyber actors incorporate personal details regarding an intended victim’s background, skills, employment, or business interests to craft customized fictional scenarios designed to be uniquely appealing to the targeted person.	北朝鮮の悪意あるサイバー犯罪者は、標的となる人物の経歴、スキル、雇用、またはビジネス上の関心など、個人に関する詳細情報を盛り込み、標的となる人物に特別に魅力的に思えるようカスタマイズされた架空のシナリオを作成する。
North Korean fake scenarios often include offers of new employment or corporate investment. The actors may reference personal information, interests, affiliations, events, personal relationships, professional connections, or details a victim may believe are known to few others.	北朝鮮の偽装シナリオには、新しい雇用や企業投資のオファーが含まれることが多い。犯罪者は、個人情報、関心事、所属、イベント、個人的な関係、職業上のつながり、または被害者が「他のほとんどの人は知らないだろう」と考えるような詳細情報を参照することがある。
The actors usually attempt to initiate prolonged conversations with prospective victims to build rapport and deliver malware in situations that may appear natural and non-alerting. If successful in establishing bidirectional contact, the initial actor, or another member of the actor’s team, may spend considerable time engaging with the victim to increase the sense of legitimacy and engender familiarity and trust.	攻撃者は通常、見込みのある被害者と長時間にわたる会話を試み、信頼関係を築き、自然で警戒心を抱かせない状況でマルウェアを配信しようとする。双方向の接触に成功した場合、最初の攻撃者、または攻撃者のチームの別のメンバーは、被害者とかなりの時間を費やして、正当性を高め、親近感と信頼感を醸成する可能性がある。
The actors usually communicate with victims in fluent or nearly fluent English and are well versed in the technical aspects of the cryptocurrency field.	攻撃者は通常、流暢な、またはほぼ流暢な英語で被害者とコミュニケーションを図り、暗号通貨分野の技術的側面にも精通している。
Impersonations	なりすまし
North Korean malicious cyber actors routinely impersonate a range of individuals, including contacts a victim may know personally or indirectly. Impersonations can involve general recruiters on professional networking websites, or prominent people associated with certain technologies.	北朝鮮の悪意あるサイバー犯罪者は、被害者が個人的に、または間接的に知っている可能性のある人物を含む、さまざまな個人になりすますことを常としている。なりすましには、専門職向けネットワーキングサイト上の一般的なリクルーターや、特定のテクノロジーに関連する著名人が含まれる場合がある。
To increase the credibility of their impersonations, the actors leverage realistic imagery, including pictures stolen from open social media profiles of the impersonated individual. These actors may also use fake images of time sensitive events to induce immediate action from intended victims.	なりすましの信憑性を高めるため、犯罪者は、なりすまし対象者の公開されているソーシャルメディアプロフィールから盗んだ写真など、現実味のある画像を活用している。また、犯罪者は、緊急性のある出来事の偽の画像を使用して、標的となる被害者に即時の行動を促す場合もある。
The actors may also impersonate recruiting firms or technology companies backed by professional websites designed to make the fake entities appear legitimate. Examples of fake North Korean websites can be found in affidavits to seize 17 North Korean domains, as announced by the Department of Justice in October 2023.	また、偽装事業体を本物らしく見せるために作られた専門ウェブサイトを背景に、採用企業やテクノロジー企業を装うこともある。北朝鮮の偽装ウェブサイトの例は、2023年10月に司法省が発表した北朝鮮の17のドメインの差し押さえに関する宣誓供述書で見ることができる。
Indicators	兆候
The FBI has observed the following list of potential indicators of North Korean social engineering activity:	FBIは、北朝鮮によるソーシャルエンジニアリング活動の兆候として、以下の可能性を指摘している。
・Requests to execute code or download applications on company-owned devices or other devices with access to a company’s internal network.	・企業所有のデバイスや、企業の内部ネットワークにアクセスできるその他のデバイス上で、コードの実行やアプリケーションのダウンロードを要求する。
・Requests to conduct a "pre-employment test" or debugging exercise that involves executing non-standard or unknown Node.js packages, PyPI packages, scripts, or GitHub repositories.	・標準外または未知の Node.js パッケージ、PyPI パッケージ、スクリプト、GitHub リポジトリの実行を伴う「採用前のテスト」やデバッグ作業を要求する。
・Offers of employment from prominent cryptocurrency or technology firms that are unexpected or involve unrealistically high compensation without negotiation.	・著名な暗号通貨企業やテクノロジー企業から、予期せぬ、または交渉なしに非現実的な高額報酬を伴う雇用オファーを受ける。
・Offers of investment from prominent companies or individuals that are unsolicited or have not been proposed or discussed previously.	・著名な企業または個人からの投資の申し出で、依頼していないもの、または以前に提案または協議されていないもの。
・Insistence on using non-standard or custom software to complete simple tasks easily achievable through the use of common applications (i.e. video conferencing or connecting to a server).	・一般的なアプリケーション(ビデオ会議やサーバーへの接続など)を使用すれば簡単に達成できる簡単なタスクを、標準外またはカスタムのソフトウェアを使用して完了させようとする。
・Requests to run a script to enable call or video teleconference functionalities supposedly blocked due to a victim's location.	・被害者の所在地によりブロックされていると思われる通話またはビデオ電話の機能を有効にするためにスクリプトを実行するよう要求する。
・Requests to move professional conversations to other messaging platforms or applications.	・専門的な会話は他のメッセージングプラットフォームまたはアプリケーションに移動するよう要求する。
・Unsolicited contacts that contain unexpected links or attachments.	・予期せぬリンクや添付ファイルを含む、望ましくない連絡。
Mitigations	リスクの低減
To lower the risk from North Korea’s advanced and dynamic social engineering capabilities, the FBI recommends the following best practices for you or your company:	北朝鮮の高度でダイナミックなソーシャルエンジニアリング能力によるリスクを低減するために、FBIは、個人または企業に対して、以下のベストプラクティスを推奨している。
・Develop your own unique methods to verify a contact's identity using separate unconnected communication platforms. For example, if an initial contact is via a professional networking or employment website, confirm the contact's request via a live video call on a different messaging application	・連絡者の身元を確認するために、関連性のない別のコミュニケーションプラットフォームを使用する独自の方法を開発する。例えば、最初の連絡がビジネスネットワークや就職情報サイト経由であった場合、別のメッセージングアプリケーションでライブビデオ通話を使用して連絡者の要求を確認する
・Do not store information about cryptocurrency wallets — logins, passwords, wallet IDs, seed phrases, private keys, etc. — on Internet-connected devices.	・インターネットに接続されたデバイスに、暗号通貨のウォレットに関する情報(ログイン、パスワード、ウォレットID、シードフレーズ、プライベートキーなど)を保存しない。
・Avoid taking pre-employment tests or executing code on company owned laptops or devices. If a pre-employment test requires code execution, insist on using a virtual machine on a non-company connected device, or on a device provided by the tester.	・入社前のテストや、会社所有のラップトップやデバイスでのコード実行は避ける。入社前のテストでコード実行が必要な場合は、会社に接続されていないデバイス上、またはテスト担当者から提供されたデバイス上で仮想マシンを使用するように要求する。
・Require multiple factors of authentication and approvals from several different unconnected networks prior to any movement of your company's financial assets. Regularly rotate and perform security checks on devices and networks involved in this authentication and approval process.	・会社の金融資産を移動させる前に、複数の異なる非接続ネットワークからの認証と承認を必要とする。この認証と承認プロセスに関わるデバイスとネットワークの定期的なローテーションとセキュリティチェックを行う。
・Limit access to sensitive network documentation, business or product development pipelines, and company code repositories.	・機密性の高いネットワーク文書、事業や製品開発のパイプライン、および企業コードのリポジトリへのアクセスを制限する。
・Funnel business communications to closed platforms and require authentication — ideally in person — before adding anyone to the internal platform. Regularly reauthenticate employees not seen in person.	・社内プラットフォームに誰かを追加する前に、ビジネスコミュニケーションをクローズドなプラットフォームに集約し、理想的には直接対面して認証を行う。直接対面できない従業員については、定期的に再認証を行う。
・For companies with access to large quantities of cryptocurrency, the FBI recommends blocking devices connected to the company’s network from downloading or executing files except specific whitelisted programs and disabling email attachments by default.	・大量の暗号通貨にアクセスする企業に対しては、FBIは、ホワイトリストに記載された特定のプログラムを除き、企業のネットワークに接続されたデバイスによるファイルのダウンロードや実行をブロックし、デフォルトで電子メールの添付ファイルを無効にすることを推奨している。
Response	対応
If you suspect you or your company have been impacted by a social engineering campaign similar to those discussed in this announcement, or by any potential North Korea-related incident, the FBI recommends the following actions:	この発表で取り上げたようなソーシャルエンジニアリングキャンペーン、または北朝鮮に関連する可能性のあるインシデントの影響を受けた可能性がある場合、FBIは以下の対応を推奨している。
・Disconnect the impacted device or devices from the Internet immediately. Leave impacted devices powered on to avoid the possibility of losing access to recoverable malware artifacts.	・影響を受けたデバイスを直ちにインターネットから切断する。影響を受けたデバイスは電源を入れたままにしておき、回復可能なマルウェアの痕跡へのアクセスを失う可能性を回避する。
・File a detailed complaint through the FBI Internet Crime Complaint Center (IC3) at www.ic3.gov.	・FBIのインターネット犯罪苦情センター(IC3)www.ic3.govに詳細な苦情を提出する。
・Provide law enforcement as many details as you can regarding the incident, including screenshots of communications with the malicious cyber actors. If possible, take screenshots of (or otherwise save) identifiers, usernames, online accounts, and any other details about the actors involved.	・悪意のあるサイバー犯罪者とのコミュニケーションのスクリーンショットを含め、インシデントに関する詳細をできるだけ多く法執行機関に提供する。可能であれば、識別子、ユーザー名、オンラインアカウント、および関係者のその他の詳細をスクリーンショット(または保存)する。
・Discuss options for incident response and forensic examination of impacted devices with law enforcement. In some situations, law enforcement may recommend taking advantage of private incident response companies.	・インシデント対応および感染したデバイスのフォレンジック調査のオプションについて、法執行機関と話し合う。状況によっては、法執行機関が民間のインシデント対応企業の利用を推奨する場合がある。
・Share your experience with colleagues, if appropriate, to raise awareness and broaden the public's understanding of the significant malicious cyber threat emanating from North Korea.	・必要に応じて、同僚と経験を共有し、北朝鮮から発信される重要な悪意のあるサイバー脅威に対する認識を高め、一般の人々の理解を広める。
For related information and additional details on North Korea's malicious cyber activity, see FBI press releases from September 2023, August 2023, and January 2023, as well as Joint Cybersecurity Advisories released in June 2023 and April 2022 .	北朝鮮の悪意のあるサイバー活動に関する関連情報および追加の詳細については、2023年9月、2023年8月、2023年1月のFBIプレスリリース、および2023年6月と2022年4月に発表された共同サイバーセキュリティ勧告を参照のこと。