GMO攻撃に関与か？北朝鮮系ハッカーはなぜ脅威なのか

GMOへのサイバー攻撃をめぐり、「北朝鮮系ハッカーが関与した可能性」が報じられました。
ただし、現段階で犯人が確定したわけではありません。犯行声明サイトへのアクセスの痕跡と、GMOに侵入した証拠は別の話です。一方、北朝鮮系の集団が、過去に日本で約482億円相当の暗号資産を盗んだと日米当局に特定されているのも事実。今回の報道で分かっていることと、過去の事件が示す脅威を分けて見ていきます。

「アクセスした」と「攻撃した」は違う

共同通信は11月1日、GMOがマルウェアや通信ログなどの複数の痕跡から、北朝鮮系の関与の可能性が高いと分析していると報じました。分析の詳しい内容は、同報道では明らかにされていません。

これとは別に、共同通信の解析では、犯行声明サイトの公開直後に接続したIPアドレスのうち5つが、過去に北朝鮮系集団が使用したものと一致したとされています。
ただし、これは声明サイトへの接続についての情報。GMOへの侵入や情報窃取を、その接続者が実行した証明にはなりません。

第三者が情報収集のためにサイトを見に来た可能性も、公開情報だけでは排除できません。「偵察だった」というのも仮説です。反対に、GMO側が分析したとされる別の痕跡を無視し、閲覧しただけと決めつけることもできません。

482億円窃取の入口は「採用試験」

では、北朝鮮系ハッカーの何が脅威なのでしょうか。
具体例が、2024年5月に起きたDMM Bitcoinの暗号資産流出事件です。警察庁と米FBIなどは、北朝鮮を背景とする「TraderTraitor」による約482億円相当の窃取と特定しました。

公表された経緯では、攻撃者はLinkedInで採用担当者を装い、暗号資産ウォレット関連企業Gincoの従業員に接触。採用前の試験に見せかけ、悪意あるプログラムへのリンクを送りました。

その後、従業員のログイン状態に関する情報を悪用して本人になりすまし、同社の通信システムに侵入。DMM側の正規の取引依頼を改ざんしたと当局は評価しています。

注目したいのは、仕事の誘いで人の信用を得て、関連企業を足掛かりにした点です。システムの弱点だけでなく、業務の流れまで利用していました。

盗んだ後の動きも速い

2025年2月には、暗号資産取引所Bybitから約15億ドル相当が盗まれた事件について、FBIが北朝鮮によるものと特定。盗んだ資産の一部を別の暗号資産に換え、数千のアドレスへ分散していると公表しました。
侵入から窃取、その後の資産移動まで進める能力が脅威なのです。

ただし、過去の事件は今回のGMO攻撃の犯人を示す証拠にはなりません。「北朝鮮系は脅威であること」と「今回の実行犯であること」は、分けて考える必要があります。今後は、侵入・情報窃取・脅迫を結び付ける具体的な証拠が示されるかに注目です。

出典・参考資料
共同通信／熊本日日新聞「GMO攻撃、北朝鮮ハッカーか」（2026年11月1日）
   https://kumanichi.com/articles/2053173
   関与説と、声明サイトへの5つのIPアドレスの接続に関する報道。
警察庁「TraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について」（2024年12月24日）
   https://www.npa.go.jp/news/release/20241224.html
   約482億円相当の窃取を特定。
警察庁掲載・日米合同発表（手口の詳細）
   https://www.npa.go.jp/bureau/cyber/pdf/20241224_jp.pdf
FBI「North Korea Responsible for $1.5 Billion Bybit Hack」（2025年2月26日）
   https://www.fbi.gov/investigate/cyber/alerts/2025/north-korea-responsible-for-1-5-billion-bybit-hack
   約15億ドルの窃取と、その後の資産分散について。

#サイバーセキュリティ #サイバー攻撃 #GMO #北朝鮮 #ニュース解説