大規模な標的型フィッシングから取引署名システムへの侵害まで――AIの活用でより脅威となった北朝鮮のハッキング犯罪集団
ハッキング被害に接するたび、私たちはまず、どれほどの金額が失われたのかを確認する。しかし、それ以上に注目すべきなのは攻撃手法の変化だ。人工知能（AI）が攻撃準備に必要な時間と労力を削減しているなら、過去の人員と速度を前提に設計された防御体制は無力化される可能性がある。
マイクロソフト（MS）の分析によると、調査対象となった北朝鮮のハッキング組織8団体のうち3団体は、AIを日常的な攻撃業務に統合する段階に達している。韓国の利用者を狙い、個別化したPDFのおとり文書を大量に作成した事例も確認された。これは今後のフィッシングが、誰にでも同じように送られる不自然なメッセージではなく、受信者の業務や関心に合わせた自然な提案として届く可能性を示唆している。
かつては、フィッシングメールの不自然な文章や粗雑な形式によって見抜くことができた。今や、文章が滑らかで業務の文脈に合っているという理由だけで、信頼してはならない。投資提案書、採用課題、面接の依頼、協業文書のように日常的にやり取りする資料についても、送信者と伝達経路を別途確認する習慣が不可欠だ。
相次いで発生している大規模な暗号資産の窃取は、こうした脅威がもたらし得る破壊力を示している。ブロックチェーン分析会社TRMラボは最近、バイナンス関連のウォレットから約63億6,000万ドルが流出し、その大半の資金移動が約20分間に発生したと分析した。背後にいる組織として、北朝鮮のハッキング組織「トレーダートレーダー」を名指しした
今回のハッキング事件に関する懸念は、攻撃の試行回数が増えることだ。攻撃者が文書作成やコード修正にかける時間を短縮すれば、より多くの対象に接触し、失敗した試みを素早く変更する余地が生まれる。防御する企業と利用者は、それだけ多くの不審な接触を見分けなければならない。攻撃成功率がどれほど高まったかとは別に、防御側の負担は以前よりはるかに大きくなる。
取引所は一度の侵害が大規模な出金に発展しないようにしなければならない
取引所と暗号資産企業がまず点検すべきなのは、業務用アカウントや端末から資産移動の権限に至るまでの経路だ。従業員1人のノートパソコンやアカウントが侵害されたとしても、攻撃者が直ちに中核システムや取引署名権限にアクセスできないよう設計しなければならない。
そのためには、開発・業務環境と資産運用環境のアクセス権限を分離し、必要な人に必要な範囲と時間だけ権限を付与しなければならない。高額出金や重要な設定変更には独立した承認手続きを設け、承認者が実際の受取アドレスと取引内容を確認できるようにする必要がある。複数人が承認する構造であっても、同じ端末や同一の管理権限に依存していれば、共通の脆弱性にさらされる可能性がある。
ホットウォレットに保管する資産規模と出金限度額も併せて管理しなければならない。セキュリティーの目標は侵入を防ぐことだけで終わらない。侵入が発生した際に攻撃者が動かせる範囲と金額を制限することまで含めなければならない。
検知も、文書のタイトルや既知のマルウェアとの一致の有無だけに依存していては不十分だ。普段とは異なる管理者の接続、突然の権限変更、異例の署名要求や資金移動など、実際の行動の変化を確認しなければならない。警報が鳴った際、誰が出金を停止し、どの経路で関係機関や他の事業者に知らせるのかも、事前に決めておく必要がある。
個人による確認習慣と共同対応体制の必要性
個人利用者もセキュリティー基準を引き上げなければならない。取引所やウォレットサービスから届いたメッセージは、メッセージ内のリンクをクリックするよりも、公式アプリや直接保存したアドレスからアクセスして確認する方が望ましい。業務上受け取ったファイルであっても、予期しないログインやプログラムのインストールを要求された場合は、以前から把握している別の連絡経路で依頼の真偽を確認する必要がある。
暗号資産を自ら保管する場合、リカバリーフレーズをオンラインに入力したり、他人に伝えたりしないという原則が重要だ。ハードウェアウォレットを使っていても、自分が何を承認しているのかを確認する責任は残る。取引所での保管と自己保管にはそれぞれ異なるリスクがあるため、自身の管理能力を考慮して選択する必要がある。
企業と政府の対応も、個々の組織の枠内にとどまってはならない。攻撃に使われたアドレスやドメイン、侵害の兆候を迅速に共有し、取引所・セキュリティー企業・捜査機関の間の緊急連絡体制を平時から機能させておく必要がある。同時に、セキュリティー人材と予算が不足している協力会社まで防御水準を高められるよう支援しなければならない。
AIが攻撃準備の速度を高める時代に、すべての利用者が毎回完璧な判断を下すことを期待することはできない。利用者の注意を助ける認証手続き、一度のミスを限定する権限構造、異常の兆候を発見した際に直ちに停止できる対応体制が、併せて必要になる。
暗号資産業界が信頼を守るには、セキュリティーをサービスの付加機能として扱ってはならない。攻撃者がどれほど巧妙になったかを警告するだけでなく、実際に侵害が発生しても利用者の資産を守れる構造を整えること。それが今回のバイナンス・ハッキング事件を契機に、業界が答えるべき課題である。