サイバー攻撃は、何を奪おうとしてきたのか
サイバー攻撃という言葉から、皆さんは何を思い浮かべるでしょうか。
コンピューターウイルスによるシステム障害でしょうか。それとも、企業の機密情報の流出、あるいはランサムウェアによる身代金要求でしょうか。
現在のサイバー犯罪は、こうした複数の手口が入り交じる複雑な世界になっています。
その変遷を考えるうえで、北朝鮮に関連するとされるサイバー攻撃の歴史は、興味深い研究対象です。
2014年のソニー・ピクチャーズ事件から、銀行間送金システムを狙った事件、世界的なランサムウェア感染、そして巨額の暗号資産窃取へ。
一見すると別々の事件ですが、時系列で並べることで、攻撃者が何を狙い、どのような技術を利用してきたのかが見えてきます。
今回は、米国司法省、FBI、日本の警察庁、被害企業などが公表した資料を手掛かりに、その歩みを振り返ります。
※本記事では、確認された事件の事実、捜査機関による攻撃主体の帰属判断、民間セキュリティ企業による分析を区別します。また、各事件が同一の組織や人物によって実行されたことを意味するものではありません。
2014年――ソニー・ピクチャーズ事件
2014年、米国の映画会社ソニー・ピクチャーズ エンタテインメントが大規模なサイバー攻撃を受けました。
社内システムが破壊され、電子メールや機密資料、従業員の個人情報などが流出しました。
この事件の特徴は、単なる情報窃取にとどまらなかったことです。
攻撃者は「Guardians of Peace」を名乗り、情報の公開を続けながら、映画の上映をめぐって脅迫を行いました。
企業の内部システムを破壊するだけではなく、従業員や映画館など、企業の周辺にいる人々にまで圧力を加えたのです。
米FBIは、使用されたマルウェアのコード、攻撃基盤、過去の活動との技術的な共通点などを根拠に、北朝鮮政府の関与を認定しました。
FBIは何を根拠に北朝鮮の関与を認定したのか
2014年12月19日、米FBIはソニー・ピクチャーズへの攻撃について、北朝鮮政府に責任があるとする捜査結果を発表しました。
その判断は、攻撃者が残した脅迫文や政治的な動機だけに基づくものではありませんでした。
FBIが重視したのは、攻撃に使用されたマルウェアと通信基盤に残された技術的な痕跡です。
まず、ソニーのコンピューターを破壊したデータ消去型マルウェア（ワイパー）を解析したところ、過去に北朝鮮系攻撃者が開発したとされるマルウェアとの間に、プログラムコード、暗号化アルゴリズム、データ消去方法などの共通点が確認されました。
さらにFBIは、攻撃者が利用したネットワークにも注目しました。
ソニー攻撃用マルウェアには通信先となるIPアドレスがプログラム内に埋め込まれており、その一部と、米政府が以前から北朝鮮関連と把握していたIPアドレスとの通信が確認されたのです。
つまり、マルウェアの構造だけでなく、攻撃を支える通信インフラにも過去の活動との重複が認められました。
もう一つの手掛かりとなったのが、2013年3月に韓国の銀行や報道機関を襲った大規模なサイバー攻撃です。
この事件でも、コンピューターのデータを破壊するマルウェアが使用されていました。FBIは、ソニー事件で使用された攻撃ツールとの間に技術的な共通点があると指摘しました。
そして2018年9月、米司法省は北朝鮮国籍のプログラマー、パク・ジンヒョク（Park Jin Hyok）を起訴したと発表しました。
起訴資料では、攻撃に利用された電子メールアカウント、プロキシサービス、認証情報の収集先、共通するマルウェアコード、IPアドレスなどを追跡し、ソニー事件を含む複数のサイバー攻撃との関連を示しています。
米司法省は、パク容疑者が北朝鮮政府と関係する組織に所属し、民間のセキュリティ研究者がLazarus（ラザルス）と呼ぶ攻撃活動に関与したと主張しました。
もちろん、マルウェアのコードが似ていることや、通信基盤が重複することだけで、攻撃者の所属国家を確定できるわけではありません。攻撃ツールやインフラは、再利用されたり、第三者に悪用されたりする可能性もあるからです。
また、FBIは情報源や捜査手法を保護するため、帰属判断の根拠をすべて公開したわけではありません。
それでも、この事件の捜査から読み取れる重要な点があります。
攻撃者の正体を追う作業とは、脅迫文の言語や政治的な動機だけを調べることではありません。マルウェアの内部構造、通信履歴、認証情報の悪用、過去の攻撃との技術的な接点を積み重ねていく作業なのです。
ここで注目したいのは、攻撃者が企業の情報資産だけでなく、社会的信用や事業継続そのものを攻撃材料にしたことです。
情報を盗み、破壊し、公開し、脅迫する。
こうした複合的な攻撃の姿が、すでに2014年には現れていました。
2016年――バングラデシュ中央銀行への不正送金
次に取り上げるのは、2016年に発生したバングラデシュ中央銀行へのサイバー攻撃です。
攻撃者は銀行のシステムに侵入し、国際銀行間通信網SWIFT（スイフト）を利用して、不正な送金指示を送りました。
実際に約8,100万ドルが不正送金されました。
この事件では、ソニー事件のように企業を公然と脅迫することが主目的ではありませんでした。
狙われたのは、金融機関が日常業務で使用する正規の送金機能です。
攻撃者は金融システムそのものを破壊するのではなく、内部の操作権限を悪用して資金を移動させようとしました。
正規のシステムを、不正な目的のために操作する。
これは、システムを停止させる攻撃とは異なる難しさを防御側に突き付けます。
正常な業務と不正な操作が、同じ仕組みの上で実行されるからです。
米国の捜査当局は、この事件についても北朝鮮系の攻撃活動との関連を指摘しています。
2017年――WannaCryが示した破壊力
2017年5月12日、世界各地でWindowsコンピューターが次々と使用不能になる大規模なサイバー攻撃が発生しました。
原因となったのは、WannaCry（ワナクライ）。WannaCrypt、WanaCrypt0rなどの名称でも知られるランサムウェアです。
感染したコンピューターのファイルを暗号化し、復号と引き換えにビットコインによる身代金を要求するものでした。
しかし、WannaCryがサイバー攻撃史に名を残した最大の理由は、身代金要求の仕組みではありません。
Windowsの脆弱性を利用して、ほかのコンピューターへ自動的に感染を広げるワーム機能を備えていたことです。
英国では国民保健サービス（NHS）の医療機関に深刻な影響が生じ、診療や手術の延期などが発生しました。日本でも日立製作所などで被害が確認されました。
感染は欧米やアジアだけでなく、ロシアをはじめとする旧ソ連圏にも広がりました。
EternalBlue――感染を広げた攻撃技術
WannaCryの感染拡大を支えたのは、EternalBlue（エターナルブルー）と呼ばれる攻撃ツールでした。
EternalBlueは、WindowsのSMBv1（Server Message Block version 1）というファイル共有プロトコルの脆弱性を悪用します。
SMBは、ネットワーク上でファイルやプリンターなどを共有するための仕組みです。企業の社内ネットワークでは長年にわたり広く利用されてきました。
攻撃者は、SMBが使用するTCPポート445番へ特殊な通信データを送り込み、脆弱なWindowsコンピューター上で不正なプログラムを実行させることができました。
この攻撃には、利用者が不審なメールを開いたり、添付ファイルを実行したりする操作は必要ありません。
ネットワーク経由で到達可能なコンピューターが脆弱であれば、利用者が何も操作していなくても感染する可能性があったのです。
Microsoftは2017年3月14日、セキュリティ更新プログラムMS17-010を公開し、関連する脆弱性を修正していました。
ところが、更新が適用されていないコンピューターが世界中に大量に残されていました。
その約1か月後の4月14日、Shadow Brokers（シャドー・ブローカーズ）と名乗る集団が、EternalBlueを含む攻撃ツールを公開しました。
これらは米国家安全保障局（NSA）に由来すると広く報じられたツール群です。
ここで区別しておきたいのは、EternalBlueの由来と、WannaCryを実行した攻撃主体は別の問題だということです。
WannaCryの攻撃者は、公開された攻撃技術を自らのマルウェアへ組み込みました。
DoublePulsar――侵入後のプログラム実行
WannaCryの技術分析では、DoublePulsar（ダブルパルサー）という名称も登場します。
DoublePulsarは、Windows上で不正なコードを実行するためのバックドアとして知られる攻撃ツールです。
EternalBlueが脆弱性を利用して侵入の機会を作る技術だとすれば、DoublePulsarは侵入後にプログラムを実行するための技術として理解できます。
Microsoftの解析によれば、WannaCryのワーム部分には、公開されたDoublePulsarに由来するとみられるカーネルレベルのコードが組み込まれていました。
このコードは改変されており、ランサムウェア本体を対象コンピューターへ送り込み、実行させる役割を担っていました。
ただし、WannaCryが必ず既存のDoublePulsarバックドアを利用して感染した、という意味ではありません。
重要なのは、既知の攻撃技術が組み合わされ、感染からマルウェア実行までを自動化していたことです。
ワーム機能――感染した端末が次の攻撃者になる
WannaCryは、一台のコンピューターへの感染だけでは終わりませんでした。
感染した端末は、ネットワーク上の別のコンピューターを探索し始めます。
探索対象には、同じ社内ネットワークに存在する端末だけでなく、インターネット上のIPアドレスも含まれていました。
脆弱なWindowsコンピューターを発見すると、EternalBlueを利用して感染を試みます。
そして、新たに感染したコンピューターも、同じように次の感染先を探索します。
この自己増殖機能によって、感染が連鎖的に拡大しました。
Microsoftの分析では、感染端末から大量のSMB通信が発生することも確認されています。
現在の標的型ランサムウェア攻撃では、攻撃者が企業ネットワークへ侵入した後、管理者権限を取得し、手動操作や別のツールを利用して感染を拡大させる場合があります。
これに対してWannaCryは、脆弱なコンピューターを自動探索し、次々と感染させる能力を持っていました。
一台の感染端末が、別のコンピューターを攻撃する感染源へと変わる。
これが、WannaCryの爆発的な感染拡大を可能にした技術的特徴です。
ファイル暗号化の仕組み
WannaCryは、感染したコンピューターでランサムウェア本体を実行すると、文書、画像、データベース関連ファイルなど、さまざまなファイルを暗号化しました。
米US-CERTの解析では、ランサムウェアの構成要素に暗号化されたDLLが含まれていたことが確認されています。
DLLとは、Windows上でプログラムの機能を提供するライブラリファイルです。
WannaCryは、暗号化されたDLLを復号して読み込み、ファイルの暗号化処理を実行していました。
ファイルの暗号化にはAES（Advanced Encryption Standard）が利用され、解析された検体ではファイルごとにランダムな暗号鍵が生成される仕組みが確認されています。
また、鍵の保護にはRSAを組み合わせた方式が利用されていました。
被害者には、暗号化されたファイルを復元するための身代金として、当初約300米ドル相当のビットコインが要求されました。
要求額は時間の経過とともに引き上げられる仕組みでした。
ただし、身代金を支払えば確実に復号できるという保証はありませんでした。
暗号化の仕組みが存在することと、攻撃者が被害者ごとの支払いを正確に識別し、復号鍵を確実に提供できることは別の問題だからです。
キルスイッチ――世界的な感染拡大を抑えた一つの発見
WannaCryには、もう一つ特徴的な仕組みが存在しました。
キルスイッチ（Kill Switch）と呼ばれる機能です。
初期のWannaCryには、特定の長い文字列からなるドメイン名へ接続を試みる処理が組み込まれていました。
そのドメインへの接続が成功すると、マルウェアの処理が停止する仕組みだったのです。
2017年5月12日、英国のセキュリティ研究者が、このドメインを登録しました。
その結果、初期のWannaCryが接続に成功するようになり、感染拡大を抑える効果が生まれました。
ただし、これはすべてのWannaCryを停止させたわけではありません。
後に、異なるキルスイッチドメインを利用する亜種なども確認されています。
また、キルスイッチの作動は、すでに暗号化されたファイルを自動的に復号するものではありませんでした。
この出来事は、マルウェアのプログラム内部に存在するわずかな条件分岐が、世界規模の感染拡大に影響することを示した事例でもありました。
被害はロシアを含む旧ソ連圏にも拡大
WannaCryの被害は、英国や米国、日本などにとどまりませんでした。
ロシアでも大規模な感染が確認され、内務省やロシア鉄道などが影響を受けました。
ウクライナ、カザフスタン、ウズベキスタン、アゼルバイジャンなど旧ソ連圏でも感染が観測されています。
Kasperskyの当時の観測では、感染拡大初期の攻撃がロシアに大きく集中していました。
ただし、これはロシアが意図的に標的として選ばれたことを意味するものではありません。
WannaCryは、脆弱なコンピューターを自動的に探索して感染を広げる仕組みを持っていました。
したがって、被害の地理的な分布には、Windowsの更新状況、ネットワーク構成、外部に公開されたSMBサービスの分布などが影響したと考えられます。
北朝鮮に帰属するとされた攻撃が、ロシアを含む広い地域に被害をもたらしたという事実は、サイバー攻撃の影響が国家間の外交関係に沿って広がるとは限らないことを示しています。
北朝鮮への帰属判断
2017年12月、米国政府はWannaCryの攻撃を北朝鮮に帰属させました。
その後、米司法省は北朝鮮系攻撃者に対する刑事訴追を進め、ソニー・ピクチャーズ事件などとの関連についても説明しています。
ここで注意したいのは、EternalBlueを使用したという事実だけで、攻撃者の所属国家が分かるわけではないことです。
EternalBlueはすでに公開されていた攻撃ツールであり、北朝鮮以外の攻撃者も利用できる状態にありました。
攻撃主体の帰属判断には、マルウェアのコード、開発上の特徴、攻撃基盤、過去の活動との関連など、複数の情報を組み合わせる必要があります。
技術的考察――WannaCryは何を教えたのか
WannaCryの世界的感染拡大を考えるとき、見逃せない事実があります。
攻撃に利用されたWindowsの脆弱性は、世界的感染拡大が始まる約2か月前に修正されていたのです。
しかし、更新されていないWindowsコンピューターが数多く残されていました。
加えて、社内ネットワークでは、SMBによる端末間通信が広く許可されている環境もありました。
そのため、一台の感染が別の端末への感染につながり、組織内で被害が連鎖的に拡大しました。
この事件の本質は、ランサムウェアが強力だったという一点だけでは説明できません。
公開済みの攻撃ツール、修正されていない脆弱性、広く利用されていたネットワークプロトコル、そして自己増殖機能。
それらが組み合わさった結果、世界規模の障害が発生したのです。
また、WannaCryは金銭を要求するランサムウェアでしたが、被害の中心には、医療機関や企業などの業務停止という深刻な影響もありました。
したがって、WannaCryを単なる金銭窃取の手段として捉えるだけでは不十分です。
金銭要求を伴うマルウェアが、自己増殖機能によって大規模な業務妨害を引き起こす。
WannaCryは、その危険性を世界に示した事件でした。
2018年――コインチェック事件、日本の暗号資産市場を襲った巨額流出
2018年1月26日、日本の暗号資産交換業者コインチェックから、約580億円相当の暗号資産NEM（ネム）が不正に流出しました。
不正送金されたのは、約5億2,630万XEM。午前0時2分から午前8時26分までの間に、外部のアドレスへ移転されました。
当時、世界でも最大級の暗号資産流出事件として、大きな衝撃を与えました。
攻撃者は、どこから侵入したのか
コインチェックが公表した調査結果によれば、攻撃者は従業員が使用する端末をマルウェアに感染させ、そこを足掛かりに社内ネットワークへ不正アクセスしたと推定されています。
さらに、遠隔操作ツールを利用してNEM管理サーバー上の通信を傍受し、暗号資産の送金に必要な秘密鍵を窃取しました。
その秘密鍵を使い、外部のアドレスへNEMを不正送金したとされています。
ここで注目したいのは、攻撃者がNEMのブロックチェーンそのものを破壊したわけではないことです。
攻撃対象となったのは、暗号資産を管理する企業の内部ネットワークと、その中で取り扱われていた秘密鍵でした。
技術的考察――秘密鍵を奪われた金融システム
暗号資産の送金には、通常、秘密鍵を用いた電子署名が必要になります。
秘密鍵は、その資産を移動させるための重要な認証情報です。
攻撃者が秘密鍵を取得してしまえば、ブロックチェーンの暗号技術を解読しなくても、正規の署名を伴う送金を実行できる可能性があります。
コインチェック事件は、まさにその危険性を示しました。
さらに、金融庁が公表した調査資料では、秘密鍵が暗号化されない状態で社内ネットワーク上を送受信されていたことが、流出につながる要因の一つとして挙げられています。
また、当時のNEMは、インターネットに接続されたホットウォレットで管理され、マルチシグ（複数署名）も利用されていませんでした。
ホットウォレットは日常的な入出金を迅速に処理するうえで便利ですが、管理環境が侵害された場合には、外部からの攻撃にさらされる可能性があります。
一方、マルチシグは複数の秘密鍵による承認を必要とする仕組みであり、適切に設計・運用されていれば、一つの秘密鍵が奪われただけでは送金を成立させない防御策となります。
ただし、マルチシグを導入すれば、あらゆる侵害を防げるという意味ではありません。
問題の本質は、攻撃者が従業員端末から侵入し、最終的に資産移転を認可するための秘密情報へ到達できたことです。
従業員端末、内部ネットワーク、秘密鍵の管理環境。
本来は、それぞれ異なる防御層で守られるべき領域が、攻撃者によって突破されたと考えられます。
北朝鮮系攻撃者との関連
この事件では、攻撃者の正体にも注目が集まりました。
2018年、韓国の情報機関による北朝鮮関与の可能性への言及が報じられ、セキュリティ企業Group-IBも北朝鮮系とされるLazarus（ラザルス）の関与を指摘しました。
ただし、これらは帰属に関する分析や疑惑であり、コインチェックが公表した技術的な侵入経路とは区別する必要があります。
コインチェック事件が示したのは、暗号資産を支える暗号技術そのものが破られなくても、管理者の端末や秘密鍵の取り扱いが侵害されれば、巨額の資産が奪われ得るという事実でした。
2021年以降――Mauiランサムウェア
北朝鮮系のランサムウェア活動を考えるうえで、もう一つ重要な事例があります。
Maui（マウイ）ランサムウェアです。
米FBIとCISAなどは、北朝鮮政府が支援する攻撃者が、2021年以降、医療機関などに対してMauiを使用してきたと報告しました。
医療機関の情報システムが暗号化されれば、影響は単なる金銭的損失にとどまりません。
診療や医療サービスの継続にも影響する可能性があります。
攻撃対象の業務上の重要性が、そのまま恐喝の圧力になり得るのです。
WannaCryとMauiを並べると、同じランサムウェアという分類でも、感染拡大の方法や標的の選び方が異なることが分かります。
暗号資産を狙う攻撃への展開
近年、北朝鮮系のサイバー攻撃で大きな注目を集めているのが、暗号資産の窃取です。
その代表例が、TraderTraitor（トレーダートレイター）と呼ばれる活動です。
攻撃者は、暗号資産関連企業の従業員に接触し、採用担当者などを装って不正なファイルやプログラムを実行させる手口を使ってきました。
ここでも重要なのは、最初から暗号資産の保管システムを直接破壊するとは限らないことです。
従業員の端末や認証情報を足掛かりに、正規の業務環境へ入り込むことが狙われます。
2024年――DMM Bitcoin事件、正規取引の仕組みを狙った攻撃
2024年5月31日、日本の暗号資産交換業者DMM Bitcoinから、4,502.9BTC、当時の評価額で約482億円相当のビットコインが不正に流出しました。
同年12月、警察庁と米FBIなどは、この事件を北朝鮮を背景とする攻撃グループTraderTraitor（トレーダートレイター）によるものと特定したと発表しました。
TraderTraitorは、Lazarus（ラザルス）グループの一部とされ、暗号資産関連企業の従業員を標的としたソーシャルエンジニアリングを特徴としています。
攻撃の入口は、DMM Bitcoinの外側にあった
警察庁の公表資料によれば、攻撃は2024年3月下旬に始まりました。
攻撃者は、ビジネス向けSNSのLinkedIn（リンクトイン）で採用担当者になりすまし、暗号資産ウォレットソフトウェアを提供する株式会社Ginco（ギンコ）の従業員に接触しました。
標的となったのは、Gincoのウォレット管理システムにアクセスできる権限を持つ従業員でした。
攻撃者は採用前の技術試験を装い、GitHub（ギットハブ）上に置かれた悪意あるPython（パイソン）スクリプトへのリンクを送付しました。
従業員は、そのコードを自身のGitHubページにコピーし、その後、端末などの利用環境が侵害されました。
ここで注目したいのは、攻撃者が最初からDMM Bitcoinのシステムへ直接侵入したわけではないことです。
暗号資産の管理業務を支える、外部の関連企業が攻撃の入口になりました。
セッションクッキーを悪用したなりすまし
警察庁によれば、攻撃者は2024年5月中旬以降、侵害された従業員のセッションクッキー情報を悪用しました。
セッションクッキーとは、利用者がシステムにログインした状態を維持するために使われる情報です。
攻撃者が有効なセッション情報を取得すると、条件によっては、正規利用者になりすましてシステムへアクセスできる場合があります。
攻撃者はこの手法によって、Gincoの暗号化されていない通信システムへのアクセスに成功したとされています。
そして5月下旬、そのアクセスを利用し、DMM Bitcoinの従業員による正規の取引依頼を改ざんしたと認定されています。
その結果、4,502.9BTCが攻撃者の管理するウォレットへ流出しました。
技術的考察――正規の取引依頼が改ざんされる危険
この事件の技術的な特徴は、暗号資産の秘密鍵を直接窃取したと公表されているわけではない点です。
攻撃者が悪用したとされるのは、外部のウォレット関連企業における従業員の認証セッションと、業務上の通信経路でした。
正規の利用者になりすまし、正規の取引依頼を改ざんする。
この構造は、単なるパスワード窃取よりも、さらに厄介な問題を浮かび上がらせます。
たとえ送金システム自体が正しく動作していても、そのシステムへ渡される取引依頼が攻撃者によって改ざんされていれば、結果として不正な資産移転が発生する可能性があるからです。
ここで重要になるのが、取引内容の完全性です。
例えば、送金先アドレス、送金額、取引依頼者、承認者などの情報について、最初の依頼から最終的な実行まで、改ざんされていないことを検証できる仕組みが求められます。
また、ログイン時の多要素認証だけでは、有効なセッション情報が盗まれた場合のなりすましを必ずしも防げません。
セッションの保護、端末の健全性確認、重要操作時の再認証、取引内容の独立した照合など、多層的な防御が重要になります。
もっとも、こうした対策のどれが当時のシステムに存在し、どこで機能しなかったのかについては、公開情報だけから断定できません。
DMM Bitcoin事件が示したのは、暗号資産の保管環境そのものだけでなく、取引依頼を作成・伝達・承認する業務の流れ全体が攻撃対象になるということです。
さらに、その攻撃の入口が、被害企業の外部にある関連事業者だった点も見逃せません。
企業がどれほど自社システムを強化しても、重要な業務を支える外部サービスや委託先の認証・通信環境が侵害されれば、その影響が自社の資産にまで及ぶ可能性があります。
これは、現代の金融システムが抱えるサプライチェーン上のリスクを象徴する事件といえるでしょう。
2025年――Bybit事件、約15億ドルを奪った署名画面の罠
2025年2月21日、暗号資産取引所Bybit（バイビット）で、約15億ドル相当の暗号資産が不正に流出しました。
被害に遭ったのは、イーサリアム（ETH）などを保管するコールドウォレットです。
コールドウォレットとは、秘密鍵をインターネットから隔離して管理することで、外部からの不正アクセスの危険を抑える仕組みです。
さらにBybitは、送金に複数の担当者による承認を必要とするマルチシグ（複数署名）方式を採用していました。
通常であれば、秘密鍵を一つ盗まれただけでは資産を移動させられない構成です。
ところが、攻撃者はその防御を正面から突破したわけではありませんでした。
狙われたのは、担当者が送金内容を確認し、署名するまでの業務手続きだったのです。
攻撃の入口は、Bybitの外部にあった
Bybitは、複数署名ウォレットの管理にSafe{Wallet}（セーフ・ウォレット）という外部サービスを利用していました。
Safe{Wallet}は、複数の承認者による署名を集め、スマートコントラクトを通じて取引を実行する仕組みを提供しています。
攻撃者は、このSafe{Wallet}の開発者を標的にしました。
2025年2月上旬、北朝鮮系の攻撃者は採用担当者を装ったスピアフィッシングを行い、技術試験を装った悪意あるコードを開発者に実行させたと分析されています。
その結果、開発者の端末が侵害され、攻撃者はAWS（Amazon Web Services）の有効なセッショントークンを取得したとされています。
セッショントークンとは、クラウドサービスへの認証済みアクセスを維持するために使われる情報です。
有効なトークンを悪用されると、条件によってはパスワードや多要素認証を改めて突破しなくても、正規利用者の権限でクラウド環境へアクセスされる危険があります。
攻撃者は、このアクセスを足掛かりにSafe{Wallet}のAWS環境へ侵入しました。
AWS上のJavaScriptが改ざんされた
攻撃者が次に狙ったのは、Safe{Wallet}の利用者がブラウザーで読み込むJavaScript（ジャバスクリプト）でした。
JavaScriptは、ウェブ画面の表示や操作、取引内容の処理などに使われるプログラムです。
Safe{Wallet}のウェブアプリケーションは、AWSのS3などを利用して配信されていました。
攻撃者は、この配信環境に不正なJavaScriptを埋め込みました。
ここで注目すべきなのは、その不正コードがSafe{Wallet}の利用者全員に対して無差別に作動するものではなかったことです。
解析によれば、不正コードは特定のウォレットアドレスなどを確認し、Bybitの取引が行われる場合にだけ動作するよう細工されていました。
通常の利用者には、いつもどおりの画面が表示されます。
しかし、標的となったBybitの担当者が送金操作を行うと、不正な処理が実行される仕組みだったのです。
これは、標的を限定することで発見される可能性を低くする、周到な攻撃でした。
正しい送金に見せかけ、別の命令へ署名させた
事件当日、Bybitの担当者は、コールドウォレットから別の自社ウォレットへ暗号資産を移動する通常業務を行っていました。
担当者がSafe{Wallet}の画面で確認したのは、正規の送金先へ資産を移動する取引でした。
ところが、改ざんされたJavaScriptは、署名対象となる取引データを不正に書き換えていました。
画面に表示された内容と、実際に署名される取引の内容が一致していなかったのです。
攻撃者が狙ったのは、単純な送金先アドレスの変更だけではありませんでした。
Bybitのコールドウォレットを管理するスマートコントラクトの実行先を、攻撃者が用意した不正なコントラクトへ切り替える操作を承認させたのです。
スマートコントラクトとは、ブロックチェーン上で決められた処理を実行するプログラムです。
Bybitが使用していたSafe型のウォレットは、資産を保持するコントラクトと、実際の処理内容を定義する実装コントラクトを組み合わせた構成でした。
攻撃者は、この仕組みに着目しました。
不正な取引には、delegatecall（デリゲートコール）という、別のコントラクトのプログラムを呼び出す機能が利用されました。
この操作によって、ウォレットが参照する実装コントラクトを書き換え、攻撃者が用意した不正なプログラムへ切り替えることが可能になりました。
そして、Bybitの正規担当者3人が、改ざんされた取引データに署名してしまいました。
複数署名という防御機構は、正常に署名を検証しました。
しかし、その署名によって承認された取引の内容そのものが、攻撃者によってすり替えられていたのです。
ウォレットの制御権を奪い、資産を流出させた
不正な取引が成立すると、攻撃者はウォレットの制御権を掌握しました。
その後、事前に用意した不正なスマートコントラクトの機能を利用し、ETHなどの暗号資産を外部へ移動させました。
流出した資産は、約40万ETHを含む、当時の評価額で約15億ドル相当に達しました。
攻撃者は、窃取した資産を複数のウォレットへ分散し、異なる暗号資産への交換などを通じて追跡を難しくする操作も行いました。
さらに、フォレンジック（デジタル鑑識）調査では、攻撃成立直後に不正なJavaScriptが元の状態へ戻されていた痕跡も確認されています。
攻撃者は、侵入、準備、実行、資産移転だけでなく、証拠の隠蔽まで計画していたと考えられます。
技術的考察――複数署名は破られたのか
この事件で最も重要なのは、マルチシグの暗号技術そのものが破られたわけではないことです。
複数署名は、必要な人数の正規署名がそろっているかを検証する仕組みです。
しかし、担当者が署名しようとしている取引内容を、必ずしも独立して保証するものではありません。
もし取引内容を確認する画面が攻撃者によって改ざんされていれば、複数の担当者が同じ偽装画面を見ながら、不正な取引を承認してしまう可能性があります。
Bybit事件では、まさにその問題が現実のものとなりました。
署名担当者は正規の人物でした。
使用された署名も、正規の秘密鍵によるものでした。
しかし、署名対象となった取引は、攻撃者によって細工されていました。
認証が正しいことと、取引内容が正しいことは、同じではありません。
この違いが、約15億ドルの流出につながったのです。
もう一つの問題――クラウドと外部サービスへの信頼
Bybit事件には、別の重要な側面もあります。
攻撃者が最初に侵害したのは、Bybitの内部ネットワークではなく、外部サービスであるSafe{Wallet}の開発者端末でした。
その端末からAWSの認証環境へ入り込み、ウェブアプリケーションの配信内容を改ざんし、最終的にBybitの資産を奪いました。
つまり、攻撃は次のような経路をたどったと考えられます。
- 外部サービスの開発者端末への侵入。
- AWSの認証情報の悪用。
- ウェブアプリケーションの改ざん。
- 取引確認画面の偽装。
- 正規担当者による不正取引への署名。
- ウォレットの制御権の奪取と資産の流出です。
この一連の流れは、サプライチェーン攻撃の危険性を示しています。
自社の秘密鍵を厳重に保護していても、取引内容を確認するために利用する外部サービスが侵害されれば、資産を奪われる可能性があります。
防御側に求められるのは、署名者の本人確認だけではありません。
実際に署名する取引データを、改ざんされたウェブ画面とは独立した信頼できる手段で確認することです。
送金先、送金額、コントラクトの呼び出し内容、実行される権限変更などを、署名前に検証する仕組みが重要になります。
北朝鮮系TraderTraitorとの関連
2025年2月26日、米FBIはBybit事件を北朝鮮によるものと発表し、攻撃活動をTraderTraitorと呼称しました。
その後の分析では、Safe{Wallet}の開発者を狙ったソーシャルエンジニアリング、AWS環境への侵入、標的を限定したJavaScriptの改ざん、スマートコントラクトの悪用という、一連の攻撃経路が明らかになりました。
ここで、2018年のコインチェック事件、2024年のDMM Bitcoin事件と比較してみましょう。
コインチェック事件では、従業員端末への侵入から秘密鍵の窃取へ進みました。
DMM Bitcoin事件では、外部関連企業の従業員を侵害し、認証セッションと取引依頼の仕組みを悪用しました。
そしてBybit事件では、外部サービスの開発者端末とクラウド環境を侵害し、正規の署名担当者に不正な取引を承認させました。
三つの事件は、技術的に同一の攻撃ではありません。
しかし、共通する特徴があります。
それは、暗号資産の暗号技術そのものを破るのではなく、人間が操作する端末、認証情報、業務手続き、外部サービスとの信頼関係を攻撃していることです。
Bybit事件は、暗号資産の保管技術が高度化しても、その周辺にある人間とシステムの信頼関係が侵害されれば、巨額の資産が失われ得ることを示した事件でした。
破壊、窃取、恐喝――それぞれの違い
ここまでの事件を整理してみましょう。
| 事件 | 主な攻撃の性格 |
|---|---|
| ソニー・ピクチャーズ（2014年） | 情報窃取、システム破壊、脅迫 |
| バングラデシュ中央銀行（2016年） | 金融システムを悪用した不正送金 |
| WannaCry（2017年） | ランサムウェアによる広域感染と暗号化 |
| コインチェック（2018年） | 従業員端末への侵入、秘密鍵窃取、暗号資産の不正送金。北朝鮮系関与説あり |
| Maui（2021年以降） | 医療機関などを狙ったランサムウェア |
| DMM Bitcoin（2024年） | 認証・業務環境を悪用した暗号資産窃取 |
| Bybit（2025年） | 暗号資産の大規模窃取 |
これらの事件から分かるのは、北朝鮮系とされるサイバー攻撃を、一つの手口だけで説明することはできないという事実です。
- 情報を盗む
- システムを破壊する
- 正規の金融機能を悪用する
- データを暗号化して金銭を要求する
これらは目的も技術も異なりますが、必ずしも互いに排他的なものではありません。
また、北朝鮮系とされる複数の攻撃活動には、それぞれ異なる組織構成や専門性が存在する可能性があります。
すべてを一つの集団による単一の作戦として理解することも適切ではありません。
犯人像を考えるとき、何を見るべきなのか
サイバー攻撃が発生すると、犯人の国籍や使用言語に注目が集まりがちです。
しかし、自然な日本語の脅迫文が届いたからといって、日本人が関与しているとは限りません。
現在では、生成AIによる翻訳や文章作成によって、外国語で作成された文章を自然な日本語へ変換することが可能です。
同様に、日本企業の商習慣や組織文化に詳しいからといって、それだけで内部協力者の存在を示すものでもありません。
攻撃者は、公開情報を収集することも、侵入後に内部資料を調べることもできます。
犯人像の分析では、文章の印象よりも、次のような技術的な痕跡が重要になります。
- 侵入に利用された認証情報や脆弱性
- 攻撃者が使用したプログラムと通信基盤
- 侵入後に実行された操作の順序
- 窃取された情報と、その後の利用方法
- 金銭要求の仕組みや資金移動の経路
これらを積み重ねて初めて、既知の攻撃活動との共通点や相違点を具体的に評価できます。
攻撃者が何語を話すかよりも、何を狙い、どのように行動したか。
そこに目を向ける必要があります。
おわりに――サイバー攻撃の歴史は、現在を読み解く手掛かりになる
2014年のソニー・ピクチャーズ事件から、すでに十年以上が経過しました。
その間、北朝鮮系とされるサイバー攻撃は、破壊的な活動、金融機関への不正送金、ランサムウェア、暗号資産窃取など、さまざまな形で確認されてきました。
日本でも、2018年のコインチェック事件、2024年のDMM Bitcoin事件という、巨額の暗号資産流出が発生しています。
両事件について北朝鮮系攻撃者との関連が指摘されていますが、その帰属判断の確度や公表主体には違いがあります。
こうした違いを丁寧に見ていくことも、サイバー攻撃の歴史を検証するうえで欠かせません。
また、これは一つの攻撃集団が順番に手口を進化させてきたという単純な物語でもありません。
異なる目的や専門性を持つ活動が、長い時間をかけて観測されてきたということです。
そして現在、サイバー犯罪の世界では、情報窃取、認証情報の悪用、金融犯罪、ランサムウェア、恐喝が複雑に組み合わされるようになっています。
攻撃者の正体を考えるとき、目の前の事件だけを見ていては分からないことがあります。
過去の事件を振り返り、技術と行動の変化を追い、共通点だけでなく相違点にも目を向ける。
そこから見えてくるものがあるはずです。
サイバー攻撃の歴史は、単なる過去の事件簿ではありません。
いま起きている出来事を読み解くための、重要な観測記録なのです。
参考資料・出典
本記事は、各国の捜査・司法機関、被害企業、セキュリティ研究機関などが公表した資料を参考に作成しました。
1．ソニー・ピクチャーズ事件（2014年）
米連邦捜査局（FBI）
「Update on Sony Investigation」（2014年12月19日）
URL：!https://www.fbi.gov/news/press-releases/update-on-sony-investigation
米国司法省（DOJ）
「North Korean Regime-Backed Programmer Charged With Conspiracy to Conduct Multiple Cyber Attacks and Intrusions」（2018年9月6日）
URL：!https://www.justice.gov/archives/opa/pr/north-korean-regime-backed-programmer-charged-conspiracy-conduct-multiple-cyber-attacks-and
2．バングラデシュ中央銀行事件（2016年）
米国司法省（DOJ）
「Three North Korean Military Hackers Indicted in Wide-Ranging Scheme to Commit Cyberattacks and Financial Crimes Across the Globe」（2021年2月17日）
URL：!https://www.justice.gov/archives/opa/pr/three-north-korean-military-hackers-indicted-wide-ranging-scheme-commit-cyberattacks-and
3．WannaCry事件（2017年）
Microsoft
「Microsoft Security Bulletin MS17-010」（2017年3月14日）
Windows SMBの脆弱性と修正プログラム。
URL：!https://learn.microsoft.com/en-us/security-updates/securitybulletins/2017/ms17-010
Microsoft Defender Security Research Team
「WannaCrypt ransomware worm targets out-of-date systems」（2017年5月12日）
EternalBlue、DoublePulsar、ワーム機能などの技術分析。
URL：!https://www.microsoft.com/en-us/security/blog/2017/05/12/wannacrypt-ransomware-worm-targets-out-of-date-systems/
CERT-EU
「WannaCry Ransomware Campaign」（2017年5月）
感染経路、キルスイッチ、亜種などの技術情報。
URL：!https://cert.europa.eu/publications/security-advisories/2017-012/
米CISA（旧ICS-CERT）
「Indicators Associated With WannaCry Ransomware（Update I）」
重要インフラ向け注意喚起と感染指標。
URL：!https://www.cisa.gov/news-events/ics-alerts/ics-alert-17-135-01i
Kaspersky Lab
ランサムウェアの脅威状況（2016〜2017年）
旧ソ連圏を含む感染観測情報。
URL：!https://media.kaspersky.com/jp/pdf/pr/kaspersky_ksn-report_ransomware-pr-1040.pdf
4．コインチェック事件（2018年）
コインチェック株式会社
「仮想通貨NEMの不正送金に関する質問」
URL：!https://coincheck.com/ja/info/faq_nem
金融庁
「アクセスFSA 第175号」
URL：!https://www.fsa.go.jp/access/29/175a.html
国連安全保障理事会
北朝鮮制裁専門家パネル報告書 S/2019/171（2019年3月5日）
URL：!https://digitallibrary.un.org/record/3794707/files/S_2019_171-EN.pdf
5．Mauiランサムウェア（2021年以降）
米CISA・FBI・米財務省
「North Korean State-Sponsored Cyber Actors Use Maui Ransomware to Target the Healthcare and Public Health Sector」（2022年7月6日）
URL：!https://www.cisa.gov/sites/default/files/publications/aa22-187a-north-korean%20state-sponsored-cyber-actors-use-maui-ransomware-to-target-the-hph-sector.pdf
6．DMM Bitcoin事件（2024年）
警察庁
「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について」（2024年12月24日）
URL：!https://www.npa.go.jp/bureau/cyber/pdf/020241224_pa.pdf
米連邦捜査局（FBI）・米国防総省サイバー犯罪センター（DC3）・警察庁
「TraderTraitor Responsible for Theft of $308 Million USD from Bitcoin.DMM.com」（2024年12月23日）
URL：!https://www.fbi.gov/news/press-releases/fbi-dc3-and-npa-identification-of-north-korean-cyber-actors-tracked-as-tradertraitor-responsible-for-theft-of-308-million-from-bitcoindmmcom
7．Bybit事件（2025年）
米連邦捜査局（FBI）
「North Korea Responsible for $1.5 Billion Bybit Hack」（2025年2月26日）
URL：!https://www.fbi.gov/investigate/cyber/alerts/2025/north-korea-responsible-for-1-5-billion-bybit-hack
Bybit
「Bybit Confirms Security Integrity Amid Safe Wallet Incident」
URL：!https://www.bybit.com/en/press/post/bybit-confirms-security-integrity-amid-safe-wallet-incident-no-compromise-in-infrastructure-blt9986889e919da8d2
NCC Group
「Bybit Hack: In-Depth Technical Analysis」
URL：!https://www.nccgroup.com/research/in-depth-technical-analysis-of-the-bybit-hack/
資料の取り扱いについて
本記事では、確認された事実、公的機関による攻撃主体の帰属判断、民間研究機関による技術分析、筆者による考察を区別しています。
コインチェック事件については、北朝鮮系攻撃者の関与を指摘する分析が存在するものの、公的に攻撃主体が確定された事例としては扱っていません。
コメント