ニュースの概要
ITProによると、北朝鮮系とみられる攻撃者がLinkedInやUpwork、Fiverrなどで技術者に接触し、採用面接を装ってマルウェアを実行させる攻撃が確認されています。Sophosは、Nickel Alleyと呼ばれるグループが、端末への侵入だけでなく暗号資産の窃取も狙っていると警告しました。応募者に課題ファイルや面接用ソフトを開かせる流れは、仕事探しの自然な行動に紛れ込みます。求人の見極めだけでは防ぎにくく、面接前後のファイル受け渡しや実行方法まで警戒が必要です。
引用元: 北朝鮮系ハッカーが偽の面接を悪用し、フリーランス技術者を狙うマルウェア攻撃（ITPro）
分析・見解
採用手順そのものが侵入経路に変わる
この攻撃の厄介さは、技術者が日常的に行う応募や面接を、感染の入口として使う点にある。開発課題の確認、オンライン面接用のアプリ導入、共有された資料の実行は、どれも採用活動では不自然に見えにくい。攻撃者は高度な侵入技術だけに頼らず、相手が自分からファイルを開く状況を作る。警告メールだけで防ぐ従来の対策では、本人が仕事の一環だと信じて操作した場合に見落としが生まれる。
とくにフリーランスは、複数の仲介サービスを使い分け、短い期間で案件の相手を判断する。やり取りが公式サービスから別の連絡手段へ移り、急いで課題を提出するよう求められると、確認の手間を省きやすい。求人サイトに掲載されていることは、連絡してきた人物や送付ファイルの安全を保証しない。募集元の実在確認と、端末で何を実行するかの確認は、別々の作業として扱う必要がある。
暗号資産の窃取と端末侵害が同時に進む
Sophosが示すように、この活動は感染させること自体が目的ではなく、金銭につながる複数の経路を狙う。マルウェアが端末に入れば、保存された認証情報や暗号資産関連の情報が盗まれる可能性がある。開発者の端末には、顧客の接続情報、ソースコード、クラウドサービスの鍵などが置かれている場合もある。つまり被害は個人のウォレットにとどまらず、本人が関わる企業や顧客へ広がりうる。
ここで重要なのは、暗号資産を持たない人も無関係ではないことだ。開発用の認証情報を盗まれれば、攻撃者は別のサービスへ侵入したり、信頼されたアカウントからさらに標的へ連絡したりできる。本人の金銭被害と、仕事上の信用や顧客情報への影響が一つの端末から連鎖する。フリーランスを狙う攻撃は、個人を踏み台にする供給網攻撃としても捉えるべきだ。
偽求人の見分けだけでは足りない理由
求人内容の不自然さや、報酬の高さだけで判断する方法には限界がある。攻撃者は実在する企業や採用担当者を装う可能性があり、文章やプロフィールが一見整っていても安心できない。見極めの軸を「相手が本物か」だけに置かず、「この段階でこのファイルを実行する必要があるか」と問い直すことが有効だ。面接前に専用アプリやプログラムの実行を求められたら、公式サイトから入手できるか、通常の採用手順として妥当かを確認したい。
また、開発者の仕事道具は、攻撃側から見れば価値の高い情報の集積場所である。ソースコード管理、クラウド環境、顧客との連絡先へアクセスできる端末が侵害されれば、盗まれた情報を使った二次被害が起こる。攻撃が採用活動に入り込んだことで、セキュリティの境界は職場と私生活だけでなく、応募中の案件にも広がった。案件選びと端末管理を切り離さず、仕事を始める前から守りを整えることが必要になる。
ビジネスへの影響
採用担当者は選考課題の配布方法を点検する
企業は、候補者に課題を送る際の手順を明文化したい。実行形式のファイルや、出所が分かりにくい専用アプリを安易に求めず、必要な場合は理由と安全な入手先を説明する。課題はブラウザー上の環境や、使い捨ての仮想環境で実施できる形にすれば、候補者の端末へ不要な危険を持ち込まずに済む。採用担当者を名乗る人物へのなりすましを防ぐため、公式ドメインからの連絡、募集ページとの一致、連絡先の確認方法も社内で統一する。
採用部門だけの問題にしないことも重要だ。情報システム部門と人事部門が、面接で使うサービスや課題ファイルの配布元を共有し、候補者から不審な連絡を受けた際の報告先を決めておく。候補者へ安全な進め方を案内することは、採用活動の信頼性を高める。企業名を悪用された場合も、公式窓口で確認できると周知しておけば、被害の拡大を抑えやすい。
フリーランスは案件用の環境と認証情報を分ける
個人の開発者は、応募先から届いたファイルを普段使いの端末でそのまま実行しない。提供元と目的を確認し、実行が必要なら、顧客データや暗号資産の保管場所に接続していない環境を使う。開発用の認証情報はサービスごとに分け、必要最小限の権限にする。多要素認証（パスワードに加えて別の確認を行う仕組み）を有効にし、秘密鍵や復旧用情報を面接資料と同じ端末に置かないことも基本となる。
怪しいファイルを開いた、または認証情報を入力した可能性がある場合は、端末をネットワークから切り離し、別の安全な端末から重要なパスワードや鍵を変更する。取引先には早く連絡し、共有アカウントやクラウドの利用記録を確認してもらう。フリーランスとの取引が多い企業は、契約時に端末の安全確認やインシデント報告の窓口を共有しておくと、個人の端末から顧客環境へ被害が広がる時間を短縮できる。
