727 Financeマイクロソフトは10月30日に報告書を発表し、同社が監視する北朝鮮のハッカーグループ8つのうち3つがAIを攻撃ライフサイクル全体に深く組み込んでおり、同社の成熟度モデルで最高レベルに達していると述べた。一部のグループは数分以内にカスタマイズされたPDFフィッシングの誘い文を大量生成し、AIプログラミングツールを使って悪意のあるコードを書き、身元を偽造して企業に侵入している。
著者：TechFlow
TechFlow紹介：サイバー対抗は生成AIによって完全に再構築されつつある。10月30日、Microsoftの脅威インテリジェンス部門は大型レポートを公開し、北朝鮮のハッカーグループがAIの利用を拡大している深刻な傾向を体系的に明らかにした。監視対象の8グループのうち、3グループはすでにAIを日々の侵入ワークフロー全体に深く組み込んでいる。
数分以内にカスタマイズされたPDFフィッシング誘導文書を大量生成することから、AIプログラミングツールを使って悪性コードの作成を支援することまで、攻撃者の運用効率とステルス性は桁違いの飛躍を遂げている。さらに憂慮すべきは、偽の採用や身分偽装の連鎖がAIによって磨き上げられ、従来の防御システムでは対抗が困難になっていることだ。
Microsoftは、関連グループがまだ完全自律型の攻撃ループを実現していないと評価しているものの、オープンソースのAIペネトレーションフレームワークの実用的な呼び出しは、すでにインテリジェントなサイバー戦争の到来を告げている。この攻防パラダイムの転換は、世界の企業に対し、エンドポイント防御、サプライチェーン審査、資格情報監査において包括的な新たな課題を突きつけている。
[聯合ニュース](https://www.yna.co.kr/view/AKR20261030112900017?input=tw" \t "https://www.techflowpost.com/article/_blank)によると、Microsoftの脅威インテリジェンス部門は特別調査レポートを正式に公開し、北朝鮮のハッカーグループによるAI利用拡大の最新動向を詳述した。フィッシング攻撃、身分偽装、悪性コード生成、ソフトウェアサプライチェーン汚染など複数の側面をカバーしている。
Microsoftは、活動中の主要な北朝鮮ハッカーグループ8組について体系的な能力プロファイリングを実施した。憂慮すべきことに、そのうち3組はすでにAIツールと日々の攻撃ワークフローの深い統合を完了しており、Microsoftのサイバー脅威AI活用成熟度モデルにおける最高レベルに達している。
調査によると、AIの関与はもはや周辺的な概念実証にとどまらず、初期偵察、ソーシャルエンジニアリング型フィッシング、身分偽装、マルウェア作成、ソフトウェアサプライチェーン汚染に至る全チェーンを包括的にカバーしており、国家支援型APTグループの戦術と技術におけるインテリジェントな質的転換を示している。
ソーシャルエンジニアリングのレベルでは、AIが従来の越境攻撃における言語・文化の障壁を完全に打ち破った。レポートは、今年8月から9月にかけて、あるグループが韓国の人口統計を特に標的とし、100件以上の高度にカスタマイズされたPDFフィッシング誘導文書の作成に集中的に取り組んだことを強調している。大規模言語モデルのテキスト生成と組版能力に依拠することで、攻撃者は実際のシナリオにおいてわずか数分のうちに数十件もの新たな誘引文書を連続して作成できる。これらの偽造文書は、文法表現、公文書の書式、文脈の細部において極めて現実的であり、被害者のクリック率と感染確率を大幅に高めている。
この誘引文書の産業規模でのバッチ生産能力により、フィッシング攻撃の限界費用はほぼゼロに近づいている。静的なファイル署名とキーワードマッチングに基づく従来のセキュリティゲートウェイは、反復パターンのない大量のAI変異型誘引文書に直面し、前例のない見逃しと認識失敗のジレンマに陥っている。
誘引文書に加え、AIは偽の採用や身元偽装にも広く利用されている。ハッカーはモデルを用いて履歴書を偽造し、テック企業に侵入している。（詳細はこちらをご参照ください：「[米財務省、北朝鮮の暗号資産マネーロンダリングを摘発：10名の個人と1団体を制裁](https://www.techflowpost.com/article/34955" \t "https://www.techflowpost.com/article/_blank)」）
コード攻撃・防御のレベルでは、Microsoftは、攻撃チームがCursorなどの主流AIプログラミングアシスタントを使用して、マルウェアの基盤ロジックの作成とアンチウイルス回避のデバッグを大幅に加速している可能性があると観測した。ツールの普及は開発サイクルを短縮するだけでなく、ハッカーの個人的なコーディング習慣も消し去っている。
さらに、北朝鮮の偵察総局傘下の精鋭グループであるOnyx SleetとPearl Sleetは、10月下旬以降、オープンソースのAIペネトレーションテストフレームワークARTEXを前線の作戦に投入し、オープンソースエコシステムのレッドチームの成果を利用して標的ネットワークに対する自動偵察を実施していることが確認されている。
攻撃者のツールチェーンがますます鋭敏化する一方で、Microsoftはレポートにおいて比較的理性的な評価の境界も提示している。専門家は、現在の北朝鮮のハッカーグループはまだ完全自律型の攻撃を実現する能力を有しておらず、現段階のAIは依然として効率の乗数とコパイロットという中核的な役割を果たしていると指摘する。
しかし、これはセキュリティ業界が安心してよいことを意味するものではない。手動による単一ポイントのスクリプト作成から、人間と機械の協働による複雑な標的型攻撃のバッチ発動へと、攻撃側と防御側の双方の時間的窓は劇的に圧縮されている。防御側は、従来の受動的対応から、AIの行動分析に基づく動的監視へと迅速に移行しなければならない。
オープンソースの大規模モデルとオンデバイス推論技術の継続的な進化に伴い、重要インフラストラクチャや暗号資産金融システムに対するサイバー攻撃はより頻繁になるだろう。世界の機関は、サプライチェーン監査、従業員のセキュリティ意識、多要素認証における防御を緊急に強化し、到来するインテリジェントなサイバーストームに備える必要がある。