韓国のサイバーセキュリティ企業Genian Security Centerの新たな研究によると、北朝鮮に関連するサイバー諜報グループKimsukyが、暗号資産業界に対する長年にわたる攻撃をより低コストで拡張可能にする可能性のあるローカル人工知能インフラを開発している。

Geniansのレポートで詳述された調査結果は、重要な転換点を示している。同グループは単にAIをフィッシングメッセージの生成に使用するだけでなく、AIツールを攻撃インフラに直接統合している可能性がある。

特定されたAIツールとインフラ

Genian Security Centerの研究者は、Kimsukyに関連するインフラ上に、Ollama、GPT4All、Mstyといった複数のAIツールのローカル展開と、検索拡張生成（RAG）技術を特定した。これら3つはすべて、データを外部サーバーに送信することなく消費者向けハードウェア上で大規模言語モデルを実行するために設計されたオープンソースツールである。この構成により、攻撃者は機密データを内部で処理することが可能になり、侵入中に取得した盗難メール、内部文書、その他の情報の取り扱いに有用な能力となり得る。

研究者はまた、同グループのインフラ上でAIエージェントフレームワーク、音声認識ソフトウェア、AI支援コーディングツールであるCursorを検出した。Geniansによると、この構成はマルウェア開発、データ分析、攻撃の自動化を含む幅広い活動を支援する可能性がある。

さらに同社は、AIの支援によって生成または加工されたと思われる金融・暗号資産関連の文書を発見したと報告した。これらの文書は、正当な投資レポートや職場の資料を模倣するように作成されていた。

調査結果は、Kimsukyが生成AIを主に個別のフィッシングの餌の作成に利用する段階から、マルウェア開発、盗難データの分析、サイバー作戦の部分的な自動化を含むより広範な運用ワークフローにAI機能を組み込む方向へ移行している可能性を示唆している。

Geniansは、これらの調査結果は独立して検証されていないと注記した。

暗号資産セクターに対する継続的な脅威

少なくとも2012年から活動し、ThalliumやVelvet Chollimaなどの別名でも追跡されているKimsukyは、北朝鮮に関連するサイバー諜報グループであり、政府機関、外交施設、軍事組織、その他の団体を標的にしてきた実績があり、暗号資産セクターに関連する個人や組織も含まれている。同グループは、国連専門家パネルの報告書によれば、同国の兵器計画を支援する資金調達活動に関連しているとされる北朝鮮のより広範なサイバー体制の一部である。Geniansはまた、同グループによる作戦でのGitHubおよびGitLabベースのインフラの使用も記録している。

このサイバーセキュリティ企業は、組織が疑わしいテキストやAI生成テキストの特定のみに依存するのではなく、行動ベースの検出へ移行することを推奨している。

暗号資産企業への影響

暗号資産企業は、機密アカウント、重要なインフラ、デジタル資産へのアクセス権を持つ可能性のある従業員、開発者、役員、トランザクション承認者に依存している。AIが生成したフィッシングやソーシャルエンジニアリングのコンテンツは、標的型攻撃の検出をより困難にする可能性があり、特にローカルAI展開は外部API呼び出しが本来生成するテレメトリを除去してしまうため、その傾向が強まる。

北朝鮮に関連する脅威アクターによるローカルAI機能の取り込みは、サイバーセキュリティにおけるより広範なトレンドを浮き彫りにしている。AIは単に欺瞞的なメールを生成するツールとしてではなく、攻撃者の運用インフラに次第に組み込まれつつある。北朝鮮のアクターが記録上最大規模のデジタル資産盗難の一部に関与したとされる暗号資産セクターにおいて、この展開は、サプライチェーンの侵害、偽の求人勧誘、オープンソースの協力を装った悪意のあるコードの提供など、すでに存在する脅威の状況に新たな次元を加えるものである。

暗号資産企業にとって、これは進化する脅威を軽減するための強固なアクセス制御、ハードウェアベースの認証、マルチパーティのトランザクション承認、継続的な行動監視の重要性を改めて強調するものである。