マイクロソフトによると、北朝鮮のハッカー組織3組織が現在、日常的な攻撃作戦に人工知能(AI)を取り入れており、同社の評価尺度で最高位に位置づけられている。マイクロソフト(NASDAQ: MSFT)は、北朝鮮全体のハッキングにおけるAI活用度を「高」と評価している。

この調査結果が公表されたのは、北朝鮮が記録上最大となる暗号資産窃盗事件——Binanceから63億6000万ドルが奪われたハッキング——の犯人として非難されているタイミングである。

北朝鮮のハッカーはAIをどう使っているのか

木曜日に公開された報告書で、Microsoft Threat Intelligenceは北朝鮮で最も活動的なハッカー組織8組織を、emerging(出現)、expanding(拡大)、accelerating(加速)、operationalized(実戦運用)の4段階で評価した。最高位の「operationalized」は、AIが組織の全活動に組み込まれていることを意味する。

Jade Sleet、Coral Sleet、Jasper Sleetが最高位に位置し、Diamond Sleet、Onyx Sleet、Pearl Sleet、Sapphire Sleetはaccelerating段階にある。Emerald Sleetはexpanding段階で、現時点でemerging段階の組織はない。これら「Sleet」の名称は、マイクロソフトが北朝鮮の国家支援組織に付けた呼称であり、他のセキュリティ企業が同じ組織に独自の名称を付けるベンダー固有の命名体系の一部である。

マイクロソフトはこの評価を具体的な活動と結びつけている。Jade Sleetは1週間のうちに3つの偽企業を通じて作戦を実行した。Coral Sleetは非公開のコード保管環境にマルウェアを仕込む手法を発見した。Onyx Sleetは数分のうちに数十通のカスタムフィッシングメッセージを生成した。Diamond SleetはAIを使って偽の人物やペーパーカンパニーを作り、標的を欺いた。ある組織は8月から9月にかけて、韓国のユーザーを狙った100件超のカスタムPDFの餌を作成したとされる——これまでなら標的1件につき数日を要する作業である。

各組織はAIコーディングツールも活用していた。マイクロソフトによると、作戦担当者はCursorと呼ばれる広く使われているAI搭載コードエディタなどのツールを用いて、コードの作成、エラーの修正、検知回避の手法の構築を行ったという。Onyx SleetとPearl Sleetは、システムの脆弱性を検査するオープンソースツールのARTEXを使用しており、このツールはAIモデルに接続して自律的に標的を偵察するよう指示することもできる。中国に連なる組織であるStorm-0940が、ConnectWiseに対してARTEXを使用したと報じられている。

マイクロソフトのアナリストは、北朝鮮のハッキング作戦の主導権は依然として人間が握っており、AIは標的の偵察、フィッシングコンテンツの作成、偽装身元の維持といった既存の作業を高速化するために使われていると分析している。

マイクロソフトは、暗号資産取引所や金融機関が北朝鮮のサイバー作戦で最も頻繁に狙われる標的の一つであるとし、その目的は主に体制の資金調達と情報収集にあるとしている。この焦点は、北朝鮮がわずか2件の攻撃で2026年の暗号資産ハッキング被害総額の76%を窃取したとするTRM Labsの調査結果とも一致する。

BinanceハッキングにAIは関与したのか

現時点で、Binanceハッキングの攻撃者がAIを使用したことを示す証拠はなく、マイクロソフトの報告書もこの窃盗事件をいかなるAI技術とも結びつけていない。

記録上最大の暗号資産窃盗事件とされるBinanceハッキングは10月29日に発生した。ブロックチェーン調査会社TRM Labsによると、攻撃者は約63億6000万ドルをBinanceのウォレットから10のブロックチェーンにまたがって移動させ、その大半は約20分で移送されたという。TRMはブログ記事の中で、この攻撃を同社が北朝鮮のエリートハッカー部隊と呼ぶTraderTraitorの犯行——マイクロソフトがJade Sleetとして追跡している組織——と断定し、この見解に対する確信度は高いとしている。Chainalysisの共同創設者であるジョナサン・レヴィン氏もX上で同じ結論に達した。

Cryptopolitanの報道によると、Binance自身のインシデント説明では攻撃者の侵入経路は明らかにされているものの、使用されたツールについては触れられていない。同取引所は当初、ハッキングされたエンジニアのノートパソコンが侵入経路とみられると述べていたが、その後の調査でさらなる「侵入ポイント」が特定された。

Binanceは盗まれた資金のうち約30億ドルを凍結し、出金を停止したうえで、ユーザーの損失を補償することを約束している。取引所の説明が攻撃者の使用ツールにまでは踏み込んでいないことから、AIがこの窃盗事件に関与したかどうかは、調査が続く中で依然として未解明のままである。