シンガポールの法執行機関とサイバーセキュリティ当局は、偽の暗号資産関連求人と企業のソフトウェアシステムの侵害を組み合わせた詐欺キャンペーンによる損失額を1,180万米ドル(S$1,510万)と算定した。警察の年次統計によれば、2024年にあらゆる種類の詐欺で被害総額が記録的なS$11億に達した同都市国家の詐欺問題全体からすれば、これはごく一部にすぎない。

シンガポール警察(SPF)とシンガポール・サイバーセキュリティ局(CSA)が金曜日に発出した合同勧告の内容を、ストレーツ・タイムズとチャンネル・ニュースアジアが報じた。当局はこの中で、暗号資産企業のリクルーターを装った詐欺師が、偽の求人を通じて標的の雇用主を侵害した手口を詳述した。

当局によると、被害者はまずLinkedIn上で暗号資産企業のリクルーターを装う人物から接触を受けた。営業的なリクルーターの接触が日常的で、登録アカウント数が10億を超えるプラットフォームでは、この種の餌は自然に溶け込む。やり取りはその後メールに移り、送信者は正当な企業のドメインに酷似した偽装ドメインを使用した。続いてGoogle Meetで面接が数回行われたが、面接官は終始カメラをオンにしなかった。

被害者は次に、技術系のコーディング課題を完了させるための偽ウェブサイトへ誘導され、会社支給のデバイス上で課題に取り組む過程で、気づかぬうちに悪意あるソフトウェアをダウンロードしてしまった。

このマルウェアが窃取したのは、サービスがユーザーのログイン状態を維持するために発行する文字列「セッショントークン」である。トークンは既に認証済みのセッションを表すため、これを提示することで攻撃者は多要素認証を回避し、会社がソースコードを保存・管理している被害者のBitbucketアカウントを開くことができた。この種のトークン窃取は従来型MFAの既知の弱点であり、乗っ取られたセッションでは新たなログイン認証が求められないためだ。セキュリティ実務者がハードウェアセキュリティキーなどフィッシング耐性のある手法を推進する理由の一つでもある。

当局によれば、攻撃者はそこから雇用主のソフトウェアシステムを改変して社内サーバーに到達し、取引限度額や承認チェックを回避して資金を移動するために使われた資格情報を収集した。

勧告では、影響を受けた企業名や資金の流向には触れられておらず、攻撃が誰によるものかも特定されていない。DecryptはLinkedInにコメントを求めており、同社から回答があり次第本記事を更新する予定である。

よく知られた攻撃手口

この手口は十分に記録されている。研究者らは「Contagious Interview」と呼ぶ長期にわたる攻撃作戦を追跡しており、そこでは偽のリクルーターがWeb3開発者を悪意あるコードへと誘導している。npmレジストリにアップロードされた300件を超える罠入りパッケージも含まれる。

「TraderTraitor」として知られるグループは、個人のウォレットではなく企業のクラウドシステムへの到達を狙って偽の求人を利用してきた。この狙いについて、ある研究者は「金があるのはそこだからだ」と説明している。ほかの攻撃者はCoinbaseやUniswapのリクルーターを装い、標的にコマンドを実行させようとしてきた。

これらのキャンペーンは北朝鮮のハッカー集団の仕業とされているが、この手口は彼ら独自のものではない。ロシア語話者の集団「Crazy Evil」は、偽のWeb3企業「ChainSeeker.io」を丸ごと築き上げ、ブロックチェーンアナリスト職を提示して応募者にウォレット流出マルウェアをインストールさせていた。

当局の助言

シンガポールの当局は、個人に対して、リクルーターの身元を公式チャネルで確認すること、カメラをオンにしない面接官を警戒のサインとみなすこと、検証されていないソースのコードを決して実行しないことを助言した。

企業に対しては、APIキーと社内の資格情報を保護すること、多要素認証を強化すること、見慣れないデバイスや異常なネットワーク活動に注意することを推奨している。

侵害が疑われる場合には、影響を受けたシステムの隔離、アクティブなセッションの失効、資格情報のリセット、アクセスログの確認を勧めている。