北朝鮮ハッカーのAI武装が本格化、仮想通貨標的の偽文書が精巧化

この記事の要点

北朝鮮ハッカーがAI3種を攻撃基盤に導入、ジニアンズ報告
フィッシング文書の精巧化で従来の偽文書検出が困難に

北朝鮮ハッカーがAI活用、LLM3種の稼働を確認
北朝鮮AI攻撃の実態、LLM・RAG・音声処理まで
Bybitが北朝鮮を提訴、AI攻撃への警戒も高まる

北朝鮮ハッカーがAI活用、LLM3種の稼働を確認

韓国のサイバーセキュリティ企業Genians（ジニアンズ）は2026年8月10日、北朝鮮のハッカー集団「Kimsuky（キムスキー）」がローカルLLM環境を構築した証拠を確認したとするレポートを公開しました。

調査では、KimsukyがOllama、GPT4All、Mstyという3種のローカルLLM実行ツールをC2（指揮統制）インフラ上に導入して実際に動かしており、攻撃への活用を見据えてAIモデルの実行環境を比較していたことが確認されています。

こうしたAI活用は攻撃用コンテンツにも及んでおり、仮想通貨（暗号資産）や金融分野を狙うフィッシング文書が精巧に生成されることで、従来の「不自然な翻訳文や書式の乱れ」を手掛かりに偽文書を見分けることが難しくなるリスクも高まっています。

一連の活動はジニアンズが「Operation GitPower」と名付けたキャンペーンの一部で、2023年に開示された「FlowerPower」の攻撃基盤を引き継ぎながら、新たにAI技術を組み込む動きへ発展したと報告されています。

偽Zoom会議で仮想通貨を狙う手口

仮想通貨狙う北朝鮮の偽Zoom攻撃｜ソースコードから全貌が判明

北朝鮮AI攻撃の実態、LLM・RAG・音声処理まで

AI生成おとり文書で仮想通貨・金融分野を標的に

2026年に入りKimsukyは仮想通貨や金融投資をテーマにしたAI生成のおとり文書をフィッシング攻撃に繰り返し使用しており、複数の文書で構造や文体に高い類似性が見られると報告されています。

文書の生成過程にも自動化の痕跡が残され、英文のおとりPDF2点から自動文書生成ツールと中国製ワープロを使用した記録が見つかったほか、約2週間離れて作成されたにもかかわらず作成時刻は40秒差でほぼ一致していました。

生成された文書は実際のフィッシングにも利用されており、韓国のAI投資戦略サービスを装ったLNKファイル（ショートカット形式の不正ファイル）を正規の投資資料に見せかけ、標的に開かせる手口が使われていました。

窃取文書をRAGで分析、音声認識ツールも導入

KimsukyのAI活用はおとり文書の生成だけでなく窃取情報の処理にも及び、GPT4AllのフォルダからRAG（検索拡張生成）用のデータベースファイルが発見されたことから、盗み出した文書を知識源として取り込み、情報分析を自動化しようとしていた可能性が報告されています。

攻撃にAIを組み込むための開発環境も用意され、C#/.NET向けのAIライブラリが体系的に収集されていたほか、AI開発ツール「Cursor」で攻撃用文書を編集してPDFを生成・確認する作業記録も残されていました。

対象は文書データだけではなく、OpenAIのWhisperと高速実装「faster-whisper」も保存されていたことから、窃取した通話や会議などの録音データをテキスト化して分析する用途も想定していたとみられています。

C2ログに「Arirang」、北朝鮮特有語彙も発見

こうしたAI環境と北朝鮮との関連を裏付ける手掛かりもC2ログに残され、攻撃者のシステムメーカー名には「Arirang（アリラン）」と記録されており、韓国では一般的なPCメーカーとして知られていない一方、北朝鮮ではタブレットPCやスマートフォンのブランドとして紹介されています。

さらにログに残された英語キー入力をドゥベルシク配列で変換すると韓国語の文章が復元され、「싸이트」「가입리력」「로출되였는지」など北朝鮮特有の語彙や綴りが含まれていました。

実際の操作記録では、攻撃者がDefenderの無効化方法を韓国語で入力してGoogle翻訳経由でChatGPTへ送信していたほか、AnyDeskやAstrill VPN（北朝鮮関連レポートで頻出するVPN）の使用も確認されています。

こうした痕跡がある一方、Kimsukyは独自AIモデルを訓練する段階には至っておらず、既存のオープンソースAIを攻撃ツールへ統合するための「研究・知識習得段階」にあるとジニアンズは評価しており、RAGやSTTを利用できる環境がすでに構築されていることから実際の攻撃への転用に注意を促しています。

北朝鮮の仮想通貨窃取にG7が結束