米司法省は米国時間2026年11月12日、北朝鮮のハッカーがビデオ会議を悪用して暗号資産を盗む手口「FaceStealer」について、攻撃に使われていたクラウド上の基盤を押収したと発表した。同省によると、この手口による被害は過去18カ月で4億ドルを超える。同じ発表では、10月29日ごろに起きた暗号資産取引所Binanceからの不正流出について、12億ドルを超える資産の差し押さえ・凍結が裁判所に認められたことも明らかにした。

FaceStealerの基盤を押収、被害者の録画900本超も確保

司法省の発表によると、FaceStealerは暗号資産の保有者と、オープンソースソフトウェアのサプライチェーンに関わる人を狙ったソーシャルエンジニアリングの手口だ。盗まれた暗号資産は過去18カ月で4億ドルを超え、オープンソースの開発に関わる人を乗っ取ろうとする試みもあったという。

今回の措置は、カリフォルニア州中部地区連邦検事局とFBIロサンゼルス支局が中心となって進めた。司法省の刑事局と国家安全保障局、コロンビア特別区連邦検事局も加わっている。FBIは連邦の令状に基づき、FaceStealerの被害者のWebカメラ映像900本超も押収した。

知人の録画映像と偽の不具合でマルウェアを入れさせる

発表が説明する手口は、次の流れだ。

  • 過去の被害者から盗んだアカウントを使い、標的をビデオ会議に招待する
  • 標的が参加すると、標的のWebカメラ映像をひそかに録画する。同時に、標的の知人である過去の被害者の録画映像を流し、信頼できる相手と話しているように見せかける
  • 暗号資産やWeb3の分野で知られた人物のディープフェイク動画を会議で使うこともある
  • 「相手の声が聞こえない」といった偽の技術的な不具合を起こし、直すためと称してリンクや操作を示す。この「修正」を実行するとマルウェアが入る
  • 乗っ取ったパソコンから暗号資産を盗んだり、ほかのシステムへの足掛かりにしたりする。盗難やアカウントの乗っ取りが、数カ月から1年以上たってから行われた例もある

攻撃者は乗っ取った端末から連絡先の一覧やSNS、メッセージアプリのやり取りも読み取っていた。新たな被害者のWebカメラ映像は、次の標的をだますための材料になる。司法省は、著名人のディープフェイク動画を作るのに使った技術を「super intelligence（SI）」と表現している。

攻撃者は「APT38」「BlueNoroff」などと呼ばれる集団

司法省は、FaceStealerを行っていたのは、Sapphire Sleet、UNC1069、Dangerous Password、CryptoCore、APT38、BlueNoroff、Stardust Chollimaなどの名前で知られる北朝鮮のハッカーだとしている。いずれもセキュリティ企業などが付けた呼び名で、同省は北朝鮮政府が暗号資産の窃取によって体制の資金を得ていると指摘している。

Binanceの流出資産は12億ドル超を差し押さえ・凍結

同じ発表では、FaceStealerとは別の事件として、10月29日ごろに起きたBinanceからの60億ドルを超える暗号資産の流出も取り上げた。司法省は、これをFBIが「TraderTraitor」と呼ぶ北朝鮮軍のメンバーによるものとしている。裁判所の許可を得て12億ドルを超える資産を差し押さえ・凍結し、政府と民間による凍結は合わせて27億ドルを超えるという。

FBIは対策をまとめた報告書と専用ページを公開

FBIは今回、対策と被害に遭ったときの手順をまとめた報告書を公開し、FaceStealerの情報をまとめた専用ページも設けた。手口の入り口はビデオ会議の招待で、招待は過去の被害者から盗まれた実在のアカウントから届く。送り主の名前や顔が知人のものでも、それだけでは安全の根拠にならない。

筆者の見立て

この手口の厄介な点は、ディープフェイクの出来よりも、本物の知人のアカウントと本物の知人の録画映像を使うところにあると筆者は見る。相手の顔と声を見て安心する、という従来の確認方法が通じにくい。会議の途中で「音声が聞こえないので、このツールを入れてほしい」などと求められたら、いったん会議を抜け、電話など別の手段で本人に確かめるのが現実的な対策だろう。

日本でも、暗号資産の保有者やWeb3企業の社員、オープンソースの開発者は少なくなく、同じ手口の標的になり得る。感染から実際の盗難まで1年以上空くことがあるという点を踏まえると、過去に不審なビデオ会議で何かを入れた覚えがある人は、端末の点検を検討してもよいだろう。

まとめ

米司法省は、北朝鮮のハッカーによるビデオ会議を使った暗号資産窃取の手口「FaceStealer」の基盤を押収し、被害が過去18カ月で4億ドルを超えると発表した。知人の録画映像やディープフェイク、偽の不具合を組み合わせてマルウェアを入れさせるのが特徴だ。別件のBinanceからの流出では、12億ドルを超える資産の差し押さえ・凍結が認められた。