セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

韓国の国家情報院（NIS）・国家警察庁・韓国インターネット振興院（KISA）・金融保安院（FSI）の4機関は2026年7月30日、北朝鮮の国家支援ハッカーグループとランサムウェアグループ「Gunra」が同一の攻撃ツール・インフラ・脆弱性を使って韓国組織への並行攻撃を行っていたことを示す合同アドバイザリを発表した。同日公開されたセキュリティ企業AhnLabの技術レポートは、この活動を「Operation Double Barrel（二丁銃作戦）」と命名し、国家支援のスパイグループ（Lazarusとして広く追跡されているグループ）とGunraが同じ標的に対してほぼ同一の初期侵入経路を使いながら、前者がスパイ目的のバックドアを残し、後者が身代金を要求するという「目的だけが異なる並行作戦」を展開していたと詳細に記録しています。 Operation Double Barrel——北朝鮮系グループとGunraランサムウェア協力疑惑のサマリー 韓国4機関が2026年7月30日に合同アドバイザリを発表。AhnLabが「Operation Double Barrel」レポートを同日公開 韓国の金融・政府サービス利用に事実上必須の「AnySign4PC」など金融セキュリティソフトウェアの脆弱性が共通の侵入口として悪用された 国家支援グループは2026年だけで少なくとも72組織にバックドアを設置（政府機関・暗号資産取引所・ITサービス企業等） Gunraは同一の脆弱性・マルウェアファイル名・SSHキーフィンガープリント・C2サーバーを使用しランサムウェアを展開。2026年3月時点でグローバル32組織が被害 AhnLabは「技術的関連の高い可能性」を認定。ただし同一アクターによる実行とは断言せず、ツール共有・共通インフラ・アクセスブローカーの可能性を提示 北朝鮮国家ハッカーが以前はランサムウェアのアフィリエイトとして参加していたのに対し、今回はGunraに対して「ツール・エクスプロイト・アクセスを提供する側」に立っている可能性を示すと専門家は指摘 正規サイト15か所へのウォーターホール攻撃も確認。ページを閲覧するだけで感染するリスクがある 整理表 項目 内容 作戦名 Operation Double Barrel 発表日 2026年7月30日 発表元 NIS・国家警察庁・KISA・FSI（韓国4機関）＋AhnLab 国家支援グループの目標 スパイ活動（バックドア設置）：2026年のみで72組織 Gunraの目標 ファイル暗号化・データ窃取・身代金要求（ダブルエクスタクション） 共通の攻撃起点 韓国金融セキュリティソフトウェア（AnySign4PC等）の脆弱性 共通する証拠 マルウェアファイル名・実行引数・権限昇格ツール・C2サーバー・SSHキーフィンガープリント・マルウェア削除手順 ウォーターホール 15の正規韓国ウェブサイトを侵害（同一ウェブ開発会社が管理） Gunraの現状 2025年4月登場、2026年1月RaaS化、32組織以上が被害 AhnLabの帰属評価 「技術的関連の高い可能性」——同一アクターとは断定せず 何が起きたか——同じ鍵穴を国家スパイとランサムウェアが共用 韓国では銀行やオンライン政府サービスを利用する際、AnySign4PCをはじめとするセキュリティソフトウェアのインストールを事実上義務付けられています。これは国民のほぼ全員が同一のソフトウェアを業務用・個人用PCにインストールしているという意味であり、その脆弱性が悪用された場合の影響範囲は極めて広くなります。 Operation Double Barrelが明らかにしたのは、まさにこの強制的に普及したソフトウェアの脆弱性が、国家支援のスパイグループとランサムウェアグループという全く異なる目的を持つ2つのグループによって同時期に利用されていたという事実です。AhnLabの記録によると、国家支援グループは2025年から2026年前半にかけてこの脆弱性を継続的に悪用しバックドアを設置し続けており、2026年だけで少なくとも72組織において関連攻撃の証拠が確認されています。Gunraはその同じ経路を使って標的のファイルを暗号化し、身代金を要求しました。 AhnLabは2026年3月のGunraインシデントにおいて、同じ侵害された医療機関のウェブサイト、同じ脆弱性、同じプロセスインジェクション手法（SyncHost.exe）、同じSSHキーフィンガープリント、同じネットワークインフラが使われていたことを確認しています。これが「二丁銃（Double Barrel）」という作戦名の由来です。一つの銃口が国家情報収集に、もう一つが犯罪的恐喝に向けられていました。 重複する証拠——SSHキーまで一致した技術的連鎖 AhnLabが記録した両グループの重複は、偶然の一致で説明することが困難な水準に達しています。 同一のマルウェアファイル名と実行引数、同じ権限昇格ツール、同じコマンド・アンド・コントロール（C2）サーバーに加えて、特に注目されるのがSSHキーフィンガープリントの一致です。SSHキーフィンガープリントは暗号的な識別子として機能する固有のデジタル署名に相当するもので、意図的な共有なしに同一の値を持つ確率は実質的にゼロに近いとされます。さらに両グループともマルウェアをランダムな4文字の文字列にリネームしてから削除するという同一の隠滅手順を踏んでいました。 ただしAhnLabは帰属の判断について慎重な立場を維持しています。同レポートは「技術的関連の高い可能性」があると評価しながらも、この重複が示しうる可能性として、同一アクターによる実行、ツール・インフラの共有、アクセスブローカーを介した間接的なつながり、の3つを並列して提示しています。合同アドバイザリでも国家支援グループの名称を「国家支援の脅威アクター」と表現するにとどまり、Operation Double Barrel全体をLazarusに正式帰属させてはいません。 ウォーターホール攻撃——閲覧するだけで感染するリスク 攻撃の初期侵入手法として特に注目されるのが、15の正規韓国ウェブサイトを侵害して構築したウォーターホール（水飲み場）攻撃です。 AhnLabの調査によると、侵害された15のウェブサイトは同一の韓国ウェブ開発会社によって管理されていました。攻撃者はおそらくこの開発会社の管理システムを先に侵害し、そこからクライアントサイトへとアクセスを拡大したとみられています。個別にサイトを不正侵入するよりも効率的な「サプライチェーン型の入口確保」です。 侵害されたウェブサイトを訪問した特定のユーザーはインフラへリダイレクトされ、韓国の金融セキュリティソフトウェアの脆弱性が起動してMicrosoftのプロセスに悪意あるコードがインジェクトされます。この過程でユーザーは何もクリックする必要がありません。AhnLabは「特定のページにアクセスするだけで脆弱性が引き起こされる」と警告しており、「明示的に標的とされた組織だけでなく、脆弱なソフトウェアを実行している一般ユーザーも被害に遭う可能性がある」と指摘しています。 スピアフィッシングキャンペーンも並行して実施されており、韓国の防衛企業を標的にGaN半導体に関するアンケートに偽装したメールが送られたことも確認されています。AhnLabはこれらの誘引ページの一部に、攻撃者がAIを使って生成したとみられる内容が含まれていると記録しています。 Gunraランサムウェアとは——Conti流出コードを起源とする新興RaaS Gunraは2025年4月に韓国企業5社を標的に初登場しました。ランサムウェアのソースコードとして悪用が広がっているConti v2の流出コードを基盤に構築されたもので、2026年1月にはランサムウェア・アズ・ア・サービス（RaaS）モデルへの移行を完了しています。 Operation Double Barrelのレポートが公開されるまで、業界の研究者はContiとの血統からGunraを東欧系オペレーターと関連づけていました。この想定が今回の技術的証拠によって根底から問い直されることになっています。2026年3月時点でGunraはグローバルで少なくとも32組織の被害を主張しており、医療・製造・ITなど複数の業種に及んでいます。Torベースのリークサイトにデータを公開すると脅迫するダブルエクスタクション方式を採用しており、身代金支払い拒否後の二次被害リスクを持ちます。 日本企業へのサイバー攻撃を主張 なお、Gunraは複数の日本企業へサイバー攻撃を主張していました。 関連 ランサムウェア グループ Gunraが新興商事株式会社への不正アクセスによるサイバー攻撃を主張 ランサムウェア グループ Gunraがトーモクへの不正アクセスによるサイバー攻撃を主張 「逆転」する北朝鮮とランサムウェアの関係 今回の事案が特に注目される理由は、北朝鮮とランサムウェアエコシステムの関係における構造的な変化を示唆している点にあります。 過去18か月で北朝鮮の国家支援アクターが Play・Qilin・Medusaランサムウェア作戦に関与したことが、Palo Alto Networks・Microsoft・Symantecの調査によって相次いで確認されています。また2024年には米司法省が、Andariel Unitの構成員とされるリム・ジョンヒョク氏を米国の病院・医療機関へのランサムウェア攻撃で起訴しました。これらはいずれも北朝鮮オペレーターが既存の犯罪フランチャイズに「アフィリエイト（加盟者）」として参加したパターンです。 Gunraの事案はこれと逆の可能性を示しています。The Recordが引用する専門家の分析によれば、今回の証拠が示す関係は国家ハッカーが新規・小規模のグループに対してツール・エクスプロイト・アクセスを「提供する側」として機能している構造です。北朝鮮の高度な能力が、犯罪グループの拡張に利用されているとすれば、脅威のスケールと帰属の困難さはいずれも増大します。 今回の事案で一点明確にしておくべきことがあります。AhnLabのレポートは技術的連鎖の高い可能性を記録していますが、Operation Double Barrel全体をLazarusに正式帰属させていないことと、Lazarusとの関係性について合同アドバイザリに記載がないことは事実です。The Recordの記事においても「Lazarusとして広く追跡されている」という表現が使われており、確定的な帰属ではありません。 日本企業・組織への示唆 今回の事案は韓国固有のセキュリティソフトウェアを対象としており、日本の一般企業への直接の技術的影響は限定的です。しかし経済安全保障・地政学的リスクの観点から注目すべき点が3点あります。 まず北朝鮮が民間のランサムウェアエコシステムとの共生関係を深化させているという事実は、地域的な脅威水準全体を引き上げます。日本の政府機関・金融機関・暗号資産取引所・防衛関連企業は以前からLazarusの標的とされており、今回の構造が適用された場合、既存の警戒水準では追いつかない可能性があります。 次に、国家支援グループとランサムウェアグループの技術共有が確認されたことで、攻撃の帰属判断がより困難になります。インシデント発生時に「国家によるスパイ活動か」「犯罪的ランサムウェアか」の判断が誤れば、対応の優先順位と通知義務の判断を誤ることにもなります。 最後に、ウォーターホール攻撃のサプライチェーン的な拡大手法は国境を選びません。韓国で確認された「ウェブ開発会社の管理システムを先に侵害して多数のクライアントサイトを一括掌握する」という手法は、日本でも類似の構造が存在すれば同様に展開されうる攻撃パターンです。 出典 North Korea's Lazarus Group sharing tools with ransomware hackers, South Korean agencies warn——The Record（2026年7月30日） Operation Double Barrel Technical Report——AhnLab（2026年7月30日） Joint Cybersecurity Advisory: Operation Double Barrel——NIS・国家警察庁・KISA・FSI（2026年7月30日） Hackers Exploit AnySign4PC via Hacked Korean Sites to Install Backdoors Without Prompts——The Hacker News（2026年7月30日）

ブログ