北朝鮮のラザルスがランサムウェアグループにツールを提供-韓国4機関が合同警告|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月05日更新日時: 2026年08月05日

韓国の国家情報院（NIS）・国家警察庁・韓国インターネット振興院（KISA）・金融保安院（FSI）の4機関は2026年7月30日、北朝鮮の国家支援ハッカーグループとランサムウェアグループ「Gunra」が同一の攻撃ツール・インフラ・脆弱性を使って韓国組織への並行攻撃を行っていたことを示す合同アドバイザリを発表した。同日公開されたセキュリティ企業AhnLabの技術レポートは、この活動を「Operation Double Barrel（二丁銃作戦）」と命名し、国家支援のスパイグループ（Lazarusとして広く追跡されているグループ）とGunraが同じ標的に対してほぼ同一の初期侵入経路を使いながら、前者がスパイ目的のバックドアを残し、後者が身代金を要求するという「目的だけが異なる並行作戦」を展開していたと詳細に記録しています。

Operation Double Barrel——北朝鮮系グループとGunraランサムウェア協力疑惑のサマリー

韓国4機関が2026年7月30日に合同アドバイザリを発表。AhnLabが「Operation Double Barrel」レポートを同日公開
韓国の金融・政府サービス利用に事実上必須の「AnySign4PC」など金融セキュリティソフトウェアの脆弱性が共通の侵入口として悪用された
国家支援グループは2026年だけで少なくとも72組織にバックドアを設置（政府機関・暗号資産取引所・ITサービス企業等）
Gunraは同一の脆弱性・マルウェアファイル名・SSHキーフィンガープリント・C2サーバーを使用しランサムウェアを展開。2026年3月時点でグローバル32組織が被害
AhnLabは「技術的関連の高い可能性」を認定。ただし同一アクターによる実行とは断言せず、ツール共有・共通インフラ・アクセスブローカーの可能性を提示
北朝鮮国家ハッカーが以前はランサムウェアのアフィリエイトとして参加していたのに対し、今回はGunraに対して「ツール・エクスプロイト・アクセスを提供する側」に立っている可能性を示すと専門家は指摘
正規サイト15か所へのウォーターホール攻撃も確認。ページを閲覧するだけで感染するリスクがある

整理表

項目	内容
作戦名	Operation Double Barrel
発表日	2026年7月30日
発表元	NIS・国家警察庁・KISA・FSI（韓国4機関）＋AhnLab
国家支援グループの目標	スパイ活動（バックドア設置）：2026年のみで72組織
Gunraの目標	ファイル暗号化・データ窃取・身代金要求（ダブルエクスタクション）
共通の攻撃起点	韓国金融セキュリティソフトウェア（AnySign4PC等）の脆弱性
共通する証拠	マルウェアファイル名・実行引数・権限昇格ツール・C2サーバー・SSHキーフィンガープリント・マルウェア削除手順
ウォーターホール	15の正規韓国ウェブサイトを侵害（同一ウェブ開発会社が管理）
Gunraの現状	2025年4月登場、2026年1月RaaS化、32組織以上が被害
AhnLabの帰属評価	「技術的関連の高い可能性」——同一アクターとは断定せず

何が起きたか——同じ鍵穴を国家スパイとランサムウェアが共用

韓国では銀行やオンライン政府サービスを利用する際、AnySign4PCをはじめとするセキュリティソフトウェアのインストールを事実上義務付けられています。これは国民のほぼ全員が同一のソフトウェアを業務用・個人用PCにインストールしているという意味であり、その脆弱性が悪用された場合の影響範囲は極めて広くなります。

Operation Double Barrelが明らかにしたのは、まさにこの強制的に普及したソフトウェアの脆弱性が、国家支援のスパイグループとランサムウェアグループという全く異なる目的を持つ2つのグループによって同時期に利用されていたという事実です。AhnLabの記録によると、国家支援グループは2025年から2026年前半にかけてこの脆弱性を継続的に悪用しバックドアを設置し続けており、2026年だけで少なくとも72組織において関連攻撃の証拠が確認されています。Gunraはその同じ経路を使って標的のファイルを暗号化し、身代金を要求しました。

AhnLabは2026年3月のGunraインシデントにおいて、同じ侵害された医療機関のウェブサイト、同じ脆弱性、同じプロセスインジェクション手法（SyncHost.exe）、同じSSHキーフィンガープリント、同じネットワークインフラが使われていたことを確認しています。これが「二丁銃（Double Barrel）」という作戦名の由来です。一つの銃口が国家情報収集に、もう一つが犯罪的恐喝に向けられていました。

重複する証拠——SSHキーまで一致した技術的連鎖

AhnLabが記録した両グループの重複は、偶然の一致で説明することが困難な水準に達しています。

同一のマルウェアファイル名と実行引数、同じ権限昇格ツール、同じコマンド・アンド・コントロール（C2）サーバーに加えて、特に注目されるのがSSHキーフィンガープリントの一致です。SSHキーフィンガープリントは暗号的な識別子として機能する固有のデジタル署名に相当するもので、意図的な共有なしに同一の値を持つ確率は実質的にゼロに近いとされます。さらに両グループともマルウェアをランダムな4文字の文字列にリネームしてから削除するという同一の隠滅手順を踏んでいました。

ただしAhnLabは帰属の判断について慎重な立場を維持しています。同レポートは「技術的関連の高い可能性」があると評価しながらも、この重複が示しうる可能性として、同一アクターによる実行、ツール・インフラの共有、アクセスブローカーを介した間接的なつながり、の3つを並列して提示しています。合同アドバイザリでも国家支援グループの名称を「国家支援の脅威アクター」と表現するにとどまり、Operation Double Barrel全体をLazarusに正式帰属させてはいません。

ウォーターホール攻撃——閲覧するだけで感染するリスク

攻撃の初期侵入手法として特に注目されるのが、15の正規韓国ウェブサイトを侵害して構築したウォーターホール（水飲み場）攻撃です。

AhnLabの調査によると、侵害された15のウェブサイトは同一の韓国ウェブ開発会社によって管理されていました。攻撃者はおそらくこの開発会社の管理システムを先に侵害し、そこからクライアントサイトへとアクセスを拡大したとみられています。個別にサイトを不正侵入するよりも効率的な「サプライチェーン型の入口確保」です。

侵害されたウェブサイトを訪問した特定のユーザーはインフラへリダイレクトされ、韓国の金融セキュリティソフトウェアの脆弱性が起動してMicrosoftのプロセスに悪意あるコードがインジェクトされます。この過程でユーザーは何もクリックする必要がありません。AhnLabは「特定のページにアクセスするだけで脆弱性が引き起こされる」と警告しており、「明示的に標的とされた組織だけでなく、脆弱なソフトウェアを実行している一般ユーザーも被害に遭う可能性がある」と指摘しています。

スピアフィッシングキャンペーンも並行して実施されており、韓国の防衛企業を標的にGaN半導体に関するアンケートに偽装したメールが送られたことも確認されています。AhnLabはこれらの誘引ページの一部に、攻撃者がAIを使って生成したとみられる内容が含まれていると記録しています。

Gunraランサムウェアとは——Conti流出コードを起源とする新興RaaS

Gunraは2025年4月に韓国企業5社を標的に初登場しました。ランサムウェアのソースコードとして悪用が広がっているConti v2の流出コードを基盤に構築されたもので、2026年1月にはランサムウェア・アズ・ア・サービス（RaaS）モデルへの移行を完了しています。

Operation Double Barrelのレポートが公開されるまで、業界の研究者はContiとの血統からGunraを東欧系オペレーターと関連づけていました。この想定が今回の技術的証拠によって根底から問い直されることになっています。2026年3月時点でGunraはグローバルで少なくとも32組織の被害を主張しており、医療・製造・ITなど複数の業種に及んでいます。Torベースのリークサイトにデータを公開すると脅迫するダブルエクスタクション方式を採用しており、身代金支払い拒否後の二次被害リスクを持ちます。

日本企業へのサイバー攻撃を主張

なお、Gunraは複数の日本企業へサイバー攻撃を主張していました。

「逆転」する北朝鮮とランサムウェアの関係

今回の事案が特に注目される理由は、北朝鮮とランサムウェアエコシステムの関係における構造的な変化を示唆している点にあります。

過去18か月で北朝鮮の国家支援アクターが Play・Qilin・Medusaランサムウェア作戦に関与したことが、Palo Alto Networks・Microsoft・Symantecの調査によって相次いで確認されています。また2024年には米司法省が、Andariel Unitの構成員とされるリム・ジョンヒョク氏を米国の病院・医療機関へのランサムウェア攻撃で起訴しました。これらはいずれも北朝鮮オペレーターが既存の犯罪フランチャイズに「アフィリエイト（加盟者）」として参加したパターンです。

Gunraの事案はこれと逆の可能性を示しています。The Recordが引用する専門家の分析によれば、今回の証拠が示す関係は国家ハッカーが新規・小規模のグループに対してツール・エクスプロイト・アクセスを「提供する側」として機能している構造です。北朝鮮の高度な能力が、犯罪グループの拡張に利用されているとすれば、脅威のスケールと帰属の困難さはいずれも増大します。

今回の事案で一点明確にしておくべきことがあります。AhnLabのレポートは技術的連鎖の高い可能性を記録していますが、Operation Double Barrel全体をLazarusに正式帰属させていないことと、Lazarusとの関係性について合同アドバイザリに記載がないことは事実です。The Recordの記事においても「Lazarusとして広く追跡されている」という表現が使われており、確定的な帰属ではありません。