支援や寄付の提案を装ったフィッシングメールと、ニュース・病院ウェブサイトを悪用した「ウォータリングホール」攻撃が相次ぎ、政府と民間のセキュリティ業界が合同で警告に乗り出した。セキュリティ業界では、今年上半期に数回捕捉された一連の攻撃を北朝鮮系ハッカー組織「ラザルス」の犯行と推定している。
30日、セキュリティ業界によると、国家情報院と警察庁、韓国インターネット振興院（KISA）、金融保安院は、AhnLab・S2W・ENKI WhiteHat・プレインビットなどの民間セキュリティ企業とともに、最近「合同サイバーセキュリティ勧告文」を共有した。
ハッカー組織は主に、採用応募や寄付提案など受信者の関心を引きそうな内容に偽装したメールを送る。履歴書を添付ファイルではなくインターネットリンクの形でメール本文に挿入する手口も確認された。
リンクをクリックすると、ハッカー組織が直接開設または乗っ取ったブログ・GitHubなどのウェブページに接続される。この過程で、PCにインストールされた旧式のセキュリティプログラムの脆弱性が悪用され、別途ファイルを実行しなくてもマルウェアに感染する可能性がある。
悪性の添付ファイルを直接送る方式も併用する。「高年俸の求人提案」といった採用提案に偽装し、添付ファイルを開くよう誘導する形だ。実際のヘッドハンターのメールアカウントを奪取し、正規の送信者が送ったメールのように偽装した事例も捕捉された。
ニュースや病院など利用者が頻繁に訪れるウェブサイトをあらかじめハッキングしてマルウェアを埋め込むウォータリングホール攻撃も活用する。利用者が改ざんされたサイトに接続すると、PCにインストールされたセキュリティプログラムなどの脆弱性を通じてマルウェアが自動でインストールされる。
最近のウォータリングホール手口は、マルウェアを隠匿したりウェブサイトのソースコードを直接改ざんする方式で高度化しており、セキュリティ監視による検知も難しくなっていると勧告文は明らかにした。電子署名・セキュリティ認証・キーボードセキュリティプログラムなど最新バージョンではないセキュリティソフトがインストールされている場合、感染リスクは高まる可能性がある。
セキュリティ業界では、こうした攻撃が今年上半期に数回、韓国の利用者と企業を狙って攻撃したラザルスの手口と類似していると見ている。
マルウェアに感染すると、ブラウザーに保存されたアカウント・パスワード・カード番号から、PCの文書・写真・連絡先やメッセンジャーの会話内容まで流出する恐れがある。さらに感染したPCを足がかりに、同じネットワークに接続された周辺PCへマルウェアが連鎖的に拡散する可能性もある。
企業の場合、ソースコード・内部文書・顧客および人事情報・営業秘密などを盗み出した後、これを口実に金銭を要求する脅迫へとつながり得るため、格別の注意が求められる。
勧告文は個人ユーザーに対し、すべてのソフトウェアを最新バージョンに更新し、重要アカウントには2段階認証を有効化し、出所不明のメール添付ファイルとリンクは開かないよう勧告した。