面接は何度もGoogle Meetで行われたが、相手のカメラは最後まで一度もオンにならなかった。これは、シンガポール警察（Singapore Police Force）とシンガポールサイバーセキュリティ庁（Cyber Security Agency of Singapore）が先週金曜日に公表した詐欺事件のなかで、数少ない痕跡として残されていた詳細だ――しかし被害者は当時、それを大した問題だとは思わなかった。

両機関が共同で発表した声明によると、暗号資産（仮想通貨）企業の採用を装ったこの詐欺手口による被害総額は、すでに1180万ドル（約1510万シンガポールドル）に達しているという。事件の経緯によれば、被害者はまずLinkedIn上で、ある暗号資産企業のヘッドハンターを名乗る人物から接触を受けた。やり取りはその後メールへと移り、送信元ドメインは実在する企業を巧妙に模倣したものだった。続いて数回にわたるGoogle Meetでの面接が行われたが、面接官はカメラを一度もオンにしなかった。最終的に被害者は偽のウェブサイトへ誘導され、会社支給のノートパソコンを使って技術的なコーディングテストを受けさせられた――その過程で、密かにマルウェアが仕込まれていた。

本当に致命的だったのは、このマルウェアが狙っていた標的だ。それはセッショントークン、つまりサービスがログイン状態を維持するために使う認証文字列だった。攻撃者はこのトークンを利用することで、パスワードも認証コードも必要とせず、すでにログイン済みの正規ユーザーになりすまし、多要素認証の仕組みをそのまま突破。被害者のBitbucketアカウント――ソースコードの保管・管理を行う場所――に侵入した。ここから攻撃者は雇用主のソフトウェアシステムを改ざんし、内部サーバーへと侵入を進め、認証情報を収集。最終的にそれを使って取引限度額や審査の仕組みを回避し、資金を送金させた。声明では被害企業の名前は明かされておらず、資金の流れや特定の犯人についても言及されていない。Decryptはこの件についてLinkedInにコメントを求めており、回答があり次第、記事を更新する予定だ。

単発の事件ではなく、確立された手口

研究者たちが長年追跡している「Contagious Interview」と呼ばれる作戦は、まさに同じ手口を使っている。偽のヘッドハンターがWeb3開発者を誘導し、悪意あるコードをインストールさせるというもので、npmパッケージリポジトリにアップロードされた問題のあるパッケージだけでも300を超える。また、TraderTraitorという名の組織は、個人のウォレットを直接狙うのではなく、偽の求人オファーを使って企業のクラウドシステムに侵入する手口を得意としている――ある研究者の見立てでは、資金の多くはそこに保管されているためだという。さらに、CoinbaseやUniswapの採用担当者を装い、標的に特定のコマンドを実行させる攻撃者も存在する。

こうした作戦の多くは北朝鮮のハッカー集団の犯行とされているが、この手口は彼らだけのものではない。ロシア語を話す犯罪集団Crazy Evilは、ChainSeeker.ioという偽会社を丸ごと立ち上げ、「ブロックチェーンアナリスト」を募集すると称して、応募者にウォレットを空にするマルウェアをインストールさせていた。

シンガポールの両機関が個人向けに示すアドバイスは明快だ。公式なチャネルを通じて採用担当者の身元を確認すること、「面接官がカメラをオンにしない」ことを警告サインとして捉えること、出所不明のコードは絶対に実行しないこと。企業に対しては、APIキーや内部認証情報の管理強化、多要素認証の徹底、見慣れないデバイスや異常なネットワーク活動への注意を呼びかけている。また、侵害が疑われる場合には直ちに影響を受けたシステムを隔離し、既存のログインセッションを無効化、認証情報をリセットしたうえでアクセス記録を確認するよう推奨している。