チェック・ポイント・リサーチ、北朝鮮の国家支援型脅威グループLazarusによる「ドリームジョブ作戦」の新たな攻撃を確認

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社
欧州・インド・南米の組織を標的に、防衛・航空宇宙企業の求人を装うスピアフィッシングが横行　　Windowsゼロデイ脆弱性を悪用し、新たなバックドアをインストール

サイバーセキュリティソリューションのパイオニアであり、世界的リーダーであるチェック・ポイント・ソフトウェア・テクノロジーズ（Check Point(R) Software Technologies Ltd.、NASDAQ: CHKP、以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、北朝鮮に関連する脅威グループ「Lazarus」（ラザルス）が長期にわたり展開するキャンペーン「ドリームジョブ作戦」（Operation Dream Job）の最新の攻撃を確認、調査結果を公開しました。

主な調査結果
- CPRは、北朝鮮の国家支援型脅威グループ「Lazarus」によって長期的に展開されているキャンペーンの新たな攻撃を確認しました。この攻撃は、防衛業界に関する偽の求人を使い、特に欧州およびインドの航空宇宙・航空機関を標的としています。

- 攻撃者は、Windowsにおけるこれまで発見されていなかった未知の脆弱性（CVE-2026-68820）を悪用することで、感染したコンピューターを完全に掌握し、EDR（エンドポイント検知・対応）による検知を回避します。この脆弱性は、チェック・ポイントによる責任ある情報開示を経て、2026年8月11日のPatch Tuesdayアップデートで修正されました。

- 被害者は偽の採用担当者によるメッセージで誘い込まれ、悪意あるPDF文書を開くか、トロイの木馬化されたPDFビューアをインストールするよう仕向けられます。このビューアによって、今回新たに確認されたバックドアが密かにインストールされ、攻撃者は感染したマシンをリモートからアクセスできるようになります。

- 攻撃者は自前のサーバーを運用するのではなく、侵害済みの正規ウェブサイトやウェブメールサーバーを乗っ取り、コマンドの中継に利用しています。これにより、悪意あるトラフィックと通常の活動との区別が難しくなります。

- 侵害済みの実在の組織を新たな被害者へのフィッシングメール送信に利用し、その組織の名声を借用してキャンペーンをより信頼性の高いものに見せかけた事例が少なくとも1件発生しています。

「ドリームジョブ作戦」とは：この攻撃が効果的であり続ける理由
CPRは2026年初頭から、防衛・航空宇宙セクターの専門家が魅力的な求人に対して抱く関心を利用したキャンペーンを追跡してきました。北朝鮮の国家支援型脅威グループLazarusの攻撃者は、採用担当者に成りすましてLinkedInやメッセージアプリを通じて被害者に接触し、有名企業のポジションを提示して悪意あるダウンロードへと誘導します。この手法は単純でありながら、職業的な野心を標的とし巧妙なソーシャルエンジニアリングを駆使することで、今なお成功しています。

CPRは、Lazarusの攻撃チェーン全体の分析を通じ、攻撃者が正統性を強力な武器として利用する方法を明らかにしました。その手口においては、採用担当者に見せかけた人物、ベンダーのウェブサイト、そしてGoogle検索の上位表示結果が、攻撃者によってすべて掌握されていたことが明らかになっています。

信頼を完璧な囮（おとり）として武器化
このキャンペーンは、防衛・航空宇宙大手への「夢の求人」を装ったスピアフィッシングから始まります。攻撃者はロッキード・マーチン（Lockheed Martin）やプライバシー技術企業のEnveilになりすましていました。少なくとも3つの偽のEnveilウェブサイトが立ち上げられており、その一部には非常に積極的なSEO最適化が施され、関連キーワードの検索で上位に表示されました。この結果、被害者は検索エンジンを通じて、ベンダーの正規サイトそのものに見えるウェブサイトにアクセスし、マルウェアをダウンロードしてしまいます。

ロッキード・マーチン社の求人票を装うPDF文書

この手口は、ユーザーが従来頼りにしてきたフィッシング攻撃を見破るための判断基準がもはや通用しないことを示しています。さらに、検索結果やダウンロードページについても、攻撃者の支配下にある可能性を前提に対処する必要性があることを浮き彫りにしています。

新たなツールとより巧妙な手口
「Troy」を密かに起動させる、トロイの木馬化されたPDFビューア「SecurityPDF」が確認されました。「Troy」は初めて公に報告されたモジュール型バックドアで、17種類のオペレーターコマンドをサポートしています。さらに新バージョンのFudModule（v3.1）ルートキットがAFD.sysのゼロデイ脆弱性を悪用してSYSTEM権限を取得し、EDRセキュリティツールを無効化します。この手法から、防衛組織が依存する検知システムを回避するため設計された専用のツールセットへと、攻撃の手口が進展していることが明らかになっています。

SecurityPDFで開いたPDF文書

グローバルな広がりと国家的懸念
このキャンペーンはフランス、ドイツ、ブラジル、インドにわたり、監視センサー、ドローン、ロボティクスなどの防衛関連セクターを標的にしていました。特にインドは防衛・航空宇宙産業の急成長を背景に、重点的に狙われています。

Lazarusによる「ドリームジョブ作戦」の標的国

正規のウェブメールサーバーを利用
Lazarusは不審な専有サーバーではなく、侵害した正規のRoundcubeウェブメールインストールやコンテンツ管理システム（CMS）プラットフォームをC2（コマンド＆コントロール）に利用するようになっています。これらの多くはCVE-2025-49113の脆弱性を持っており（パッチ公開済み）、ダークウェブの漏えい情報から入手した認証情報を組み合わせて利用します。新たなRelayShellウェブシェルを通じ、少なくとも17台の侵害済みサーバーがC2中継ノードとして転用されていました。

名声の乗っ取りで攻撃を拡大
信頼を悪用する典型例として、フランスに本社を置く侵害済みの組織が、スピアフィッシング攻撃を世界中に拡大する目的で乗っ取られました。被害に遭った実在の組織の名声を借用することで、キャンペーンの信頼性を高める手法です。これが示すのは、侵害がもはやその企業だけの問題として完結しなくなっているという状況です。攻撃者は、正統で信頼を得ている組織のインフラを、次の攻撃の実行手段として利用しています。

チェック・ポイントの脅威インテリジェンス担当ディレクターであるセルゲイ・シュキエヴィチ（Sergey Shykevich）は次のように述べています。
「このキャンペーンが非常に危険なのは、ゼロデイ脆弱性だけが理由ではありません。Lazarusが、正統かつすでに信頼を得ているインフラを、攻撃のあらゆる段階に織り込んでいる点にあります。検索結果の上位表示や実在するベンダー、侵害済み組織が持つ名声などに溶け込むようにして、攻撃者は巧みに身を潜めていました。ウェブサイト、ダウンロード先、採用担当者のすべてが本物に見える状況では、『フィッシングリンクを見破れ』という従来のアドバイスは簡単には通用しません。アップデートの公開と同時にパッチを適用し、検索結果ではなく公式チャネルを通じてソフトウェアを確認すること、そして日常的に利用する、一見して正規のサイトやパートナーにもゼロトラストの考え方を適用することが重要です。安全を保つためには、今や信頼そのものが偽造され得るという前提に立つことが求められるのです」

本プレスリリースは、米国時間2026年8月11日に発表された発表されたブログ（英語）をもとに作成しています。詳細なレポートは、チェック・ポイント・リサーチのCPRレポート（英語）よりご確認ください。

Check Point Researchについて
Check Point Researchは、チェック・ポイントのお客様、脅威情報コミュニティを対象に最新のサイバー脅威インテリジェンスの情報を提供しています。チェック・ポイントの脅威インテリジェンスであるThreatCloud AIに保存されている世界中のサイバー攻撃に関するデータの収集・分析を行い、ハッカーを抑止しながら、自社製品に搭載される保護機能の有効性について開発に携わっています。100人以上のアナリストや研究者がチームに所属し、セキュリティ ベンダー、捜査当局、各CERT組織と協力しながら、サイバーセキュリティ対策に取り組んでいます。
ブログ: https://research.checkpoint.com/
X: https://x.com/_cpresearch_

チェック・ポイントについて
チェック・ポイント・ソフトウェア・テクノロジーズ（www.checkpoint.com）は、世界各国の10万を超える組織を保護するグローバルなサイバーセキュリティのリーダー企業です。チェック・ポイントは、企業の安全なAIトランスフォーメーションの保護をミッションとして掲げています。防止優先のアプローチとオープンエコシステムアーキテクチャを基盤に、組織がリスクを低減し、業務を簡素化して、自信を持ってイノベーションを推進できるよう支援します。チェック・ポイントの統合セキュリティアーキテクチャは、進化する脅威や拡大するAI攻撃対象領域に継続的に適応し、ハイブリッドネットワーク、クラウド環境、デジタルワークスペース、AIシステムを保護します。4つの戦略的柱であるハイブリッドメッシュネットワークセキュリティ、ワークスペースセキュリティ、エクスポージャー管理、AIセキュリティを軸に、チェック・ポイントは複雑なマルチベンダー環境全体にわたり、一貫した保護と可視性を提供します。チェック・ポイント・ソフトウェア・テクノロジーズの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）は、1997年10月1日設立、東京都港区に拠点を置いています。

ソーシャルメディア アカウント
・Check Point Blog: https://blog.checkpoint.com
・Check Point Research Blog: https://research.checkpoint.com/
・YouTube: https://youtube.com/user/CPGlobal
・LinkedIn: https://www.linkedin.com/company/check-point-software-technologies/
・X: https://x.com/checkpointjapan
・Facebook: https://www.facebook.com/checkpointjapan

将来予想に関する記述についての法的な注意事項
本プレスリリースには、将来予想に関する記述が含まれています。将来予想に関する記述は、一般に将来の出来事や当社の将来的な財務または業績に関連するものです。本プレスリリース内の将来予想に関する記述には、チェック・ポイントの製品およびソリューションに関する見通し、将来的な成長、業界におけるリーダーシップの拡大、株主価値の上昇、および業界をリードするサイバーセキュリティプラットフォームを世界の顧客に提供することについての当社の見通しが含まれますが、これらに限定されるものではありません。これらの事項に関する当社の予想および信念は実現しない可能性があり、将来における実際の結果や事象は、リスクや不確実性がもたらす影響によって予想と大きく異なる可能性があります。本プレスリリースに含まれる将来予想に関する記述に伴うリスクや不確実性は、2026年3月31日にアメリカ合衆国証券取引委員会に提出した年次報告書（フォーム20-F）を含む証券取引委員会への提出書類に、より詳細に記されています。本プレスリリースに含まれる将来予想に関する記述は、本プレスリリースの日付時点においてチェック・ポイントが入手可能な情報に基づくものであり、チェック・ポイントは法的に特段の義務がある場合を除き、本プレスリリース記載の将来予想に関する記述について更新する義務を負わないものとします。

本件に関する報道関係者からのお問い合わせ
チェック・ポイント広報事務局 （合同会社NEXT PR内）
Tel: [phone]　Fax: [phone]
E-mail: [e-mail]