📡 Signal｜FBI、北朝鮮の偽ビデオ会議で使われた被害者映像900本超を押収

米司法省は11月12日、北朝鮮の暗号資産の盗難に対する一連の措置を発表した。偽のビデオ会議で相手のパソコンを乗っ取る手口「FaceStealer」に使われたクラウドの基盤を押収し、FBI は令状にもとづいて、被害者のウェブカメラを隠し撮りした映像900本超を押さえた。10月末に Binance から盗まれた暗号資産のうち12億ドル超についても、裁判所の許可を得て差し押さえと拘束に入った。

米司法省 — 北朝鮮の暗号資産の大規模な盗難を妨げる措置の発表 (2026年11月12日・FaceStealer の基盤の押収、映像900本超、Binance 流出分12億ドル超の差し押さえを確認)justice.gov

FBI によると、FaceStealer による盗難は過去18か月で4億ドルを超える。手口の核にあるのは、知り合いの顔と声だ。乗っ取った本物のアカウントから会議に誘い、以前の被害者の録画を流して「知っている人が参加している」場面を作る。暗号資産の業界で働く人とオープンソースの開発者にとって、ビデオ会議そのものが攻撃の入口になった。

司法省と FBI が発表したこと

司法省の発表によると、FaceStealer の基盤の押収はカリフォルニア州中部地区の連邦検察と FBI ロサンゼルス支局が進めた。FBI は同じ日に注意喚起の文書 (FLASH) を出し、専用の案内ページも開いた。

Binance については、10月29日ごろの流出で60億ドルを超える暗号資産が盗まれ、FBI はすでに北朝鮮の軍の要員による犯行と認定している (11月1日の記事)。今回の発表によると、政府と民間の取り組みで凍結された盗難資産は27億ドルを超え、そのうち12億ドル超について裁判所が差し押さえと拘束を認めた。犯人は今もブリッジ、ミキサー、取引所を使って資金の洗浄を続けている。

発表には起訴や、名指しされた被告は含まれていない。初期報は13日の 速報 で伝えた。

「知り合いの顔」で開かせる6段階

FBI の文書は、手口を6つの段階に分けて説明する。

まず、すでに乗っ取った被害者 A の Telegram などのアカウントから、A の知り合いに「近況を話そう」「協業の相談をしたい」と会議を持ちかける。A の過去のやり取りを読めるので、相手に合わせた誘い文句が書ける。日程は Calendly などの正規の予約サービスで決め、会議の直前に Zoom や Teams に似せた偽のリンクを送る。文書は、北朝鮮が登録した綴り違いのドメインの例として「uu01webzoom.us」「teams.livemeet.us」を挙げている。

偽の会議室に入ると、A が以前に隠し撮りされた映像が流れ、ほかの参加者の映像も重ねて複数人の会議に見せる。少し間を置いて、A になりすました相手が「音声に問題があって聞こえない」と伝え、更新の案内やコマンドの貼り付けで「直す」よう促す。それに従うと、ブラウザの認証情報を抜く仕組み、キー入力の記録、画面の記録、外から操作するための裏口が入る。偽の会議に入った時点で、本人のウェブカメラの映像も録られている。こうして次の被害者が生まれ、その人の連絡先が次の標的の一覧になる。

文書によると、乗っ取った後すぐに盗むとは限らない。財布の残高が増えるのを数か月から1年以上待ってから抜いた例がある。

被害者の映像900本という「在庫」

FBI が押さえた900本超の映像は、この手口の在庫にあたる。映像があるかぎり、被害者は次の被害者を誘う役を演じさせられる。FBI は、その在庫を相手の手から取り上げたことになる。

文書はさらに2点を警告する。1つは、北朝鮮のハッカーが超知能 (SI) を使い、暗号資産の業界の著名人のディープフェイクを作り始めたことだ。ウェブカメラの映像として通用する程度の質があれば足り、本物の被害者の映像の代わりにも、それと並べても使える。ただし今のところ、手口の大半は本物の被害者の映像に頼っている。

もう1つは、ソフトウェアの供給網への攻撃だ。文書によると、今年、週に数千万回ダウンロードされる JavaScript の主要ライブラリの保守担当者が偽の Teams 会議で感染し、そのアクセスを使って悪意のある依存関係が仕込まれかけた。早い検知で被害は広がらなかった。npm の保守担当者を狙う試みが複数あり、最近は Rust のライブラリ (crate) の保守担当者も狙われている。

暗号資産の盗難は、取引所の一点を破る大がかりな侵入だけではない。Binance の流出も、Binance 自身の初期報告によると入口は社員を狙った偽の採用面接だった (11月4日の記事)。北朝鮮の手口は、人と人のあいだの信頼を一人ずつ使い回して、取引所の金庫にも、開発者の手元にも届く形に組み上がっている。

次に見るもの

FBI の文書が勧める対策は具体的だ。ビデオ会議はリンクを踏まず公式のアプリに招待コードで入る。招いた本人の姿と声を確かめるまでカメラを入れない。会議中に「更新」と言われてもコマンドを貼り付けない。予定は別の連絡手段で本人に確かめる。ブラウザの財布には少額だけを置き、復元用のフレーズを端末に保存しない。

次の確認先は、カリフォルニア州中部地区とワシントン DC の連邦検察の発表だ。押さえた12億ドル超が没収の手続きに進めば、民事の没収訴訟として裁判所に出される。Binance の流出分の凍結と回収の行方は、そこで金額とともに見えてくる。

ことば

• FaceStealer — FBI が名付けた北朝鮮の詐欺の手口。乗っ取ったアカウントから偽のビデオ会議に誘い、以前の被害者の録画で信頼させてから、不具合の「修正」を装ってマルウェアを入れさせる。
• TraderTraitor — FBI が Binance の流出の犯人として名指しした、北朝鮮の軍の要員による集団の呼び名。FaceStealer は別の呼び名 (Sapphire Sleet、APT38 など) で知られる集団の仕業とされている。
• 民事没収 — 犯罪に使われた、または犯罪で得られた財産を、持ち主の有罪判決を待たずに国が取り上げる米国の手続き。差し押さえた暗号資産は、この手続きを経て被害者への返還などに回る。

🔗 一次ソース

• 米司法省 — 北朝鮮の暗号資産の大規模な盗難を妨げる措置の発表 (2026年11月12日・FaceStealer の基盤の押収、映像900本超、Binance 流出分12億ドル超の差し押さえを確認)justice.gov
• FBI — FaceStealer についての注意喚起 (FLASH・2026年11月12日・6段階の手口と推奨策)ic3.gov