北朝鮮ハッカー集団がChatGPTで軍事身分証偽造、韓国標的のサイバー攻撃

2025年09月15日

北朝鮮のKimsuky集団がChatGPTを使用して韓国軍の身分証明書を偽造
フィッシング攻撃で研究者、ジャーナリスト、人権活動家を標的
AI制限を迂回する手法で生成AI技術の悪用が深刻化

SEOの常識を覆す
AIライティングエージェント

プロフェッショナルの業務フローを完全再現するAIの活用で、飛躍的な品質向上とコストダウンの両立。「magicss」でAI時代のSEO＆AIOを実現してみませんか？

今なら 1記事無料で生成可能（カード登録不要）

最短3分で無料体験する

ChatGPTを悪用した精巧な軍事身分証偽造の手口

北朝鮮の国家支援ハッカー集団「Kimsuky」が、OpenAIのChatGPTを使用して韓国軍の身分証明書を偽造し、フィッシング攻撃に利用していたことが判明しました[1]。韓国のサイバーセキュリティ企業Geniansの調査によると、攻撃者は軍事関連機関からのメッセージに見せかけた偽造身分証画像を作成し、受信者がメールのリンクをクリックすると悪意のあるコードがインストールされる仕組みを構築していました。

この攻撃手法の特徴は、ChatGPTの制限機能を巧妙に回避している点です[3]。通常、ChatGPTは政府発行の身分証明書作成要求を違法行為として拒否しますが、攻撃者は「合法的な目的のサンプルデザイン」として要求を偽装することで、この制限を突破しました。生成された偽造身分証は非常に精巧で、従来の手動偽造と比較して格段に信憑性が高いものでした。

この事件は生成AI技術の「両刃の剣」的性質を如実に示しています。ChatGPTのような大規模言語モデルは、本来創造的で建設的な目的のために開発されましたが、悪意のある行為者によって武器化される可能性を秘めています。特に注目すべきは、AI企業が設けた安全対策を「プロンプトエンジニアリング」という手法で回避できる点です。これは、セキュリティ対策がイタチごっこの様相を呈していることを意味し、AI開発企業にとって根本的な課題となっています。今回の事例は、AI技術の民主化が進む中で、悪用防止策の重要性がますます高まっていることを警告しています。

標的となった韓国の研究者と人権活動家

Kimsuky集団の今回の攻撃は、主に北朝鮮関連の研究者、ジャーナリスト、人権活動家を標的としていました[2]。攻撃者は偽造した軍事身分証を添付したフィッシングメールを送信し、韓国の防衛機関からの正式な通信であるかのように装いました。受信者がメール内のリンクをクリックすると、デバイスからデータを抽出する能力を持つマルウェアが自動的にインストールされる仕組みでした。

この攻撃の範囲は韓国国内にとどまらず、日本や米国の組織も標的となっていたことが明らかになっています[3]。米国国土安全保障省は、Kimsuky集団を北朝鮮の偵察総局と関連する重要な情報収集部隊として特定しており、同集団が北朝鮮政権の世界規模での諜報活動を担っていると評価しています。攻撃の目的は、制裁回避や情報収集活動の支援にあると分析されています。

この標的選定パターンは、北朝鮮の戦略的意図を明確に示しています。研究者、ジャーナリスト、人権活動家は、北朝鮮の内部情報や政策動向に関する貴重な情報源となり得る存在です。特に人権活動家は、北朝鮮の人権状況を国際社会に告発する役割を担っているため、彼らの活動を監視し、妨害することは北朝鮮にとって重要な課題となっています。今回のサイバー攻撃は、物理的な国境を越えて影響力を行使する「デジタル長距離砲」とも言える手法で、従来の外交や軍事手段では困難な情報収集と威嚇を同時に実現しています。この手法の巧妙さは、国際社会が新たな形態の脅威に直面していることを示しています。

生成AI悪用の新たな脅威とセキュリティ対策の課題

今回の事件は、北朝鮮によるAI技術悪用の氷山の一角に過ぎません[3]。同集団は以前にも、Anthropic社のClaudeなどのAI ツールを使用して、米国のフォーチュン500企業への不正な遠隔雇用を目的とした偽の履歴書やポートフォリオを作成していたことが判明しています。これらの活動は、AI技術が単なる文書偽造を超えて、組織への潜入や長期的な諜報活動にまで応用されていることを示しています。

サイバーセキュリティ専門家らは、生成AI技術の悪用が今後さらに巧妙化し、従来の検知手法では対応が困難になる可能性を警告しています[4]。特に、ディープフェイク技術と組み合わされた場合、偽造文書の真偽判定は人間の目では不可能になる恐れがあります。この状況は、企業や政府機関に対して、AI技術の進歩に対応した新たなセキュリティ対策の導入を急務としています。

この問題の根深さは、技術的な対策だけでは解決できない点にあります。生成AI技術は本質的に「創造性」を模倣するものであり、その創造性が悪意のある目的に向けられた場合、従来の「パターン認識」に基づくセキュリティ対策では限界があります。例えば、スパムフィルターは既知のパターンを検知しますが、AIが生成する文書は毎回異なる特徴を持つため、検知が困難になります。この状況は、セキュリティ業界に「AI対AI」の軍拡競争を強いており、防御側も攻撃検知にAI技術を活用せざるを得なくなっています。しかし、最終的には人間の判断力と批判的思考が最後の防波堤となるため、組織全体のセキュリティ意識向上が不可欠です。

まとめ

北朝鮮のKimsuky集団によるChatGPTを悪用した軍事身分証偽造事件は、生成AI技術の悪用が新たな段階に入ったことを示す重要な事例です。この攻撃は技術的な巧妙さだけでなく、標的選定の戦略性においても従来のサイバー攻撃を上回る脅威となっています。国際社会は、AI技術の民主化がもたらす恩恵と同時に、その悪用リスクに対する包括的な対策を早急に構築する必要があります。