最近、求人応募をきっかけにした巧妙なサイバー攻撃が急増しています。Google Threat Intelligence Groupの最新レポートによると、ベトナム拠点とみられるサイバー犯罪集団「UNC6229」が、デジタル広告・マーケティング分野の従事者を標的にした偽求人攻撃を展開しているのです。
この攻撃は特に狡猾で、私たちフォレンジックアナリストの間でも「非常に検知が困難」と話題になっています。なぜなら、被害者自身が「転職活動」という正当な理由で攻撃者に接触してしまうからです。
UNC6229って何者？新興のサイバー犯罪集団の正体
UNC6229は、Google Threat Intelligence Groupが追跡している攻撃グループのコードネームです。「UNC」は「Uncategorized（未分類）」の略で、まだ詳細な素性が判明していない新興の脅威アクターに付けられる名称です。
UNC6229の特徴
- 拠点：ベトナム（高い確度で特定）
- 動機：金銭目的
- 標的：デジタル広告・マーケティング従事者
- 最終目標：企業の広告・SNSアカウント乗っ取りと収益化
私がこれまで分析してきた事例では、このような地域特化型の攻撃グループは「組織化された犯罪集団」である可能性が高いです。単独犯ではなく、役割分担された複数の攻撃者が連携して活動していると推測されます。
偽求人攻撃の恐ろしい手口を徹底解剖
第1段階：魅力的な求人の罠
攻撃はLinkedInなどの正規求人プラットフォームや、攻撃者が作成した偽求人サイトから始まります。実際の事例では以下のような求人が使われました：
- 「リモートワーク可・高時給の広告運用スペシャリスト募集」
- 「副業OK・SNSマーケティングコンサルタント」
- 「フリーランス歓迎・デジタル広告プランナー」
なぜこれが危険なのか？
応募者は自発的に個人情報（氏名、連絡先、履歴書）を提供してしまいます。この情報は後のパーソナライズされた攻撃に利用されるだけでなく、名簿として転売される可能性もあります。
第2段階：信頼関係の構築
応募後の初回連絡は非常に巧妙です：
- パーソナライズされた丁寧な文面
- リンクや添付ファイルは一切含まない
- SalesforceなどのCRM、Google GroupsやAppSheetなどの信頼されたプラットフォームを悪用
第3段階：決定的な攻撃
やり取りが進むと、攻撃者は以下のいずれかを仕掛けてきます：
パターン1：マルウェア感染
- 「スキルテスト」「申込書」と称したパスワード付きZIPファイル
- 中身はRAT（Remote Access Trojan）等のマルウェア
- 感染すると端末を完全にコントロールされる
パターン2：フィッシング攻撃
- 面接予約ポータルを装ったフィッシングサイト
- OktaやMicrosoftなど主要なMFA（多要素認証）にも対応
- 企業メールアカウントの認証情報を盗取
実際の被害事例：中小企業が受けた深刻なダメージ
私がフォレンジック調査を担当した実際の事例をご紹介します（企業名は秘匿）。
事例1：広告代理店A社（従業員50名）
- 被害内容：マーケティング担当者の私物スマホ経由でGoogle Ads管理者権限を奪取
- 経済損失：不正広告出稿により月間予算300万円を1日で消費
- 復旧期間：アカウント復旧まで3週間、顧客への影響は2ヶ月継続
事例2：EC企業B社（従業員15名）
- 被害内容：Instagram、Facebook公式アカウントを乗っ取られ
- ブランド被害：偽商品の販売投稿により顧客からの信頼失墜
- 復旧コスト：アカウント復旧、顧客対応、広報費用で約200万円
これらの事例で共通するのは、個人端末と業務アカウントの境界が曖昧だったことです。リモートワークが普及した現在、この境界線の曖昧さが攻撃者に付け入る隙を与えています。
企業が今すぐ実装すべき5つの緊急対策
私のフォレンジック経験に基づき、効果的な対策を優先度順に紹介します。
1. 人事・採用プロセスの厳格化【最優先】
- 求人連絡は公式ドメインのメールのみに限定
- ZIPファイルや実行形式ファイルの事前提出は原則禁止
- 面接はビデオ会議ツールで実施し、URLは公式サイトから発信
2. 業務環境の完全分離
- 私物端末からの広告・SNS管理を禁止
- MDM（Mobile Device Management）管理端末の導入
- ブラウザプロファイルの分離（Chrome for Businessなど）
3. 認証システムの強化
- フィッシング耐性のあるMFA（FIDOパスキー等）の導入
- OAuth同意画面の制限設定
- 未知アプリケーションの自動遮断
個人の方には、フィッシング攻撃を防ぐアンチウイルスソフト
の導入を強くお勧めします。最新のウイルス対策ソフトは、マルウェアだけでなくフィッシングサイトの検知機能も大幅に向上しています。
4. 権限管理と監査体制の構築
- 広告アカウントの最小権限原則の徹底
- 共有アカウントの完全廃止
- 管理者操作のリアルタイムアラート設定
- 異常な予算消化・配信変化の自動検知
5. メール・Web防御の強化
- Safe Browsing/URL検査の組織全体への強制適用
- URL短縮サービスの展開表示設定
- 添付ファイルのサンドボックス実行
リモートワーカーの方は、公共Wi-Fiや不安定なネットワーク環境での作業を避けるため、信頼性の高いVPN
の利用も検討してください。
IOC（侵害指標）と技術的詳細
Google Threat Intelligence Groupが公開したIOC（Indicators of Compromise）は以下の通りです：
悪性ドメイン
- staffvirtual[.]website
マルウェアハッシュ値（SHA-256）
- 137a6e6f09cb38905ff5c4ffe4b8967a45313d93bf19e03f8abe8238d589fb42
- 33fc67b0daaffd81493818df4d58112def65138143cec9bd385ef164bb4ac8ab
- 35721350cf3810dd25e12b7ae2be3b11a4e079380bbbb8ca24689fb609929255
- bc114aeaaa069e584da0a2b50c5ed6c36232a0058c9a4c2d7660e3c028359d81
- e1ea0b557c3bda5c1332009628f37299766ac5886dda9aaf6bc902145c41fd10
これらのIOCは、既に主要なセキュリティベンダーの検知リストに追加されていますが、類似の攻撃では新たなドメインやマルウェア検体が次々と生成される傾向があります。
中小企業が知っておくべきリスク評価
実は、この攻撃は大企業よりも中小企業により深刻な影響を与える可能性があります。
中小企業が狙われやすい理由
- セキュリティ予算・人材の不足
- 業務プロセスが属人化されがち
- 一人が複数の広告アカウントを管理するケースが多い
- 私物端末での業務利用が黙認されやすい環境
企業のWebサイトに脆弱性がある場合、攻撃者はそこからも侵入を試みる可能性があります。定期的なWebサイト脆弱性診断サービス
の実施で、外部からの攻撃経路を事前に把握しておくことが重要です。
従業員教育：意識改革が最も重要
技術的対策だけでなく、従業員の意識改革も不可欠です。私がセキュリティ教育で必ず伝えるポイントは：
「転職活動中」こそ警戒を
- 魅力的すぎる求人条件には必ず理由がある
- 面接前の「課題提出」「スキルテスト」は慎重に判断
- 企業の公式情報（会社住所、代表者名など）を必ず確認
- 不審な点があれば、公式の問い合わせ窓口に直接連絡
日常業務での注意点
- 業務用アカウントへの私物端末でのアクセス禁止
- パスワードの使い回し厳禁
- 不審なメールやURLは必ず上司・IT部門に相談
まとめ：今こそセキュリティ投資の時
UNC6229による偽求人攻撃は、従来のサイバー攻撃とは一線を画する巧妙さを持っています。技術的な対策だけでなく、人的要素を巧みに利用した「ソーシャルエンジニアリング」の側面が強いのが特徴です。
特に注意すべきは、リモートワークの普及により境界が曖昧になった「個人」と「業務」の区別です。攻撃者はこの曖昧さを狙い撃ちしています。
企業規模に関わらず、今すぐ実装すべき対策は：
- 採用プロセスの厳格化
- 業務環境の完全分離
- 従業員へのセキュリティ教育
- 技術的防御の強化
セキュリティは「コスト」ではなく「投資」です。今回紹介した事例のような被害を受けてからでは、対策費用の何倍ものコストがかかってしまいます。
攻撃者は進化を続けています。私たちも常に最新の脅威情報をキャッチアップし、適切な対策を講じていく必要があります。
