バイナンス、1兆円流出の侵入口は「偽の採用面接」。AIツールも悪用

暗号資産取引所のバイナンスから約1兆円相当が流出した件で、攻撃者が内部に入り込むきっかけは「偽の採用面接」だったと、ASCII.jpが報じた。見出しによると、一連の攻撃ではAIツールも悪用されたという。

今回確認できたのは見出しとURLの範囲である。攻撃者が誰なのか、面接を装ってどのように端末や認証情報を手に入れたのか、AIツールが具体的に何に使われたのか、流出した資産の内訳や補償の状況は、材料からは分からない。

一般に「偽の採用面接」を使った手口では、攻撃者が採用担当者を装って標的に接触し、選考の課題や面接用のツールと称して不正なプログラムを実行させることが知られている。開発者やエンジニアは、技術課題としてコードを受け取って動かすことに抵抗が少ないため、狙われやすいとされる。AIツールについては、偽の人物像や文面をそれらしく作ったり、やりとりを自然に見せたりする用途に使われた可能性があるとみられるが、今回の材料からは確認できない。

意味合いとしては、システムそのものの脆弱性ではなく、人を入り口にした攻撃で巨額の被害が生じた事例といえる。AIによって偽装の精度が上がれば、従業員が見破ることはさらに難しくなる。採用や転職の場面のように、業務の外側で起きる接触にも目を配る必要がある。