「オペレーション・ドリームジョブ」のゼロデイ攻撃が防衛・航空宇宙企業を直撃

見慣れた誘惑に潜む危険な新要素

求人詐欺やリクルーターを装ったフィッシングは目新しいものではないが、最新の「オペレーション・ドリームジョブ」の波は、攻撃者が偽の求人を本物に見せるためにどこまで手を尽くすかを示している。Check Point Research によると、2026年初頭から、長期にわたる「オペレーション・ドリームジョブ」キャンペーンに関与する脅威アクターが世界中の防衛セクターを標的にしており、特に航空宇宙・航空産業の企業に焦点を当てているという。このキャンペーンはこれまで北朝鮮の Lazarus グループに関連付けられてきた活動であり、今回の最新の波では、リクルーターを装ったおとりと Windows のゼロデイ脆弱性が組み合わされており、防衛関連の役職に就いていて一方的に届いた求人案内を受け取った人にとってはリスクが格段に高まっている。

このキャンペーンが注目に値するのは、標的としたセクターだけでなく、その背後にある高度な手口だ。単に人を騙して認証情報を渡させるだけではなく、攻撃者は標的がおとりに接触した後に、これまで知られていなかったソフトウェアの脆弱性を悪用して、より深いアクセスを得たと報告されている。ソーシャルエンジニアリング単独から、ゼロデイを組み合わせたソーシャルエンジニアリングへのこの移行は、研究者たちが今年に入って何度も警告してきた広範なパターンの一部であり、今週初めの Check Point ゼロデイ関連の記事 で取り上げたように、新旧の脆弱性が攻撃経路として絶えず再浮上している状況と一致する。

攻撃の展開

報告に基づくと、攻撃の連鎖は、セキュリティ研究者が認識可能なテクニックに分類するパターンをたどっている。すなわち、スピアフィッシングの添付ファイルを通じた初期アクセスと、ユーザーが悪意あるファイルを開いたり操作したりすることに依存する実行である。実際には、これは通常、標的が正当なリクルーターからの連絡に見えるメッセージを受け取り、多くの場合、実在の企業や役職が参照され、求人票、応募書類、評価タスクを装った添付ファイルが付いていることを意味する。ファイルを開くと、被害者のマシン上でコード実行が引き起こされ、その時点でゼロデイコンポーネントにより、通常は従来のマルウェアを捕捉するはずの保護機能を回避できる。

調査で際立っている詳細のひとつ：少なくとも1件の事例では、攻撃者が西ヨーロッパの侵害された組織を利用して、さらなるスピアフィッシングメールを送信し、被害者自身の信頼できるアイデンティティを効果的に追加攻撃の発射台へと変えた。これは重大なエスカレーションだ。標的が受け取るフィッシングメールは、明らかに不審なアドレスからではなく、すでにシステムが侵害されている実在の、以前は正当だった連絡先から届く可能性があることを意味する。この戦術は、最近のゼロデイインシデントにおける広範な傾向を反映しており、Cisco FMC ゼロデイ を悪用する攻撃者が、検知が追いつく前に信頼されたインフラの積極的な悪用を利用して手を広げたのと精神的に似ている。

防衛・航空宇宙が標的になる理由

この標的パターンは無作為ではない。防衛産業の請負業者や航空宇宙企業は、貴重な知的財産、政府契約情報、サプライチェーンへのアクセスを抱えており、国家が関与するスパイ活動にとって魅力的な標的となる。求人をテーマにしたおとりは、このセクターに対して特に有効だ。防衛や航空宇宙の企業は、専門性の高いエンジニア、アナリスト、技術スタッフを絶えず採用しており、そうした人材の多くはプロフェッショナル向けネットワーキングプラットフォームで活動し、リクルーターからの連絡を受け入れる。こうした通常の採用行動こそが、攻撃者が悪用する脆弱性となる。

ゼロデイの使用は、十分なリソースを持つ作戦であることも示唆している。ゼロデイ脆弱性は発見や取得にコストがかかり、通常は日和見的な広範な詐欺ではなく、価値の高い標的のために取っておかれる。ここに登場したことは、この「オペレーション・ドリームジョブ」の波が、一般的なサイバー犯罪ではなく、標的型スパイ活動であることを裏付けている。

あなたにとっての意味

もしあなたが防衛、航空宇宙、航空、またはその周辺分野で働いているなら、このキャンペーンは、たとえ見慣れた連絡先や組織からのように見えても、いつもと違うリクルーターからのメッセージのすべてが無害ではないことを改めて思い起こさせるものである。追加のフィッシングメールを送信するために、正当な西ヨーロッパの組織が侵害されたことは、既知の送信者、実在の企業名、プロフェッショナルな口調といった信頼のシグナルだけでは、もはや安全性の信頼できる指標にはならないことを示している。

個人レベルでは、これはプライバシーの問題でもある。攻撃者がゼロデイを通じて足場を得ると、業務ファイルだけでなく、侵害されたデバイス上の個人通信、認証情報、ブラウジング履歴など、はるかに多くの情報にアクセスできる可能性がある。機密性の高い業務情報を扱う人は、思いがけず届いた添付ファイルに対して、たとえ巧妙に作られたものであっても、より一層の警戒をもって接し、組織はエンドポイントの保護とパッチ適用プロセスが、既知の脅威の捕捉だけに依存しないようにすべきだ。

実践すべき対策

普段使っている求職プラットフォーム外で届いた場合は特に、添付ファイルを開いたりリンクをクリックしたりするよう求める一方的なリクルーターからの連絡には懐疑的になること。さらにやり取りを進める前に、リクルーターの身元を独自に確認すること。ゼロデイ対策は単一のパッチではなく、多層防御に依存することが多いため、オペレーティングシステムとセキュリティソフトウェアを最新の状態に保つこと。標的となるセクターで働いている場合は、不審な求人案件を自分だけで処理しようとせず、組織のセキュリティチームに報告すること。「オペレーション・ドリームジョブ」の最新の波は、日常的なプロフェッショナルのやり取りでさえ、高度で標的型の攻撃の侵入口になり得ることを浮き彫りにしており、警戒を怠らないことが依然として最も効果的な防御策の一つである。