報告書ID
CTI-2026-0726-DPRK-BANK-HACKERS|発行日2026-07-26 |分類TLP:GREEN|重大度 MEDIUM
著者 Dennis Kim (HoKwang Kim) | [email protected] | @gameworkerkim
注意本報告は Daily NK の匿名情報源に基づく公開報道を再構成した OSINT ブリーフであり、独立検証されていない。
はじめに
北朝鮮が暗号資産や韓日などを標的に、収益・混乱目的のハッキング作戦を展開してきたことは周知の事実である。その「矛」が主人を刺したという報道が出た。政権が育成した精鋭ハッカーが自国の中央銀行と貿易銀行をハッキングして資金を奪い、当局が逮捕したという内容だ。サイバー安保・制裁・内部統制の観点から経緯を整理する。
1. 事案概要 — 誰が、何を、どうしたか
2026年7月12日、平壌の潜伏先で国家保衛機関が緊急逮捕を行ったとされる。拘束対象は政権が育成した精鋭ハッカー集団と報じられた。
韓国メディア Daily NKが平壌の匿名情報源を引用したところによると、彼らは朝鮮民主主義人民共和国中央銀行と貿易銀行 の内部ネットワークに侵入した。両機関はそれぞれ国家資金の発行・管理と、外貨・貿易決済を担う金融システムの中核である。
組織の中核は 軍事サイバー情報部隊出身の元軍人とされ、金策工業総合大学と平壌科学技術大学（PUST） の優秀な IT 人材を取り込み拡大したという。軍事級のハッキング技術、Telegram などの暗号化メッセンジャー、中国製無線機器などの使用が報じられている。
資金洗浄経路 — 中国ブローカーと国境現金
奪取資金は海外の暗号資産ウォレットへ送金された後、中国ブローカー経由でドル・人民元に現金化され、新義州・恵山 などの国境都市の連絡員を通じて再び北朝鮮へ密輸されたという。少額分割送金、暗号化メッセンジャー、未登録携帯などの回避手法も言及される。
2. どう発覚したか — 「不一致」の痕跡
当局が 外貨決済承認過程の不一致と不審な海外IPアクセス記録 を捕捉したという説明である。外部ハッキング圧力を意識し、オンラインデータに加え手書き検証の監査を併用する文脈が示される。暗号化された暗号資産関連トラフィックを追跡して平壌の潜伏先を特定し、現場では数十万ドル相当の機材と偽名義携帯が押収されたとされる。
事件直後、両銀行に武装警備を配置し、平壌全域に無線傍受車両を投入するなどの非常態勢に入ったという後続記述がある。
3. 文脈 — 「20億ドル」の誤解と内部崩壊のシグナル
一部見出しの 「20億ドル窃取ハッカー」表現は、本件単一事件の被害額ではない。Chainalysisによると2025年の北朝鮮関連ハッカーによる世界の暗号資産窃取総額は約20億ドルであり、TRM Labsは2026年4月時点で北朝鮮関連行為者が世界の暗号資産ハッキング・詐欺被害の約76%を占めると推定した。本件の奪取規模は未確認である。
それでも含意は大きい。Kimsuky・Lazarus など海外標的（Ronin 約6.2億ドル、Harmony 約1億ドルなど）に集中してきたパターンと異なり、政権が訓練した要員が自国金庫を襲った という叙述は内部統制の亀裂を示唆する。
Daily NK 引用情報源：
「彼らは国家を守るために技術を学んだが、国庫を略奪した。」
厳しい量刑が予想される理由である。
4. 限界と示唆 — 未検証の単報、それでも意味ある信号
本報道は Daily NK の匿名情報源に依存し、独立検証されていない。情報統制下の内部確認は常に困難だ。ただし7月12日頃から約1週間、北朝鮮のインターネット利用が部分的に遮断され、北朝鮮発ハッキング試行が急減したという観測が併記されれば、副次シグナルとして見る余地はある。
世界で最も活動的な国家ハッキング勢力の「アキレス腱」が内部にある可能性を問う。矛が主人を向け始めたなら、体制内部の亀裂を測るバロメーターとなる。