バイナンスのハッキングは業務用ノートPCでの偽の採用面接から始まった：63.4億ドルの被害と、会社の端末を守る 6 つのルール

社員が業務用PCで転職先を探したり、新しいソフトを試したりしているなら、それはまさに暗号資産史上最大の盗難がたどった道です。2026年11月3日、バイナンスは初期調査の結果を公表しました。10月29日に約63.4億ドルに影響した攻撃は、あるエンジニアに対する二回の偽の採用面接から始まり、彼が業務用ノートPCにダウンロードしたコーディングテストで完結しました。御社への実務的な教訓は、業務用端末に外部の採用担当者のファイルを置かない、承認済み一覧にないソフトを入れない、業務に必要以上の権限を与えない、の三点です。10月31日にはあなたの署名なしに会社のお金を動かせるのは誰かを取り上げましたが、本記事は攻撃者が入ってきた扉についてです。

何が、どの順番で起きたのか？

バイナンスによる初期調査の説明では、攻撃は四つの段階を経ました。

• 2026年6月：ウォレットチームのエンジニアが AI コーディングツールを探していて、マルウェア入りの改ざんされた Homebrew インストーラーをダウンロードしました。セキュリティチームが検知し、端末を交換して認証情報を更新しましたが、本人とチームメンバーに関する情報はすでに漏れていました。
• 2026年9月：プロジェクトディレクターを名乗る人物が求人プラットフォーム経由で別のエンジニアに接触し、二回の面接を行いました。一回目は人事担当者を名乗る人物とのビデオ面接、二回目は架空の会社の CEO を名乗る人物との面接です。二回目の面接で業務用PCにコーディング課題をダウンロードするよう求められ、悪意あるコードがセットアップ中に実行されましたが、エンドポイント対策ツールは検知しませんでした。
• 2026年10月20日：攻撃者は侵害したPCとバイナンス社内の AI ツールを足がかりに、さらに二人のエンジニアのPCを乗っ取りました。
• 2026年10月29日：UTC 17:15 から 19:56 の間に、攻撃者は一人目のエンジニアから盗んだ認証情報で三人目のPCにアクセスし、コンテナを展開して悪意あるスクリプトを実行しました。ホットウォレットからの送金は 20:05 から 20:09 の間に行われました。

バイナンスによると、約28.5億ドルが凍結または差し止められ、10月31日時点で影響を受けた資産の98%を補填し、2026年中に北朝鮮関連とみられる57件の脅威を検知して阻止していました。つまり、何十回もの試みを退けた末に、一度で崩されたのです。

偽の面接はなぜ成功したのか？

フィッシングメールとはまったく見た目が違うからです。社員は見知らぬ送信者の怪しいリンクをクリックしたわけではなく、本物らしく見える採用プロセスに入りました。有名なプラットフォーム、ビデオ面接、信頼を得るために個人アカウントの投稿を共有する人事担当者、そして CEO。プロジェクトをダウンロードして動かすのは開発者向けテストではよくあることなので、依頼は目立ちませんでした。

この手口は新しいものではありません。TechCrunch によれば、CrowdStrike の報告書は昨年の米国テック企業への侵入の約半数を、リモートIT人材や採用担当者になりすました北朝鮮関係者によるものとしています。標的は暗号資産取引所だけでなく、システムやお金にアクセスできるすべての人です。

もう一つの穴：検索結果からダウンロードしたソフト

話は面接から始まったわけではありません。その三か月前、別のエンジニアが AI ツールを探す中で改ざんされたソフトをインストールしていました。これは多くの会社で毎日起きていることです。社員が新しいツールの話を聞き、検索し、最初の結果をクリックして、管理者権限でインストールする。より重要な教訓は、バイナンスが端末を交換しパスワードを変えても、すでに漏れていたチームの情報は攻撃者の手元に残り、数か月後に使われたという点です。

今週、社員の端末に適用する 6 つのルール

• 業務用端末で外部の採用ファイルを開かない：外部から送られたテスト、プロジェクト、ファイルはすべて、社内システムにアクセスできない別のマシンで開きます。TechTarget が引用した専門家の助言と同じで、面接用のコードは本番環境に近いマシンから遠ざけます。
• 承認済み一覧のソフトだけを使う：社員のローカル管理者権限を外し、インストールは IT 担当者を通じて開発元の公式サイトから行います。検索結果の広告からは入れません。
• 最小権限：送金や機密システムの変更ができる人は、専用のアカウントと専用の端末で作業し、普段ネットを閲覧したりツールを試したりする端末では行いません。
• 社内 AI ツールの権限を絞る：バイナンスでは社内の AI ツールが端末間の橋渡しになりました。社員の端末や自社システムに届くツールには、狭い権限と、すべての操作の記録が必要です。
• 検知はインシデントの終わりではない：端末が侵害されたら、交換するだけでは不十分です。中身は漏れたと考え、その端末とチームに関わるすべてのパスワード、鍵、トークンを更新し、同僚のアカウントも監視します。
• 求人を装ったフィッシングについて教育する：ファイルのダウンロードやコードの実行を求める魅力的な求人は危険信号であり、業務用端末での転職活動は会社全体を危険にさらします。リモートで採用する場合は、アクセス権を与える前に候補者の本人確認を行います。

基本サイバーセキュリティ管理策は何を求めているか？

サウジアラビア国家サイバーセキュリティ庁（NCA）の基本サイバーセキュリティ管理策 ECC-2:2024 は、政府機関と、重要国家インフラを所有、運用、またはホストする組織に義務付けられており、NCA はそれ以外のすべての組織にも活用を強く推奨しています。そのうち三つがこの事件に直接当てはまります。

• 管理策 1-10-3：意識向上プログラムは、メールとフィッシングの安全な取り扱い、安全なインターネット閲覧、ソーシャルメディアの安全な利用を対象とします。
• 管理策 2-2-3-3：知る必要性と使う必要性の原則、最小権限の原則、職務分離の原則に基づく権限付与。
• 管理策 2-3-3-1：最新の技術によるワークステーションとサーバーのウイルス、不審なプログラム、マルウェアからの保護。

Origami の見方

サウジの企業でも、バイナンスを倒したのと同じパターンが見られます。社員が仕事、ネット閲覧、転職先探し、新しいツールの試用をすべて一台の端末で行い、楽だからという理由でフル管理者権限を持っている状態です。社員自身がファイルを実行してくれるなら、攻撃者に高度な脆弱性は必要ありません。

解決策は、社員が学んだり AI ツールを試したりするのを禁じることではなく、お金やデータに届かない環境で試してもらうことです。私たちはお客様のシステムを構築する際、最初から日常用アカウントと特権アカウントを分け、特権アカウントへのすべてのアクセスを記録しています。

まとめ

63.4億ドルの侵害は、サーバーの脆弱性ではなく、採用面接と検索からダウンロードしたアプリから始まりました。今週、IT 担当者と一時間を確保してください。社員のローカル管理者権限を外し、承認済みソフトの一覧を作り、機密アクセスを持つ端末を分け、採用担当者からのファイルは業務用端末で開かないとチームに伝えましょう。システムの権限を見直したい場合は、お問い合わせいただくか、サービスをご覧ください。

出典

• Binance — Security incident investigation update、2026年11月3日：6月、9月、10月20日、10月29日の経緯、2回の面接、凍結額と補填額、57 件の脅威。
• 国家サイバーセキュリティ庁（NCA）— Essential Cybersecurity Controls ECC-2:2024：適用範囲と管理策 1-10-3、2-2-3-3 および 2-3-3-1。
• TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist、2026年11月3日：CrowdStrike の数字と過去の警告。
• TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach、2026年11月3日：開発者の端末に関する専門家の助言。
• Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion、2026年11月：FBI による北朝鮮への帰属。