チェック・ポイント・リサーチ（CPR）は2026年8月14日、北朝鮮の国家支援型とされる脅威グループLazarusが「ドリームジョブ作戦（Operation Dream Job）」の新たな攻撃を欧州やインド、南米で確認したと明らかにしました。Windowsのゼロデイ脆弱性CVE-2026-68820を悪用し、侵入後に端末を完全掌握してEDR（侵入検知・対処）を回避したとしています。
攻撃者は採用担当者になりすまし、LinkedInやメッセージアプリで防衛・航空宇宙分野の専門家に接触します。偽の求人を起点にスピアフィッシングを行い、悪意あるPDFの開封や、トロイの木馬化されたPDFビューア「SecurityPDF」の導入を誘導し、新たなバックドア「Troy」を展開します。Troyは17種類のオペレーターコマンドに対応するモジュール型だということです。
C2（指令・制御）通信には侵害済みの正規Webサイトやウェブメール（Roundcubeなど）、CMSが中継に使われ、少なくとも17台の侵害済みサーバーが転用されたとされます。侵害済み組織からフィッシングを送る事例も確認され、SEOで偽サイトを上位表示させるなど「正統性」を装う手口が目立つとしています。
CVE-2026-68820は2026年8月11日のPatch Tuesdayで修正されました。CPRは、パッチの即時適用に加え、検索結果に頼らず公式チャネルでソフトウェアを確認すること、正規サイトや取引先であってもゼロトラスト前提で検証する運用が重要だと指摘しており、今後も同様の偽求人を起点とした侵入が続く可能性があります。
【関連リンク】
詳細URL: https://blog.checkpoint.com/research/state-sponsored-hackers-use-fake-job-offers-to-deliver-new-zero-day-exploit
Check Point Research Blog: https://research.checkpoint.com
公式HP（日本語）: https://www.checkpoint.com/jp
