SlowMistは2026年7月29日、Web3従事者を標的とした偽採用キャンペーンを報告した。攻撃者は「Relay」と称するソフトウェアを配布し、ユーザーのOSパスワードやブラウザデータを窃取するマルウェアを送信している。
発表の内容
SlowMistは、Web3業界の専門職を対象にした偽採用キャンペーンを検知したと発表した。攻撃者は採用担当者を装い、面接の次の段階として「Relay」というAI会議・コラボレーションプラットフォームのインストールを促す。このソフトウェアを配布するサイト「relay.lc」は、リアルタイム文字起こしやAI要約などの機能を持つ正規アプリのように見せかけている。
しかし、ダウンロードされたmacOSおよびWindows用のインストーラーには不正なコードが含まれていた。macOS版では、Finderで非表示となるディレクトリに実行ファイルが格納され、ユーザーの操作によりシステムセキュリティ警告を解除するスクリプトが実行される。Windows版でも、更新プログレスバーの演出後に管理者権限を持つ別のプログラムが起動する仕組みだった。
これまでとの違い
今回の手口は、Web3業界特有のツールやサービスを装っている点に特徴がある。マルウェアはMetaMaskやPhantomなどの暗号資産ウォレット拡張機能、1Passwordなどのパスワードマネージャー、さらにTelegram Desktopのセッションデータも収集対象としている。正規の面接プロセスを装うことで、ユーザーがセキュリティ警告を無視してインストールを進めるよう仕向けている。
実務への影響
SlowMistが開発する脅威インテリジェンスシステム「MistEye」は、該当サイト「relay.lc」を高リスクとしてフラグを立てた。Web3従事者は、未知のソフトウェアをインストールする前に、採用担当者の真正性を確認し、公式サイトからのダウンロードかどうかなどを確認する必要がある。このマルウェアにより、OSパスワードやブラウザの保存データ、暗号資産ウォレットの情報が窃取される危険性がある。
残る論点
記事では、Windows版インストーラーにおけるメッセージとコマンドの実行パスについて「完全に再構築されていない」と記述されている。また、攻撃者の最終的な目的や、窃取されたデータの具体的な利用方法については言及がない。