• 感染端末3万台超、被害ウォレットは7,000超に
  • 日本国内初、ラップトップファーム摘発の事例も判明

求人偽装でIT技術者を狙う手口

警察庁と国家サイバー統括室、米連邦捜査局（FBI）、米国防総省サイバー犯罪センター（DC3）、オーストラリア信号局（ASD）傘下のオーストラリア・サイバーセキュリティセンター（ACSC）、ドイツ連邦情報局（BND）、ドイツ連邦憲法擁護庁（BfV）の7機関は18日、北朝鮮系サイバー攻撃グループ「WaterPlum」（通称「Contagious Interview」）による仮想通貨窃取の実態を共同で公表した。

同グループは2025年12月から2026年7月にかけて、日本や米国を含む100か国以上で3万台超のデバイスに感染し、7,000超のウォレットから資金や認証情報を窃取。北朝鮮向けに移転された仮想通貨は累計17億円（1,071万ドル）相当に上るという。

警察庁とFBIは、WaterPlumのサイバー攻撃者と一部の北朝鮮ITワーカーが、朝鮮労働党中央委員会傘下の軍需工業部第313総局のもとで活動しているとみている。

米WIRED誌が独自入手した内部証拠によると、研究者が北朝鮮ハッカー集団のサーバーに22カ月潜入し、コインベースなど世界1640社の被害を確認した。標的は仮想通貨の鍵やウォレットに集中していたという。

偽の技術面接でマルウェア実行

WaterPlumはAI・仮想通貨・NFT関連企業の採用担当者を装い、SNSや求人プラットフォーム、フリーランス向けサービスを通じてソフトウェア開発者やITエンジニアに接触する。オンラインの技術面接や実技課題を装い、被害者に不正なコードのダウンロードと実行を促す手口が中心だ。

攻撃にはNode Package Manager（NPM）向けの不正パッケージが使われ、BeaverTail・InvisibleFerret・OtterCookie・OtterCandy・StoatWaffleといったマルウェアが組み込まれている。感染後はリモートアクセス型トロイの木馬（RAT）で接続を維持し、ウォレットの秘密鍵やシードフレーズ、ブラウザに保存された認証情報を外部のコマンド＆コントロール（C2）サーバーへ送信する。

国内で確認された具体的な手口

北朝鮮ITワーカーは、国内外の協力者（イネイブラー）の自宅などにパソコンを設置し遠隔操作する「ラップトップファーム」を運用し、クラウドソーシング経由で契約を獲得しているという。

今回、日本国内でイネイブラーが運営するラップトップファームが初めて特定・摘発され、数億円規模の仮想通貨が国外へ送金されていたことが判明した。

国内の仮想通貨取引所も標的となった。資料によると、2025年5月に国内取引所のエンジニア職へ北朝鮮ITワーカーとみられる人物が偽の経歴書で応募していた。面接での受け答えが経歴と不釣り合いだったことなどから同社は採用を見送り、実害はなかったという。

対策、不審コードは実行しない

当局は、信頼できない第三者から提供されたコードをサンドボックスや仮想環境以外で実行しないよう呼びかけている。感染が疑われる端末は速やかにネットワークから切り離し、ウォレット情報の漏えいが疑われる場合は別端末で新規ウォレットを作成したうえで資産を移し、シードフレーズはオフラインで保管するよう推奨している。

企業向けにはEDR（エンドポイント検知・対応）ツールの導入を求めるほか、未知のVSCodeプロジェクトを開く際は「制限モード」を使い、tasks.jsonの自動実行を防ぐことも呼びかけている。

関連記事：秘密鍵（プライベートキー）とは？シードフレーズとの違い・安全な管理方法を解説

秘密鍵（プライベートキー）とは、ブロックチェーン上の資産を動かすためのデジタル実印です。シードフレーズとの違い、漏洩・紛失時のリスク、ウォレットでの確認手順まで初心者向けにわかりやすく解説します。