警察庁と国家サイバー統括室は9月18日、米連邦捜査局（FBI）、米国防総省サイバー犯罪センター、オーストラリア通信情報局のサイバーセキュリティセンター、ドイツ連邦情報庁および連邦憲法擁護庁と共同で、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum（ウォータープラム）」の攻撃手口と、北朝鮮IT労働者の活動実態を公表した。警察庁とFBIは、両者がいずれも朝鮮労働党中央委員会軍需工業部の313総局の指揮下で動いていると評価している。

複数の国が足並みをそろえて攻撃者の正体を名指しする「パブリック・アトリビューション」という手法で、犯行を国家に結び付けて公表することで抑止を図る。日本では2024年3月に北朝鮮IT労働者への注意喚起が初めて出され、昨年8月には米韓などとの共同声明、今年7月31日には警察庁・国家サイバー統括室・外務省・財務省・経済産業省の5機関が連名で企業向けの注意喚起を出している。今回はそこに、国内での摘発という実例が加わった。

「面接の課題」を装ってウイルスを踏ませる

WaterPlumは、人材紹介会社や人工知能（AI）企業、暗号資産企業などになりすまし、ヘッドハンティングを装って世界中のソフトウェア開発者に好条件の求人を持ちかける。応募者には技術的なオンライン面接やコーディング課題を求め、その過程で「ビデオ会議システムの不具合を直してほしい」などと指示して、不正なプログラムをダウンロードさせる。別名の「Contagious Interview（伝染する面接）」は、この入り口の手口に由来する。

仕込み先に使われたのが、JavaScript向けのプログラム部品を配る仕組み「NPM」だ。開発者が日常的に取り込む部品の中に、BeaverTail、InvisibleFerret、OtterCookieといったウイルスを埋め込んでおく。感染した端末には遠隔操作の裏口が設けられ、ブラウザに保存した会員証やパスワード、キーボードで打った文字の記録、暗号資産ウォレットの秘密鍵、運転免許証やパスポートの画像までが抜き取られる。盗んだ身分証の画像は、北朝鮮IT労働者が別人になりすますためにも使われ得る。

警察庁によると、感染は2025年12月頃から2026年7月にかけて広がり、日本を含む100以上の国と地域で3万台以上に及んだ。主に狙われたのはWeb関係のデザイナーやエンジニア、ブロックチェーン分野の技術者だ。7千件を超えるウォレット情報が盗まれ、グループが管理するウォレットには少なくとも約17億円相当（約1071万ドル、1ドル159円換算）が送金されていた。

協力者の自宅に置かれたパソコン

国内で初めて解体されたのが「ラップトップ・ファーム」と呼ばれる拠点である。北朝鮮のIT労働者が、日本に住む協力者の自宅にパソコンを置かせ、これを海外から遠隔操作して、あたかも日本国内から働いているように装う手口だ。協力者は身分証の画像を提供し、その名義で仕事を受注させ、報酬の振込先として自分の銀行口座を差し出していた。関連捜査で判明した分を含め、暗号資産など数億円相当が海外へ送金されている。実際に作業していたのは北朝鮮国内のほか、中国やロシアに拠点を置く者で、一部はアフリカや東南アジアにも住んでいた。

外注する企業の側も無関係ではいられない。警察庁は、北朝鮮IT労働者に発注して報酬を支払ったり、外貨獲得を手助けしたりした場合、国内法令や対北朝鮮制裁への違反を問われるおそれがあると明記した。報酬トラブルの末に、担当していたプログラムの設計図がインターネット上に公開された事例や、関わったWebサイトが後に改ざんされた事例も把握されている。

取引所の面接で見抜かれた不審点

採用の現場で実際に見抜かれた例も公表された。2025年5月、暗号資産交換業者のbitFlyer（ビットフライヤー）のエンジニア職に、仲介会社を通さない直接応募があった。履歴書は別人になりすましたもので、連絡先はフリーメール、応募フォームへの接続には海外の匿名化サービスが使われていた。職務経歴書には、プログラミング言語やクラウドサービスなどそれぞれ10種類以上の経験が並び、欧州の大学を出た後に世界各地で働いた経歴が書かれていた。

同社が疑いを持ってオンライン面接に臨むと、応募者はマレーシア出身でフィンランド在住と説明したが、英会話の水準は経歴に見合わず、専門的な質問には抽象的な答えに終始した。日本への転居を拒み、暗号資産での給与支払いに固執し、しきりに別のモニターを見て画面を読み上げるような様子もあった。背後で別人の話し声が聞こえ、映像は時折途切れた。同社が不審点に気づいて対応したため、採用にも被害にも至っていない。この応募者が使った接続元の記録は、WaterPlumの攻撃者やラップトップ・ファームの接続元と一致した。

警察庁は、仕事で使うパソコンで第三者が用意したプログラムをむやみに実行せず、仮想マシンなど隔離した環境で動かすよう求めている。感染が疑われる場合は通信を遮断したうえで、駆除できたとしても既に情報が抜かれた前提で新しいウォレットに資産を移し、パソコンは初期化するのが望ましいとした。注意喚起の作成にはNTTセキュリティ・ジャパンとbitFlyerが協力している。