警察庁とFBI、北朝鮮系ハッカー集団が"偽求人"で暗号資産を窃取する手口を公表

警察庁と米連邦捜査局（FBI）などは9月18日、北朝鮮系ハッカー集団WaterPlum（別名"Contagious Interview"）が、採用担当者や暗号資産関連企業を装った偽の求人で開発者を誘い、プログラミングテストや共同開発を口実に悪性コードを実行させていると共同で明らかにした。 発表によると、同集団は2025年12月から2026年7月にかけて、100カ国超で3万台以上の端末に感染を広げ、7,000超の暗号資産ウォレットから資金移転やアカウント認証情報の窃取を実行。被害規模は少なくとも暗号資産1,071万米ドル相当とされる。従来の取引所や大手機関中心の攻撃から、個人の開発者、フリーランス、Web3関連人材へ標的を拡大した点が特徴とされる。 攻撃の起点として多いのはフィッシングメールではなく、正規に見える"高給"の求人だ。攻撃者はAI、暗号資産、NFT関連企業を名乗り、SNS、求人サイト、ギグプラットフォーム、フリーランスマーケットなどでソフトウェア開発者に接触。オンライン面接の設定やコーディングテストの依頼へ誘導する。 実害が生じるのは"技術課題"の段階で、候補者にコードリポジトリを送り、ローカルで実行して不具合修正や、ビデオ会議ソフトのトラブルシュートを求める手口が確認された。表向きは通常のJavaScript、Python、VS Codeプロジェクトだが、内部に悪性コードが仕込まれている。WaterPlumは悪性コード入りのNPM（Node.jsパッケージマネージャ）を多用し、BeaverTail、InvisibleFerret、OtterCookie、OtterCandy、StoatWaffleなど複数のマルウェア系統が関与した。 一部は.vscode/tasks.jsonの設定を悪用し、利用者がVS Codeでフォルダを開いて"信頼"すると自動でコードが実行される仕組みになっていたという。被害者側はダウンロード、プロジェクトを開く、指示どおり実行するだけで、背後で静かにマルウェアが導入される。 侵入後は遠隔操作型トロイの木馬（RAT）で端末の長期支配を確立し、情報窃取ツールでデータを収集。主な標的は、ブラウザ保存のアカウント・パスワード、クリップボード内容、キーボード入力記録やスクリーンショット、ウォレットの秘密鍵・リカバリーフレーズなど関連情報、PCや共有フォルダ内のファイル、運転免許証・パスポート等の身分証の写真とされ、最終的に攻撃者管理サーバーへ送信される。 ウォレット残高が当時ゼロでも、秘密鍵やニーモニックが漏えいしていれば、攻撃者はアドレスを継続監視し、入金があった時点で即座に移転できる。端末侵害の影響は個人資産にとどまらず、開発者が持つ企業のコードリポジトリ、クラウド、社内システムへのアクセス権を足掛かりに、機密情報の窃取、社内ネットワークでの横展開、恐喝に使える情報の確保につながる恐れがある。 発表では、WaterPlumが盗んだ身分証情報が別用途でも使われている点も指摘された。北朝鮮のIT要員が被害者になりすまし海外企業に応募して外貨を得るために、盗難身分情報が流用されるという。WaterPlumは偽求人でマルウェアを拡散し、北朝鮮IT要員は海外開発者を装って企業に入り込む構図で、両者は人員とインフラの一部が重なるとされた。 警察庁とFBIは、WaterPlumの構成員と一部の北朝鮮IT要員が、朝鮮労働党中央委員会軍需工業部傘下の"313局"に関係していると判断。企業側の本人確認や就業場所確認を回避するため、海外の協力者が自宅に業務用PCを設置し、身分情報を提供し、給与を受領する一方、実作業は北朝鮮やロシアなどからリモートで実施する"在外拠点"型の運用が確認された。日本や米国の現地回線と端末で社内システムにログインできるため、企業は国内勤務と誤認しやすい。 このモデルに関連し、日本当局が国内で同様の施設を把握したのは初めてとされた。捜査では、関係者が北朝鮮IT要員の身元偽装と就労を支援しただけでなく、暗号資産を含む数千万円規模の資金を海外へ移転していたことも判明した。 注意喚起では、北朝鮮IT要員に仕事を提供したり報酬を支払ったり、身分情報、銀行口座、遠隔利用端末などを提供・支援したりする行為が、各国の法令違反や対北朝鮮制裁への抵触となる可能性があるとした。企業リスクは賃金流出に限らず、賃金トラブルを契機に雇用主を恐喝し独自ソースコードを公開した例、サイト保守を請け負った人物が悪意ある改変でサイトを閲覧不能にした例も紹介された。 暗号資産企業が主要標的となっている点も示された。2025年5月、日本の暗号資産取引所がエンジニア職の応募を受けた事例では、応募者がVPN経由で求人を確認し、偽造した履歴書を提出。多数のプログラミング言語、ブロックチェーン技術、暗号資産システム、クラウドに精通するとし、各分野で10以上の関連スキル・経験を列挙していた。経歴には欧州の大学在籍や、短期間で欧州・アジア複数都市での就業が並んでいた。 ビデオ面接で応募者は"マレーシア生まれ、フィンランド在住"と説明し、母語はマレー語と中国語だと主張したが、英語力は学歴・職歴の説明と整合せず、基本的な質問にしか答えられず、履歴書記載の技術の多くを詳細に説明できなかったという。警察庁は、対面面接を拒む、暗号資産での支払いを求める、別画面を見る動作が多い、背後で他人の声が入る、映像・音声が頻繁に途切れるなど、他の疑い例で共通する面接上の特徴も整理した。別画面への視線は第三者の回答を読み上げている可能性があり、画面上は1人でも背後で複数人が協力してスキルを偽装している恐れがあるとしている。 端末感染が判明した場合、マルウェアを削除するだけでは不十分だと各機関は強調する。現時点で資産が移転されていなくても、秘密鍵やシードフレーズ、ブラウザ認証情報がすでに窃取され、攻撃者が動いていないだけの可能性がある。バックドアが残り、機会を待って送金を実行するケースも想定される。 対策として、暗号資産を保管する端末や機微情報を扱う環境で、見知らぬ相手から渡されたコードを直接実行しないことが推奨された。検証が必要な場合は日常環境から隔離したサンドボックスや仮想マシンを用い、実行前に難読化されたコード、判読困難なコード、自動ダウンロードを行うコードの有無を確認する。curl、base64、mshta、InvokeWebRequestなど、ダウンロードやエンコード、実行の秘匿に使われやすいコマンドを含むスクリプトは目的を理解できない限り実行しないよう求めた。 ウイルス対策ソフトが感染を検知した場合や、疑わしい雇用主から提供されたプログラムを過去に実行した心当たりがある場合は、直ちにネットワークから切断することが望ましい。マルウェアを除去できたとしてもウォレット情報の漏えいを前提に、新しい安全な端末で新規ウォレットを作成し、資産を移転し、新しいニーモニックはオフラインで保管するべきだとした。感染端末に未発見のバックドアが残る可能性があるため、必要データをバックアップした上で、OSを完全に再インストールまたは初期化する対応が最も安全とされる。