警察庁は18日、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum（ウォータープラム）」による攻撃手口と、北朝鮮IT労働者の活動実態に関する注意喚起を公表した。国家サイバー統括室（NCO）、米連邦捜査局（FBI）、米国防総省サイバー犯罪センター（DC3）、豪サイバーセキュリティセンター（ACSC）、独連邦情報庁（BND）、独連邦憲法擁護庁（BfV）との共同公表で、標的はIT技術者、主な目的は暗号資産（仮想通貨）の窃取だとしている。
ウォレット情報7千件、管理ウォレットに17億円
警察庁が把握した被害の規模は次のとおりだ。
| 項目 | 内容 |
|---|---|
| 期間 | 2025年12月頃〜2026年7月 |
| 感染端末 | 100以上の国と地域で3万台以上 |
| 窃取されたウォレット情報 | 7千件以上 |
| 管理ウォレットへの送金額 | 少なくとも約17億円相当 |
17億円はWaterPlumが管理するウォレットに送金された累計額であり、日本国内の被害額ではない。ウォレット情報7千件の窃取とは別の数字として示されている。
主な標的はWeb関係のデザイナーやエンジニアのほか、暗号資産、ブロックチェーン、Web3分野の技術者とみられるという。個人のウォレットが狙われる傾向は以前から指摘されており、2025年には個人ウォレットの侵害が15万8,000件と2022年の3倍に増えていた。警察庁とFBIは、WaterPlumと一部の北朝鮮IT労働者が朝鮮労働党（WPK）中央委員会軍需工業部313総局の指揮下で運用されていると評価している。
コーディング課題からシードフレーズを抜く
入口は求人だ。
WaterPlumはヘッドハンティングを装い、正規のAI企業、暗号資産企業、NFT企業、人材紹介サービスになりすまして、ソーシャルメディアやオンライン求人サイト、ギグワークプラットフォーム、フリーランスマーケットプレイスで技術者に接触する。採用の過程で、オンライン面接への参加やコーディング課題の完了を求めるのが特徴だ。
その際、共同開発プラットフォームやコードリポジトリに置かれた不正なプログラムをダウンロードさせ、ビデオ会議ツールの不具合を診断・修正するよう指示したり、課題を完成させるよう求めたりする。悪意あるNPMパッケージには、BeaverTail、InvisibleFerret、OtterCookie、OtterCandy、StoatWaffleといったマルウェアが埋め込まれている。
StoatWaffleはVS Codeのプロジェクトを経由して配布される。ブロックチェーンをテーマにしたリポジトリを囮に使い、フォルダが開かれて信頼された時点で自動実行されるコードを設定ファイルに埋め込む手口だ。
感染後に狙われるデータとして、警察庁は暗号資産ウォレットの秘密鍵とシードフレーズを明記している。あわせてブラウザに保存された認証情報、クリップボードの内容、キー入力ログ、スクリーンショット、運転免許証やパスポートの画像も対象に挙げた。
窃取された認証情報は、被害者の勤務先ネットワークへの侵入にも使われる。身分証画像は、北朝鮮IT労働者が外貨獲得のために被害者になりすます用途にも転用され得るという。
bitFlyerへの応募で見えた偽装の特徴
今回の公表では、国内の暗号資産取引所が標的になった事例が実名で示された。
暗号資産企業の採用が狙われること自体は新しくない。米セキュリティ企業の専門家は2025年11月、暗号資産企業が受け取る求人応募の30〜40％が北朝鮮の工作員によるものと推定されると指摘していた。今回は、その応募が国内でどう現れたかが具体的に示された形になる。
2025年5月、bitFlyer（ビットフライヤー）のエンジニア職に応募があった。応募者は北朝鮮IT労働者とみられ、別人になりすました履歴書を採用フォームに添付し、仲介事業者を介さず直接応募していた。連絡先にはGmailが使われ、フォームへのアクセスにはNETNUT Proxy、Astrill VPN、High Speed Rabbit Proxyの3種のVPNが使用されていた。
職務経歴書には共通の特徴があったとされる。プログラミング言語、ブロックチェーン、クラウドサービスなどで、それぞれ10種類以上の知見と経験を挙げていること。欧州の大学を卒業した後、欧州やアジアなど世界各地の都市での職歴が並ぶこと。
同社は北朝鮮IT労働者である可能性を考慮した上でオンライン面接を実施した。応募者はマレーシア出身でフィンランド在住と説明し、母国語はマレー語と中国語だと答えている。面接は英語で行われたが、英会話のレベルは学歴や職歴と比べて高いとは言えず、経歴書のスキルに関する質問には抽象的な回答に終始したり、ごまかしたりする場面もみられた。
面接中に確認された特徴として、警察庁は次の点を挙げている。
- 日本への引っ越し（出社）を拒否するか、「半年先なら」と回答する
- 暗号資産での給与支払いに固執する
- しきりに別モニターを確認し、画面内容を読み上げているような様子がある
- 時折、背後で他人の話し声が聞こえる
- 映像が途切れる、コマ送りになる
同社は不審点に気づいて対応したため、採用や被害には至っていない。bitFlyerは今回の注意喚起の公表にあたり、NTTセキュリティ・ジャパンとともに謝辞に記載されている。
この応募者が使用したIPアドレスは、WaterPlumの攻撃者が使っていたIPアドレス、および北朝鮮IT労働者がラップトップ・ファームやクラウドソーシングサービスへ接続する際に使っていたIPアドレスと一致した。サイバー攻撃と偽装就労が同じインフラを共有している根拠になる。
国内初のラップトップ・ファームを解体
警察庁は、支援者の居宅に設置され北朝鮮IT労働者が遠隔操作するPC、いわゆるラップトップ・ファームを国内で初めて把握し、捜査・解体したと発表した。北朝鮮IT労働者は関連捜査で判明した分を含め、暗号資産などで数億円相当を海外へ送金していた。
支援者から提供された身分証画像を悪用して業務を受注したり、支援者の銀行口座を報酬の振込先に指定したりする手口が確認されている。作業者は北朝鮮国内のほか、中国やロシアに拠点を持ち、少数はアフリカや東南アジアにも居住しているという。
警察庁は、北朝鮮IT労働者に業務を発注して報酬を支払った場合、または外貨獲得の幇助行為を行った場合、国内法令や対北朝鮮制裁の違反に問われるおそれがあるとしている。
検知しても安心せず、ウォレットを作り直す
対策として警察庁が挙げた内容のうち、暗号資産の保有者に直接関わるのは次の点だ。
業務用PCや暗号資産・個人情報を扱うPCで、第三者が関与したコードをむやみに実行しない。実行する場合は仮想マシンなどのサンドボックス内にとどめ、事前に難読化された部分や動作を理解できない内容が含まれていないかを確認する。
感染が疑われる場合は、Wi-Fiの切断やLANケーブルを抜くなどして直ちに外部との通信を遮断する。
踏み込んでいるのはこの先だ。警察庁は、ウイルス対策ソフトが検知・駆除したからといって安心しないよう求めている。検知前に暗号資産を含む情報がすでに窃取された可能性を考慮し、速やかに別のPCなどから新たなウォレットを作成して、すべての資産を送金して退避させるべきだとしている。新たなウォレットのシードフレーズは印刷するか紙に書き写し、PC内に保管しないことも推奨した。
検知できていない別のマルウェアが潜伏している可能性があるため、必要なデータをバックアップした上でPCの初期化も勧めている。
VS Codeについては、自身が関与していないプロジェクトを開くよう依頼された場合、必ず制限モードで開くよう呼びかけた。フォルダを開く際に作成者を信頼するか確認する警告が表示されるので、「いいえ」を選べば制限モードになる。
警察庁は、今回示した手口は一例であり、今後も手法が変化・巧妙化する可能性があるとしている。
関連：仮想通貨企業の2割に北朝鮮工作員か──「金正恩の悪口言わせてみろ」専門家が警告
関連：北朝鮮ハッカーの仮想通貨盗難額が過去最悪の3,143億円──巧妙化する手口
関連：SBI子会社、暗号資産31億円のハッキング被害か──北朝鮮ハッカー集団ラザルス関与の可能性
