この記事の要点
- 日米豪独4カ国が北朝鮮サイバー集団の攻撃手口を合同公表
- 暗号資産17億円窃取、国内初の偽装拠点も解体
4カ国合同で北朝鮮サイバー集団の実態公表
警察庁は2026年9月18日、北朝鮮系のサイバー攻撃グループ「WaterPlum（ウォータープラム）」の攻撃手口と、北朝鮮IT労働者による外貨獲得活動の実態を公表しました。
警察庁によると、ウォータープラムは日本を含む100以上の国と地域で3万台以上とみられる端末をマルウェアに感染させ、7千件以上の暗号資産（仮想通貨）ウォレット情報を窃取し、同グループが管理するウォレットには少なくとも約17億円相当が送金されていたことが判明しています。
ウォータープラムは正規のAI企業や暗号資産企業などになりすまして技術者に接触する手口を使っており、警察庁とFBIは一部の北朝鮮IT労働者とともに、北朝鮮朝鮮労働党（WPK）中央委員会軍需工業部313総局の指揮下で運用されていると評価しています。
国内では北朝鮮IT労働者が遠隔操作するPCを設置した「ラップトップ・ファーム」が初めて把握・解体されたほか、暗号資産取引所bitFlyer（ビットフライヤー）のエンジニア職に北朝鮮IT労働者とみられる人物が応募していた事例も明らかになりました。
今回の公表には日本の国家サイバー統括室（NCO）と警察庁のほか、米国のFBI（連邦捜査局）とDC3（国防総省サイバー犯罪センター）、豪州のASD（通信情報局）とACSC（サイバーセキュリティセンター）、ドイツのBND（連邦情報庁）とBfV（連邦憲法擁護庁）が名を連ねています。
北朝鮮ハッカーのAI武装が本格化
ウォータープラムの攻撃手法と国内被害
偽の求人で接触、秘密鍵などを窃取
警察庁によると、ウォータープラムは正規のAI企業や暗号資産企業、NFT企業、人材紹介サービスになりすまし、ソーシャルメディアや求人サイトなどを通じて世界中の開発者やIT技術者に接触しています。
採用活動ではオンライン面接やコーディング課題を持ちかけ、不正なプログラムをダウンロードさせ、ビデオ会議の不具合修正や課題の完成を装ってファイルを実行させる手口が確認されました。
攻撃にはBeaverTail、InvisibleFerret、OtterCookie、OtterCandy、StoatWaffleといったマルウェアが使われ、悪意あるNPMパッケージやVSCodeプロジェクトなどを通じて配布されていると警察庁は説明しています。
感染した端末からは認証情報や秘密鍵、シードフレーズなどが窃取されており、ウォータープラムはバックドアやリモートアクセスツールを使って被害システムへのアクセスを維持していたことも明らかになっています。
国内の偽装拠点から数億円相当を海外送金
北朝鮮IT労働者による外貨獲得活動をめぐっては、警察庁が国内で初めて「ラップトップ・ファーム」を把握し、捜査・解体しました。
警察庁によると、国内の支援者（ドメスティック・イネーブラー）の自宅には北朝鮮IT労働者が遠隔操作するPCが設置され、VPSとあわせて実際の居場所や作業場所を偽装するために使われていました。
北朝鮮IT労働者は支援者から提供された身分証明書の画像を悪用して本人になりすまし、国内外のクラウドソーシングで業務を受注するほか、支援者の銀行口座を報酬の振込先として指定していたとされています。
関連する捜査で判明した分を含め、暗号資産など数億円相当が海外へ送金されており、作業にあたる人物は北朝鮮国内のほか、中国やロシア、少数ながらアフリカや東南アジアにも居住していることが確認されています。
ビットフライヤーに偽装応募、攻撃者とIP一致
国内企業への採用活動では2025年5月、ビットフライヤーのエンジニア職に北朝鮮IT労働者とみられる人物が応募していたことも明らかになっています。
警察庁によると、応募者は別人になりすました履歴書を添付して仲介事業者を介さず直接応募し、アクセスにはVPN、連絡先にはGmailを使用していました。
職務経歴書にはプログラミング言語やブロックチェーン、クラウドサービスなどでそれぞれ10種類以上の知見と経験を持ち、欧州の大学を卒業後に世界各地で勤務したとする経歴が記載されていたといいます。
ビットフライヤーがオンライン面接を実施したところ、応募者の英会話レベルは学歴や職歴と比較して高いとは言えず、スキルに関する質問でも抽象的な回答や回答をごまかす場面がみられたとされています。
面接中には日本への転居を拒む、暗号資産での給与支払いに固執する、しきりに別のモニターを確認する、背後で他人の話し声が聞こえるといった特徴も確認され、同社は不審点に気づいて適切に対応し、採用や被害を回避したとしています。
警察庁の分析では、ウォータープラムの攻撃者と北朝鮮IT労働者、ビットフライヤーへの応募者が利用していたIPアドレスが同じだったことが明らかになっています。
北朝鮮の仮想通貨窃取にG7が結束
暗号資産の防衛策、警察庁が対策を公表
北朝鮮IT労働者をめぐっては、2024年3月26日に外務省や警察庁などが注意喚起を公表し、2026年7月31日にも米韓などの関係機関と共同で同様の情報を発信しています。
今回の公表では、暗号資産や個人情報を扱うPCで第三者が関与したコードをむやみに実行せず、仮想マシンなどのサンドボックス内で動かすといった対策が示されました。
マルウェアへの感染が疑われる場合には速やかに外部との通信を遮断し、別のPCなどから新しいウォレットを作成して資産を移すほか、採用時には応募者の職歴やスキルを具体的に確認することも対策に挙げられています。
北朝鮮IT労働者への業務発注や報酬の支払いについては、国内法令や対北朝鮮制裁の違反に問われるおそれがあるとしており、取引相手が北朝鮮IT労働者である可能性を把握した場合は速やかに警察へ相談するよう求めています。
警察庁は今回公表した手口は一例だとして、今後も手法が変化・巧妙化する可能性があることから、国内外のセキュリティ機関などが発信する注意喚起や情報を確認するよう呼びかけています。
関連の注目記事はこちら
Source：警察庁公表資料
サムネイル：AIによる生成画像
ニュースを優先して表示します。
