面接官も求職者も偽物？日本の警察庁、FBIなど多国間機関が北朝鮮ハッカーの「採用局」を暴く

原文来自 npa.go.jp

编译｜Odaily（@OdailyChina）；译者｜Asher（@Asher_ 0210）

9月18日、日本の警察庁、米国連邦捜査局（FBI）など複数国の機関が合同で、北朝鮮のハッカー集団WaterPlum（別名「Contagious Interview」）が長期間にわたり採用担当者や暗号資産企業を装い、プログラミングテストやプロジェクト協力を口実に開発者を誘導して悪意のあるコードを実行させていたことを公表した。

2025年12月から2026年7月にかけて、同集団は100カ国以上で少なくとも3万台のデバイスに感染させ、7,000以上の暗号資産ウォレットから資金を送金またはアカウント資格情報を窃取し、少なくとも1,071万ドル相当の暗号資産が関与している。

過去に主に取引プラットフォームや大規模機関を標的としていた攻撃とは異なり、WaterPlumは標的を個人開発者、フリーランサー、Web3従事者にまでさらに下げている。攻撃者はウォレット資産を直接窃取するだけでなく、乗っ取ったコンピュータや身元情報を利用して被害者の所属企業に侵入し、その後の営業秘密の窃取、恐喝、さらには被害者になりすまして求職活動を行うための条件を整える。

「高給募集」から始まる攻撃

WaterPlumの最も一般的な攻撃入口はフィッシングメールではなく、一見正常な求人案件である。攻撃者はAI、暗号資産、NFT企業を装い、ソーシャルメディア、オンライン求人プラットフォーム、ギグプラットフォーム、フリーランス市場を通じてソフトウェア開発者に接触する。初期的なコミュニケーションを確立した後、通常はオンラインビデオ面接を設定するか、求職者にプログラミングテストの完了を求める。

実際の攻撃は「技術審査」の段階で発生する。攻撃者は求職者にコードリポジトリを送り、ローカルでプロジェクトを実行するか、プログラムのバグを修正するか、ビデオ会議ソフトウェアが正常に動作しない原因を調査するよう求めることがある。これらのプロジェクトは表面上は普通のJavaScript、Python、またはVS Codeプロジェクトであるが、内部にはすでに悪意のあるコードが埋め込まれている。

WaterPlumは悪意のあるプログラムが埋め込まれたNPMパッケージ（Node.jsパッケージマネージャー）を頻繁に使用し、BeaverTail、InvisibleFerret、OtterCookie、OtterCandy、StoatWaffleなど複数のマルウェアファミリーが関与している。そのうち一部の悪意のあるプロジェクトは.vscode/tasks.json設定ファイルを利用し、ユーザーがVS Codeフォルダを開いて信頼した後に自動的にコードを実行する。被害者にとって、プロセス全体はコードをダウンロードし、プロジェクトを開き、「面接官」の指示に従ってプログラムを実行するだけかもしれないが、マルウェアはすでにバックグラウンドでインストールを完了している。

初期アクセス権を取得した後、攻撃者はリモートアクセス型トロイの木馬を展開してデバイスに対する長期的な制御を維持し、情報窃取プログラムを使用してデータを収集する。主な窃取対象は以下の通り：

• ブラウザに保存されたアカウントとパスワード；
• クリップボードの内容、キーボード入力記録、スクリーンショット；
• 暗号資産ウォレットの秘密鍵、シードフレーズおよび関連データ；
• コンピュータおよび共有フォルダ内のファイル；
• 運転免許証、パスポートなどの身分証明書の画像。

これらの情報は最終的に攻撃者が管理するサーバーに送信される。被害者の当時のウォレットに資産がなくても、秘密鍵やシードフレーズがすでに漏洩していれば、攻撃者は長期間にわたりアドレスを監視し、資金が入金された後に送金することができる。

デバイスが制御された後、リスクは個人のウォレットにとどまらない。開発者は通常、企業のコードリポジトリ、クラウドサービス、内部システムにアクセスできるため、WaterPlumはデバイスに保存されたログイン資格情報や既存の権限を利用して、雇用主、顧客、またはパートナーのシステムに侵入し、営業秘密の窃取を続け、企業ネットワーク内で横展開し、さらには機密データを利用して恐喝を行う可能性がある。

海外住宅に隠された「リモートワーク拠点」

WaterPlumが窃取した運転免許証、パスポートなどの身分証明書には、もう一つの用途がある：北朝鮮のIT要員に渡して被害者になりすまさせ、海外で求職し外貨を稼がせることである。WaterPlumは主に偽の求人を通じてマルウェアを配布し、北朝鮮のIT要員は海外の開発者に偽装して企業に就職する。両者は人員とインフラにおいて重複がある。日本の警察庁とFBIは、WaterPlumのメンバーと一部の北朝鮮IT要員が、いずれも朝鮮労働党中央委員会傘下の軍需工業部第313総局に所属していると判断している。

企業による従業員の身元と勤務地の確認を回避するため、北朝鮮のIT要員は海外の仲介者と協力し、仲介者が現地の住宅に作業用コンピュータを集中的に設置し、身元情報を提供し、給与を代理受領する。実際の作業は北朝鮮やロシアなどにいる人員がリモートで行い、いわば実際の操作者の所在地と身元を偽装するためのリモートワーク拠点である。

このモデルにより、北朝鮮のIT要員は日本や米国の現地のコンピュータとネットワークを使用して企業システムにログインでき、企業は従業員が現地にいると誤認する。受け入れ担当者は会社から支給されたコンピュータの受け取り、身分証明書と銀行口座の提供を行い、受け取った給与を実際の作業者に送金する。

日本の関係当局は今回、日本国内に設置されたこのような拠点を初めて摘発した。調査により、関係者は北朝鮮のIT要員の身元偽装や業務受注を支援しただけでなく、暗号資産を含む数億円相当の資金を日本国外に移転していたことが判明した。通告は、企業や個人が北朝鮮のIT要員に仕事を提供したり、報酬を支払ったり、身元情報、銀行口座、リモートデバイスの提供を支援した場合、現地の法律に違反し、北朝鮮に対する制裁規定に違反する可能性があると警告している。

これらの人員が企業に侵入した後のリスクは給与の北朝鮮への流入にとどまらない。ある北朝鮮のIT要員は報酬紛争により雇用主を恐喝し、会社の専有ソースコードを公開した。別のウェブサイト保守担当として雇用された人員は、会社のウェブサイトを悪意をもって改ざんし、ウェブサイトにアクセスできない状態にした。

経歴を偽造し、日本の暗号資産取引所に応募

暗号資産企業は北朝鮮のIT要員が重点的に侵入する業界の一つである。

2025年5月、日本の暗号資産取引所がエンジニア職の応募を受け取った。応募者は北朝鮮のIT要員と疑われ、VPNを通じて採用ページにアクセスし、偽造した履歴書を提出した。履歴書は非常に「万能」に見えた：応募者は多数のプログラミング言語、ブロックチェーン技術、暗号資産技術、クラウドサービスを習得していると主張し、各カテゴリーに10項目以上の関連知識と経験を列挙していた。個人経歴にはヨーロッパの大学教育背景、および短期間でヨーロッパとアジアの複数の都市で働いた経験が含まれていた。ビデオ面接で、応募者はマレーシア生まれ、フィンランド在住、母語はマレー語と中国語と自称した。しかし、その英語能力は主張する教育・職業背景と明らかに一致せず、簡単な質問にしか答えられず、履歴書に列挙された大部分の技術能力を詳しく説明することもできなかった。

通告はまた、他の北朝鮮IT要員と疑われる応募者の面接における共通の特徴をまとめている。対面での会合の拒否、暗号資産での給与支払いの要求、別の画面を頻繁に見る、背景に時々他の人の声が聞こえる、ビデオや音声が繰り返し途切れる、などである。別の画面を頻繁に見ることは、応募者が他人から提供された回答を読んでいる可能性を示唆する。画面に求職者が一人しか映っていなくても、背後で複数人が協力し、履歴書に書かれた技術能力を共同で作り上げている可能性がある。

コンピュータの感染を発見した後、マルウェアの駆除だけでは不十分

コンピュータ上で出所不明のコードを一度でも実行した場合、ウォレット資産がまだ送金されていないからといって、デバイスとウォレットが依然として安全であると判断してはならない。マルウェアはすでに秘密鍵、シードフレーズ、またはブラウザのログイン資格情報を取得している可能性があり、まだすぐには使用していないだけかもしれない。攻撃者はデバイス内にバックドアを維持し、より適切な送金タイミングを待ち続ける可能性もある。

複数国の機関は、暗号資産を保管したり機密データを処理するデバイス上で、見知らぬ人物から提供されたコードを直接実行しないよう勧告している。どうしてもテストが必要な場合は、日常環境から隔離されたサンドボックスまたは仮想マシンを使用し、実行前にプロジェクト内に難読化されたコード、読めないコード、または他のファイルを自動的にダウンロードするコードが存在しないか確認すべきである。

curl、base64、mshta、Invoke-WebRequestなどのダウンロード、エンコード、または隠れた実行コマンドを含むスクリプトに対しても、特に警戒し、具体的な用途を理解していない場合は実行しないこと。デバイスがすでにウイルス対策ソフトによって感染を警告されている場合、または疑わしい採用担当者から提供されたプログラムを実行したことがある場合は、直ちにネットワークから切断すべきである。マルウェアがその後駆除されたとしても、ウォレットデータがすでに漏洩していると想定し、別の安全なデバイスで全新しいウォレットを作成し、資産をすべて移転し、新しいシードフレーズをオフラインで保管する必要がある。

感染したコンピュータには発見されていないバックドアが残っている可能性があるため、最も安全な処理方法は、必要なデータをバックアップした後にオペレーティングシステムを完全に再インストールまたはリセットすることであり、既存の環境をそのまま使い続けることではない。