偽の面接と国内の協力者 — 北朝鮮「WaterPlum」とIT労働者を結びつけた日米豪独の公的帰属

2026年9月18日、警察庁と国家サイバー統括室（NCO）は、米国・豪州・ドイツの機関と合同で、北朝鮮のサイバー攻撃グループ「WaterPlum（ウォータープラム）」と北朝鮮IT労働者の活動実態を公表した。偽の求人や面接を使って技術者のPCに不正プログラムを仕込む攻撃と、国内の協力者を介して仕事を受注し外貨を稼ぐ北朝鮮IT労働者の一部を、北朝鮮の同じ部局の下にあると評価した点が最大の特徴である。帰属先は朝鮮労働党の軍需工業部「313総局」と部局の単位で示され、国内で初めて「ラップトップ・ファーム」を解体したことも明らかにされた。本稿では、公表文に沿って事案の全体像を整理し、企業と個人の技術者が取るべき対策をまとめる。

公表の概要 — 日米豪独7機関による合同文書

警察庁と国家サイバー統括室が公表した文書の題名は「北朝鮮サイバー攻撃グループ『WaterPlum』によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の我が国、米国及び欧州における活動実態等について」である。共同で公表したのは、米国の連邦捜査局（FBI）と国防総省サイバー犯罪センター（DC3）、豪州通信情報局サイバーセキュリティセンター（ASD’s ACSC）、ドイツの連邦情報庁（BND）と連邦憲法擁護庁（BfV）で、日本の2機関と合わせて7機関・4か国になる。同じ英文の文書は、FBIが運営するインターネット犯罪苦情センター（IC3）や豪ACSCのサイトにも掲載された。外務省も同日、同盟国・同志国や民間部門と連携して取り組みを強化するとの報道発表を出した。

このように政府がサイバー攻撃の実行主体を特定し、公に名指しすることを「パブリック・アトリビューション（公的帰属）」と呼ぶ。攻撃者への抑止と、狙われている側への注意喚起を兼ねる。

これらの実態は、民間事業者からの情報提供と、警察庁関東管区警察局サイバー特別捜査部および関係都道府県警察の捜査・分析によって明らかになった。同部の前身は、重大なサイバー事案を扱う国の捜査機関として2022年4月に関東管区警察局に設けられたサイバー特別捜査隊で、2024年4月に改組された。公表文の謝辞には、NTTセキュリティ・ジャパン株式会社と株式会社bitFlyerの2社が挙げられている。

公表文が示した主な数値は次のとおりである。感染や窃取の数値は、警察庁が把握したものとして示されている。

暗号資産ウォレットは、暗号資産を動かすための「鍵」（秘密鍵やシードフレーズ）を保管するソフトや仕組みで、鍵を盗まれると資産を勝手に移される。英文の文書では、約17億円は北朝鮮へ送金された額と表現されている。

帰属の特徴 — 評価の主体、「313総局」、過去3例との違い

評価の主語は警察庁とFBI

帰属の中心となる文は、「警察庁とFBIは、WaterPlumと一部の北朝鮮IT労働者が、北朝鮮朝鮮労働党（WPK）中央委員会軍需工業部313総局の指揮下で運用されていると評価しています」である。評価の主語は警察庁とFBIの2機関で、ほかの5機関は合同で公表した立場にある。対象も「一部の」北朝鮮IT労働者に限られている。公表文が示す主な根拠は、後で述べるIPアドレスの合致と、WaterPlumの一部メンバーが北朝鮮IT労働者として業務を行っているという記載である。

部局の単位まで示した名指し

軍需工業部は、北朝鮮の兵器の研究・開発・生産を担う朝鮮労働党の部署で、313総局はその下部組織として公的な文書に繰り返し登場してきた。米国務省・財務省・FBIが2022年5月に出したIT労働者に関するガイダンスは、軍需工業部が313総局を通じて北朝鮮のIT労働力の大半を国外に送り出していると記した。日本を含む11か国の多国間制裁監視チーム（MSMT）が2025年10月に公表した第2報告書は、朝鮮コンピュータセンターの大部分が再編で313総局に吸収され、同総局が現在も最も多くのIT労働者企業を抱えていると記している。

一方、求職者を狙う攻撃キャンペーン（民間での呼び名は「Contagious Interview」）について、同じMSMT報告書は所属を「未確認」としていた。民間では、米CrowdStrikeが自社の脅威アクター紹介で、同社が「FAMOUS CHOLLIMA」と呼ぶ集団について軍需工業部のために活動している可能性が高いと評価していたが、政府の文書が攻撃グループそのものを313総局の指揮下と評価したのは、確認した範囲では本件が初めてとみられる（推定）。

なおMSMT報告書は、2024年12月に日本が帰属を公表したTraderTraitorを偵察総局（RGB）傘下に位置づけており、今回の帰属先とは組織の系統が異なる。

過去3例との違い

日本政府が単独で、または米国と共同で行った北朝鮮関連の公的帰属には、先例が3件ある。2017年12月のWannaCry（外務報道官談話）、2022年10月のLazarus（金融庁・警察庁・内閣サイバーセキュリティセンターの注意喚起）、2024年12月のTraderTraitor（警察庁がFBI・DC3とともに公表。国内の暗号資産交換業者DMM Bitcoinから約482億円相当が盗まれた事案）である。

本件はこれらと3つの点で異なる。第一に、先行3例は相手方を「北朝鮮の関与」「北朝鮮当局の下部組織とされる」「北朝鮮を背景とする」と記すにとどまり、部局名は示していなかった。第二に、サイバー攻撃と、偽装就労による外貨獲得という性質の異なる2つの活動を、同じ部局の下にあると評価した。第三に、先行例のうちLazarusとTraderTraitorが暗号資産関連事業者を狙ったのに対し、本件の標的は求職中の個人の技術者と、IT労働者に仕事を発注した企業である。共同で公表した相手も、2024年の米国2機関から豪州・ドイツの機関にまで広がった。

2つの経路 — 偽の求人による乗っ取りと、国内の協力者を介した外貨獲得

偽の求人・面接で技術者のPCを乗っ取る経路

WaterPlumは、ソーシャルメディアや求人サイト、フリーランス向けの仕事仲介サイトなどで、AI・暗号資産・NFTの企業や人材紹介会社の採用担当者を装い、ヘッドハンティングの形で求職者に接触する。主な標的は、Web関係のデザイナーやエンジニア、暗号資産・ブロックチェーン・Web3と呼ばれる分野の技術者とみられている。

面接やコーディング課題の段階で、攻撃者はコード共有サービスなどに置いたプログラムをダウンロードさせ、会議ツールの不具合の修正や課題の仕上げを名目に実行させる。公表文が名前を挙げた不正プログラム（マルウェア）は、BeaverTail、InvisibleFerret、OtterCookie、OtterCandy、StoatWaffleの5種類である。このうちStoatWaffleは、開発者が広く使う編集ソフト「VS Code」の設定ファイルに仕掛けを埋め込み、偽のプロジェクトのフォルダを開いて「信頼する」を選ぶと自動的に動き出す。

感染すると、ブラウザに保存されたIDとパスワード、クリップボードの内容、キー入力の記録、画面の写し、暗号資産ウォレットの秘密鍵やシードフレーズ、運転免許証やパスポートなどの身分証画像が盗まれる。身分証画像は、北朝鮮IT労働者のなりすましに悪用されうる。公表文は、標的となった技術者の勤務先や、北朝鮮IT労働者に業務を発注した企業から情報が盗まれたり、盗まれた情報で脅迫されたりする可能性も指摘している。

公表文によれば、WaterPlumの構成員は「Magicam」などのAI顔画像交換ソフトでオンライン面接に臨み、数分後にはネットワークの状態を口実に映像を切るよう仲間内で助言していた。

国内の協力者を介して外貨を稼ぐ経路

北朝鮮IT労働者とは、身分や国籍を偽って国外の企業から仕事を受注し、その報酬で北朝鮮に外貨をもたらす技術者を指す。公表文によれば、北朝鮮国内のほか中国やロシアに拠点を持ち、少数はアフリカや東南アジアにも住んでいる。

彼らは、日本に住む支援者から提供を受けた身分証の画像で支援者になりすまして業務を受注したり、支援者が受注した業務を請け負ったりしていた。支援者の銀行口座を報酬の振込先にさせる手口もある。作業には、支援者の自宅に置かせたPCを遠隔操作する「ラップトップ・ファーム」や、支援者が借りた仮想サーバ（VPS）を使い、居場所を偽っていた。国内でのラップトップ・ファームの把握・解体は今回が初めてで、その時期・件数・所在地は公表文に示されていない。

業務を委託した企業の被害例として公表文は、北朝鮮IT労働者が自身の担当していたプログラムのソースコードをインターネットに公開した事例（英文では、報酬をめぐって企業を脅したうえでの公開と記載）と、関わったWebサイトが後に改ざんされ、正常に表示されなくなった事例を挙げている。また、北朝鮮の者と知って報酬を支払ったり身分証（画像を含む）を提供したりすると、犯罪に加担する可能性があると明記している。国内では2025年4月にも、北朝鮮IT労働者とみられる人物に運転免許証の画像などを提供した国内の協力者が、警視庁公安部によって書類送検されている。

国内暗号資産取引所への採用応募

公表文は、2025年5月に国内の暗号資産取引事業者bitFlyerのエンジニア職へ、北朝鮮IT労働者とみられる人物から応募があった事例を詳しく記している。応募者は別人になりすました履歴書で、仲介事業者を介さず直接応募し、採用フォームへのアクセスにはVPN（接続元を隠すサービス）を使っていた。職務経歴書には、プログラミング言語やブロックチェーンなどの分野でそれぞれ10種類以上の知見が並んでいた。

オンライン面接で応募者はマレーシア出身でフィンランド在住と説明し、母国語をマレー語と中国語と答えた。抽象的な回答やごまかしが見られ、日本への引っ越し（出社）を拒むか「半年先なら」と答え、暗号資産での給与支払いにこだわった。面接中は画面を読み上げるような様子や背後の話し声、映像の途切れがあった。同社が不審点に気づいて対応したため、採用にも被害にも至っていない。

2つを結びつけた根拠 — 3つの場面で一致したIPアドレス

IPアドレスは、インターネットに接続する機器に割り当てられる住所のような番号である。公表文の第5章は、WaterPlumの攻撃と北朝鮮IT労働者の一部の外貨獲得活動の双方で313総局が中心的な役割を果たしているとの評価に続けて、次のように記している。「WaterPlumの攻撃者が利用していたIPアドレスと、北朝鮮IT労働者が『ラップトップ・ファーム』やクラウドソーシング・サービスへ接続する際に利用していたIPアドレス、さらに国内暗号資産取引所（bitFlyer）の採用へ応募した北朝鮮IT労働者が利用していたIPアドレスが合致しました」。

攻撃、支援者宅のPCや仕事仲介サイトへの接続、国内企業への採用応募という性質の異なる3つの場面で、同じ接続元が使われていたことになる。公表文は別の箇所で、WaterPlumの一部メンバーが北朝鮮IT労働者として企業のWebシステムの画面設計や開発の業務を行っているとも記しており、攻撃者と仕事の請負人が一部で重なっていることを示している。

この2つの活動のつながりは、民間でも以前から指摘されていた。米Palo Alto Networksの研究部門Unit 42は2023年11月、偽の求人で技術者を狙う「Contagious Interview」と、偽の身分で企業の仕事に応募する「Wagemole」を1本の報告で取り上げ、前者を中程度、後者を高い確度で北朝鮮に結びつけた。スロバキアのESETは2025年9月、両者が「つながり、協力している可能性が高い」と中程度の確度で評価している。

VPNの出口のIPアドレスは多くの利用者に共有されることがあり、IPアドレスの一致だけでは同一の人物や組織の決め手にならない場合がある。公表文は合致したIPアドレスの数や時期を示しておらず、警察庁とFBIはこの一致を捜査で得たほかの情報と合わせて評価したとみられる（推定）。

民間の呼び名との対応 — 各社で異なる命名

セキュリティ企業は攻撃者の集団に自社の規則で名前を付けるため、同じ集団や大きく重なる活動が企業ごとに別の名前で呼ばれる。「WaterPlum」はNTTセキュリティ・ジャパンの、「Contagious Interview」はPalo Alto Networksの呼び名である。各社が自ら公表した資料に基づく主な対応は次のとおりである。

名前は一対一で対応するわけではない。Recorded FutureとGoogleは求人型の攻撃とIT労働者の活動に別々の名前を付け、Recorded Futureは両者の重なりを記している。CrowdStrikeは両方を1つの名前で扱う。公表文が、WaterPlumと「一部の」IT労働者を同じ部局の下に置きつつ別の活動として記述しているのは、どちらの整理とも矛盾しない書き方とみられる（推定）。

取るべき対策 — 個人の技術者、採用、発注、暗号資産事業者

公表文は、個人の技術者と企業の双方に向けて具体的な対策を挙げている。以下は、その記載を立場ごとに整理したものである。

個人の技術者

• 面接や課題で渡されたコードは、仮想マシンなど切り離した環境（サンドボックス）でだけ実行し、実行前に中身が読みにくく加工（難読化）されていないかを確かめる。
• 見覚えのないVS Codeのプロジェクトは「制限モード」で開き、「.vscode/tasks.json」というファイルに不審な処理がないかを確かめる。
• 指示に従って貼り付けるよう求められたコマンドに、curl、base64、-enc、mshta、Invoke-WebRequest -uri、iwr -uri、hiddenといった文字列が含まれていれば警戒し、意図を説明できない命令は実行しない。
• 感染が疑われたら直ちにネットワークから切り離す。駆除後も、別のPCで新しいウォレットを作って資産を移し、新しいシードフレーズはPCに保存しない。OSの初期化も検討する。
• 自宅に第三者が遠隔操作できるPCを置かない。身分証の画像を求められても提供しない。

採用担当・人事部門

• 普段は応募が少ない職種に、短期間で多数の応募が集まった場合は特に注意する。
• 不審な場合は、アクセス元のIPアドレスと居住地が合っているか、VPNを使っていないか、連絡先の電話番号が実在するかを確かめる。
• 職務経歴書に書かれたスキルについて、面接で具体的な説明を求める。出身地や天候、趣味などの個人的な質問も、なりすましを見抜く手がかりになる。
• bitFlyerの事例にあった面接中の兆候を、面接担当者の間で共有する。

開発部門・業務の発注部門

• 外部への委託契約では、外注・再委託を禁じる条項を明確にする。
• 委託先に渡す情報とアクセス権は最小限にし、疑いが生じたらアカウントや接続を直ちに無効にする。
• 相手が北朝鮮IT労働者だと分かった場合は、速やかに警察に相談する。北朝鮮IT労働者に業務を発注して報酬を支払うと、国内法令や対北朝鮮制裁の違反に問われるおそれがある。
• 端末の不審な動きを検知する製品（EDR）を導入する。勤務先にも被害が及びうるため、業務用のPCで外部から渡されたコードを実行しない運用も必要とみられる（推定）。

暗号資産関連の事業者

主な標的とされた分野の技術者を抱える事業者には、上の3つの対策がすべて当てはまる。bitFlyerの事例は、採用の窓口そのものが狙われることを示している。秘密鍵を扱う端末と、開発や外部とのやり取りに使う端末を分けることも、被害の広がりを抑えるうえで有効とみられる（推定）。

なお、公表文にはIPアドレスやドメインなどの痕跡情報（IOC）の一覧は付いていない。不正プログラムの接続先などの痕跡情報は、NTTセキュリティ・ジャパンなど民間各社の公開分析に掲載されている。

当社の見方 — 攻撃の入口となった採用と発注

本件は、民間のセキュリティ企業が2023年11月以降に積み上げてきた追跡に、日本の捜査で得たIPアドレスの一致という事実を重ね、313総局という部局の単位にまで結びつけたものとみられる（推定）。国内の捜査を起点に部局の名前まで踏み込んだ点で、日本の公的帰属は一段深くなった（推定）。

送金額（少なくとも約17億円相当）は、2024年のTraderTraitorの約482億円相当より小さい。しかし3万台以上のPCと7千件以上のウォレット情報という広がりは、1つの企業を深く狙うのではなく、多くの個人を広く浅く狙う手口であることを示している（推定）。

企業にとって重要なのは、採用面接、業務の発注、委託先の管理という日常の業務が、そのまま攻撃と不正就労の入口になっている点である。人事・調達・開発・情報システムの各部門が別々に対応すると隙間が生じやすく、応募者や委託先の確認を情報セキュリティ対策の一部として扱う必要がある（推定）。ラップトップ・ファームの詳細や313総局と判断した根拠は、今後の米国側の発表や国内の捜査の進展で補われる可能性がある。

出典

1. 警察庁「北朝鮮サイバー攻撃グループ『WaterPlum』（ウォータープラム）及び北朝鮮IT労働者に関する我が国、米国、豪州及びドイツによるパブリック・アトリビューションについて」（サイバー警察局 掲載ページ、2026年9月18日）https://www.npa.go.jp/bureau/cyber/koho/caution/caution20260918.html
2. 警察庁・国家サイバー統括室「北朝鮮サイバー攻撃グループ『WaterPlum』によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の我が国、米国及び欧州における活動実態等について」（和文、2026年9月18日）https://www.npa.go.jp/bureau/cyber/pdf/20260918_j.pdf
3. National Police Agency of Japan et al. “North Korean ‘WaterPlum,’ commonly referred to as ‘Contagious Interview,’ Cyber Actor Group”（英文、2026年9月18日）https://www.npa.go.jp/bureau/cyber/pdf/20260918_e.pdf
4. 警察庁 報道発表（同題、2026年9月18日）https://www.npa.go.jp/news/release/2026/20260918001.html
5. 国家サイバー統括室 報道資料「北朝鮮サイバー攻撃グループ『WaterPlum』及び北朝鮮IT労働者に関する我が国、米国、豪州及びドイツによるパブリック・アトリビューションについて」（2026年9月18日）https://www.cyber.go.jp/pdf/press/20260918_press.pdf
6. 外務省 報道発表「北朝鮮サイバー攻撃グループ『WaterPlum』（ウォータープラム）及び北朝鮮IT労働者に関するパブリック・アトリビューション」（2026年9月18日）https://www.mofa.go.jp/mofaj/press/release/pressit_000001_04196.html, 英文 https://www.mofa.go.jp/press/release/pressite_000001_02670.html
7. FBI Internet Crime Complaint Center (IC3) “North Korean ‘WaterPlum,’ commonly referred to as ‘Contagious Interview,’ Cyber Actor Group Targeting IT Professionals; Activities of North Korean IT Workers in Japan, the United States and Europe”（2026年9月18日）https://www.ic3.gov/CSA/2026/260918.pdf
8. DoD Cyber Crime Center (DC3) “Joint Advisory: North Korean ‘WaterPlum’ Cyber Group Targets IT Professionals”（2026年9月18日）https://content.govdelivery.com/accounts/USDODDC3/bulletins/42b69c9
9. Australian Signals Directorate’s ACSC “North Korean ‘WaterPlum,’ commonly referred to as ‘Contagious Interview,’ cyber actor group targeting IT professionals”（2026年9月18日）https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/north-korean-waterplum-commonly-referred-to-as-contagious-interview-cyber-actor-group-targeting-it-professionals
10. Bundesamt für Verfassungsschutz “Internationaler Sicherheitshinweis: Illegale Devisenbeschaffung durch nordkoreanische Cyberaktivitäten”（2026年9月18日）https://www.verfassungsschutz.de/SharedDocs/kurzmeldungen/DE/2026/2026-09-18-joint-cybersecurity-advisory.html
11. 警察庁「サイバー警察局便り R8 Vol.17」（2026年9月）https://www.npa.go.jp/bureau/cyber/pdf/R8_Vol.17cpal.pdf
12. 関東管区警察局「サイバー特別捜査部」https://www.kanto.npa.go.jp/about/syoukai05-4.html
13. 外務省「米国による北朝鮮のサイバー攻撃に関する発表について（外務報道官談話）」（2017年12月20日）https://www.mofa.go.jp/mofaj/press/danwa/page4_003563.html
14. 金融庁・警察庁・内閣サイバーセキュリティセンター「北朝鮮当局の下部組織とされるラザルスと呼称されるサイバー攻撃グループによる暗号資産関連事業者等を標的としたサイバー攻撃について（注意喚起）」（2022年10月14日）https://www.npa.go.jp/bureau/cyber/pdf/R041014_cyber_alert.pdf
15. 警察庁「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について」（2024年12月24日）https://www.npa.go.jp/bureau/cyber/koho/caution/caution20241224.html
16. piyolog「サイバー攻撃に対する日本政府のパブリック・アトリビューション事例についてまとめてみた」（2024年7月12日作成、随時更新）https://piyolog.hatenadiary.jp/entry/2024/07/12/165131
17. U.S. Department of State, Department of the Treasury, FBI “Guidance on the Democratic People’s Republic of Korea Information Technology Workers”（2022年5月16日）https://ofac.treasury.gov/system/files/126/20220516_dprk_it_worker_advisory.pdf
18. 多国間制裁監視チーム（MSMT）”The DPRK’s Violation and Evasion of UN Sanctions through Cyber and Information Technology Worker Activities”（第2報告書、2025年10月22日）https://www.mofa.go.jp/files/100922718.pdf
19. The Japan Times（2025年4月8日）https://www.japantimes.co.jp/news/2025/04/08/japan/crime-legal/north-korea-help-arrest/
20. Palo Alto Networks Unit 42 “Hacking Employers and Seeking Employment: Two Job-Related Campaigns Bear Hallmarks of North Korean Threat Actors”（2023年11月21日）https://unit42.paloaltonetworks.com/two-campaigns-by-north-korea-bad-actors-target-job-hunters/
21. NTTセキュリティ・ジャパン「WaterPlumが使用するマルウェアOtterCookieの機能追加」（2025年5月8日）https://jp.security.ntt/insights_resources/tech_blog/waterplum-ottercookie/
22. NTT Security Japan “StoatWaffle, malware used by WaterPlum”（2026年3月17日）https://jp.security.ntt/insights_resources/tech_blog/stoatwaffle_malware_en/
23. ESET “DeceptiveDevelopment: From primitive crypto theft to sophisticated AI-based deception”（2025年9月25日）https://www.welivesecurity.com/en/eset-research/deceptivedevelopment-from-primitive-crypto-theft-to-sophisticated-ai-based-deception/
24. Recorded Future “PurpleBravo’s Targeting of the IT Software Supply Chain”（2026年1月21日）https://www.recordedfuture.com/research/purplebravos-targeting-it-software-supply-chain
25. Google Threat Intelligence Group “DPRK Adopts EtherHiding: Nation-State Malware Hiding on Blockchains”（2025年10月16日）https://cloud.google.com/blog/topics/threat-intelligence/dprk-adopts-etherhiding
26. Google Cloud (Mandiant) “Staying a Step Ahead: Mitigating the DPRK IT Worker Threat”（2024年9月23日）https://cloud.google.com/blog/topics/threat-intelligence/mitigating-dprk-it-worker-threat
27. Trend Micro “Russian Infrastructure Plays Crucial Role in North Korean Cybercrime Operations”（2025年4月23日）https://www.trendmicro.com/en_us/research/25/d/russian-infrastructure-north-korean-cybercrime.html
28. CrowdStrike “Famous Chollima Adversary Profile” https://www.crowdstrike.com/en-us/adversaries/famous-chollima/
29. Microsoft Security Blog “Contagious Interview: Malware delivered through fake developer job interviews”（2026年3月11日）https://www.microsoft.com/en-us/security/blog/2026/03/11/contagious-interview-malware-delivered-through-fake-developer-job-interviews/
30. Microsoft Security Blog “Jasper Sleet: North Korean remote IT workers’ evolving tactics to infiltrate organizations”（2025年6月30日）https://www.microsoft.com/en-us/security/blog/2025/06/30/jasper-sleet-north-korean-remote-it-workers-evolving-tactics-to-infiltrate-organizations/
31. Datadog Security Labs “Tenacious Pungsan: A DPRK threat actor linked to Contagious Interview”（2024年10月24日）https://securitylabs.datadoghq.com/articles/tenacious-pungsan-dprk-threat-actor-contagious-interview/

株式会社Sola.com 脅威インテリジェンスセクション