日本の警察庁と米連邦捜査局（FBI）は金曜日、北朝鮮支援のハッカー集団が100か国以上で3万台超のコンピューターにマルウェアを感染させ、7000超の暗号資産ウォレットからデータを盗んだと発表した。
同集団が管理するウォレットには、2025年12月から2026年7月の間に少なくとも1071万ドル相当のデジタル資産が送金された。両機関はこの組織を「WaterPlum（ウォータープラム）」と呼び、「Contagious Interview」という名称でも追跡している。
偽リクルーターが7000超の暗号資産ウォレットに到達した手口
WaterPlumは、AI、暗号資産、NFT企業のヘッドハンターを装う。SNSや求人サイト、フリーランスマーケットプレイスで開発者に接触する。
「WaterPlumの関係者は、魅力的な就職機会を装い、ソフトウェア開発者やIT専門家を世界中で標的としている」―日本の警察庁とFBIが共同勧告で述べた。
応募者は技術面接やコーディングテストを求められる。その際、グループはコード共有サイトからファイルをダウンロードするよう指示する。理由は通話の不具合や課題遂行とされる。
これらのファイルにはマルウェアが仕込まれている。プログラムはブラウザパスワードや画面キャプチャ、キーログを収集する。さらに、暗号資産ウォレットを管理する秘密鍵も盗み出す。
BeInCryptoは8月、研究者が22か月間同グループのサーバーに潜入し、57か国の1640人の被害者を特定したと報じた。今回の公式発表はその約18倍に達している。
日本で初の「ラップトップファーム」摘発
警察は国内初となる「ラップトップファーム」も摘発した。現地協力者が自宅でパソコンを保管し、北朝鮮国外の作業員が遠隔操作。日本人になりすまし、フリーランス案件を受注していた。
これらの作業員は暗号資産で数億円規模の資金を海外に送金していたと捜査当局は説明した。同じIPアドレスがこのファームとハッカー集団を結び付けていた。
「警察庁およびFBIは、WaterPlumサイバー犯罪者と一部の北朝鮮IT作業員が、朝鮮労働党中央委員会傘下の兵器工業部第313総局に属して活動しているとみている」
2025年5月には、ある北朝鮮人とみられる人物が日本の暗号資産取引所bitFlyerのエンジニア職に盗用履歴書で応募した。面接官は、同人物が日本移住を拒み、暗号資産での支払いを求め、さらに別モニターで解答を読み上げた様子を不審視し、不採用とした。
過去の攻撃ではディープフェイクを使った採用面接のビデオ通話で幹部に接触する手法が用いられていた。調査当局はエンジニアに対し、リクルーターから送られたコードはサンドボックス（本物のファイルから隔離された検証領域）内で実行するよう呼び掛けている。
