北朝鮮のWaterPlumハッカーが1,070万ドルの暗号通貨を窃盗、日本と同盟国が発表

日本の警察庁は、FBIおよびオーストラリアとドイツのセキュリティ機関と共同で、世界中のIT専門家から暗号通貨を窃盗しながら技術採用担当者を装っていた北朝鮮のグループの正体を明らかにしました。彼らは17億円（約1,071万ドル）相当の資産を北朝鮮に振り向けました。

この犯罪グループはWaterPlumと呼ばれますが、「Contagious Interview」をエイリアスとして使用し、日本、米国、欧州など世界各地の被害者を標的にしました。これは、7つの機関が2026年9月18日（金）に共同で発表した勧告によるものです。 

7つの機関、1つの公的帰属 

勧告には以下の機関の名前が記載されています 7つの機関：日本の国家サイバーセキュリティオフィス、警察庁（NPA）、FBI、国防総省サイバー犯罪センター、オーストラリアのASDサイバーセキュリティセンター、およびドイツのBNDとBfV。 

この発表は「公的帰属」フレームワークの下で行われ、悪意のあるサイバー攻撃の背後にある国家またはグループを曝露することで、将来の攻撃を抑制することを目的とした措置です。  

警察庁とFBIの評価に基づくと、WaterPlumのハッカーたちは、北朝鮮のIT労働者グループと共に、朝鮮労働党中央委員会傘下の兵器工業部門の313総局の指揮下にあります。つまり、この作戦は平壌が兵器プログラムを資金調達するために使用していたより大きな計画の一部でした。米国の情報機関は は 過去に北朝鮮の暗号通貨窃盗の一件で同じ罪状を適用しており、北朝鮮政権はこれを激しく否定しています。 

北朝鮮の偽物求人スキームの仕組み

スキームは以下の通りでした：ハッカーたちはAI企業、暗号通貨ベンチャー、NFTスタートアップの採用担当者になりすまし、ソフトウェア開発者に魅力的な求人を提示しました。応募者は技術面接を受けたりコーディング課題を完了したりした後、評価の一環としてファイルのダウンロードと実行を指示されました。 

ダウンロードされたファイルにはマルウェアが仕込まれていました。Node Package ManagerパッケージにはBeaverTail、InvisibleFerret、OtterCookie、OtterCandy、StoatWaffleなど、さまざまなマルウェアの株が含まれていました。インストール後、コードはバックドアを作成し、リモートアクセストロイの木馬を介してアクセスを維持し、ブラウザのパスワード、キーストローク、スクリーンショット、および暗号通貨ウォレットにアクセスするために使用される秘密鍵とシードフレーズを抽出しました。 

昨年の12月から今年7月にかけて、この作戦は100カ国以上で3万3,000台以上のデバイスを感染させ、約7,000の暗号通貨アカウントの機密情報を侵害しました。 

日本で破壊されたラップトップファーム 

作戦は2つの部分からなり、2番目の部分には労働力が関与していました。警察庁の発表によると、北朝鮮、中国、ロシア在住の北朝鮮のIT労働者の中には、密かにリモートプログラミングやウェブ開発の契約を取得し、給与を北朝鮮に送金していた者がいました。 

合計で、何億円もの円が 長年にわたって 北朝鮮に送金されていました。

その仕事の物理的な起源を隠すため、ネットワークはハッカーのためにラップトップファームと仮想プライベートサーバーを運用する現地の人々を利用しました。日本の当局者は、日本でエンablerによって運営されるラップトップファームを発見、調査、停止しました。これは初の事例です。

拡大する北朝鮮の作戦の一部 

この勧告は、数ヶ月にわたって発展してきた拡大するパターンについてさらに光を当てています。 420%の急騰を記録 公開ブロックチェーンに書かれたマルウェアが増加しています。その大部分は北朝鮮とイランに由来しています。

北朝鮮の暗号通貨窃盗は、今年6月の G7の指導者たち 会議で重要なセキュリティ脅威として分類されました。これは、2016年以降、北朝鮮に関連するアクターによって約67億5,000万ドルが窃盗されたことが判明した後でした。  

採用の誘惑は繰り返される特徴です。Black Hat研究者のVangelis Stykas氏は今年、北朝鮮のハッカーが57カ国の1,640社に及ぶことを追跡したと述べ、Cryptopolitanの報告によると、開発者を偽の求人で誘惑してマルウェアをインストールさせることが多かったと述べています。