ヘッドハンティングかと思ったら「わな」 求職中のエンジニアを狙う北朝鮮“偽企業”に注意：身分証画像を盗まれる

高市早苗首相は2026年9月18日、「X」のポストで北朝鮮IT労働者によるサイバー攻撃被害について注意喚起を促した。IT企業やエンジニアを標的にするその攻撃手法と、企業や個人が取るべき対策をまとめた。

[＠IT]

　警察庁および国家サイバー統括室は2026年9月18日、米国や豪州、ドイツの関係機関と連携し、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」の攻撃手口と、北朝鮮IT労働者による外貨獲得、採用応募の実態を公表した。民間事業者の情報提供や警察の捜査・分析で判明した内容をまとめている。

　警察庁と米連邦捜査局は、WaterPlumと一部の北朝鮮IT労働者が朝鮮労働党中央委員会軍需工業部313総局（※）の指揮下で運用されていると評価している。

（※）北朝鮮の核兵器や弾道ミサイルなどの兵器開発・生産を管理する機関であり、近年は外貨獲得のためのサイバー攻撃やIT労働者派遣の中核としても特定されている組織。

どうやって見分ける？　求職中のエンジニアを狙う北朝鮮“偽企業”

　WaterPlumは、日本や米国、欧州などのエンジニアを標的とし、求人やヘッドハンティングを装って接触する。AI企業や暗号資産企業、NFT企業、人材紹介サービスなどを名乗り、オンライン面接やコーディング課題を求める他、求職者に不正プログラムを取得させ、会議システムの不具合修正や課題を名目にコードを実行させる。これによって悪意あるnpmパッケージにマルウェアを埋め込むという。

　侵入後はバックドアや遠隔操作ツールで接続を維持し、ID／パスワード、キー入力記録、スクリーンショット、暗号資産ウォレットの秘密鍵やシードフレーズ、身分証画像などを外部に送る。盗んだ認証情報で勤務先組織に侵入し、機密情報や知的財産を奪う危険もある。身分証画像は別人へのなりすましにも使われ得る。

　警察庁によると、WaterPlumは100以上の国と地域で3万台以上の端末をマルウェアに感染させ、7000件以上の暗号資産ウォレット情報を窃取した。管理下の暗号資産ウォレットには少なくとも約17億円相当、約1071万ドルが送金された。

　北朝鮮IT労働者は、国内支援者の身分証画像を悪用して受注者になりすまし、支援者名義の銀行口座を報酬先に指定する手法も使っている。支援者宅に遠隔操作用PCを設置する「ラップトップファーム」や、支援者が借りたVPS（Virtual Private Server：仮想専用サーバ）を利用して居場所や作業場所を偽装し、国内外のクラウドソーシングで仕事を受注した。北朝鮮国内の他、中国やロシアに拠点を持ち、少数はアフリカや東南アジアにも居住していた。発注や外貨獲得のほう助は、国内法令や対北朝鮮制裁に触れる恐れがある。

　日本での事例としては、2025年5月、暗号資産取引事業者bitFlyerのエンジニア職に北朝鮮IT労働者と思わしき人物が応募した。別人名義の履歴書を使い、VPN（Virtual Private Network）経由で採用フォームに直接応募した。面接ではマレーシア出身、フィンランド在住と説明したが、経歴書に記した技能への質問では抽象的な回答が目立った。日本への転居・出社を拒否または先延ばしにする姿勢や、暗号資産による給与支払いへの固執も見られた。同社は不審点を把握して対応し、採用や被害には至らなかった。

　警察庁は、業務用PCで第三者作成のコードを安易に動かさず、仮想環境で内容を確認するよう求めた。感染が疑われる場合は通信を遮断し、別端末から新しい暗号資産ウォレットに資産を移し、PCを初期化する手順も示した。「VSCode」で身に覚えのないプロジェクトを開く際は制限モードを使い、不審な命令がないかどうかを確認するよう促した。

　企業側には、応募者のIPアドレスと申告居住地の整合、電話番号、資格認定番号、職歴や技能の具体性を確かめる対策を示した。外注時は再委託先を含む契約条件を明確にし、提供情報やアクセス権限を必要最小限に絞るよう求めた。疑わしい相手を把握した場合、アカウントやセッションを速やかに無効化し、警察に相談するよう呼びかけている。