北朝鮮系ハッカー、暗号資産・AI企業の採用担当者になりすまし　1070万ドル奪取

北朝鮮とつながるハッカー集団「ウォータープラム（WaterPlum）」が、暗号資産や人工知能（AI）企業の採用担当者になりすまして求職者にマルウエアを拡散し、少なくとも1070万ドル（約16億8000万円）を奪っていたことが分かった。

9月21日にコインテレグラフが伝えたところによると、日本、ドイツ、オーストラリア、米国の当局はこのほど公表した共同のサイバーセキュリティ勧告で、「コンテイジャス・インタビュー（Contagious Interview）」としても知られるウォータープラムが、世界のソフトウエア開発者や情報技術（IT）専門家を標的に攻撃を仕掛けていたと明らかにした。

ウォータープラムは、実在するAIや暗号資産、非代替性トークン（NFT）関連企業の採用担当者を装った。正規の採用サービスを利用して被害者に接触する手口も確認された。主な標的は、ウェブデザイナーやエンジニアに加え、暗号資産、ブロックチェーン、Web3分野の専門人材だった。

ハッカーらはソーシャルメディアやオンライン求人サイト、フリーランス向けプラットフォームを通じて求職者に接触した。その後、採用選考の過程で、コーディング課題やビデオ会議の不具合を解消するプログラムを装った悪性ファイルを実行するよう誘導した。

被害者のコンピューターに侵入した後は、遠隔操作型トロイの木馬や情報窃取型マルウエアを使って機密情報や暗号資産を盗み取った。感染した開発者が所属する企業の内部システムにさらに侵入する足がかりも確保していたという。

当局によると、ウォータープラムは2025年12月から2026年7月までに、100カ国超で少なくとも3万台の端末を感染させた。この過程で7000超の暗号資産ウォレットから資金またはアカウント認証情報が流出した。確認された被害額は少なくとも1070万ドルに上る。

盗まれた個人情報が、北朝鮮のIT人材による身分偽装に使われる可能性もある。当局は、盗難された身分証を使って被害者になりすまし、海外企業で収益を得たり、入手した機密情報を脅迫に利用したりする恐れがあると警告した。

今回の勧告文は、ウォータープラムの活動を北朝鮮の海外IT人材浸透戦略とも関連付けた。日本と米国の当局は、ウォータープラムの構成員と一部の北朝鮮IT人材が、北朝鮮の軍需工業部傘下で活動しているとみている。

実際、日本のある暗号資産交換業者では、北朝鮮のIT人材とみられる応募者が、偽造した履歴書でエンジニア職に応募した事例が確認された。交換業者は面接で、応募者が履歴書に記載した技術を具体的に説明できないなどの不一致を見つけ、採用を見送った。

コインテレグラフは7月、コンセンシス（Consensys）が北朝鮮とつながる開発者をコンサルタントとして雇用していた事例も報じた。コンセンシスは関連事実を確認した後、当該人材のアクセス権を遮断した。調査の結果、資産やデータの窃取、マルウエアの配布、利用者の安全への影響は確認されなかったと説明した。