概要
日本、米国、オーストラリア、ドイツの当局による合同勧告で、北朝鮮関連のハッカー集団「WaterPlum」(通称「Contagious Interview」)が2025年12月から2026年7月にかけて、世界100カ国以上で3万台超の端末に感染し、7,000以上の暗号資産ウォレットから1,070万ドル以上を窃取していたことが明らかになった。同集団は暗号資産・AI・NFT関連の実在企業になりすまし、求人プラットフォームやSNS、ギグワーク市場を通じてソフトウェア開発者やWeb3技術者に接触する手口を用いていた。窃取された資金は北朝鮮へ送金されており、軍需産業を統括する「第313総局」との関連が指摘されている。
攻撃の手口
攻撃者は採用面接やコーディング課題を装い、候補者に対して「ビデオ会議のエラー修正」などの口実でマルウェアファイルのダウンロードと実行を促す。標的が実行に応じると、リモートアクセス型トロイの木馬や情報窃取マルウェアが機密データと暗号資産ウォレットの認証情報を抜き取る仕組みだった。使用されたマルウェアファミリーには、npmパッケージに仕込まれたJavaScriptの「BeaverTail」、Python製バックドアの「InvisibleFerret」、情報窃取機能を備えたRATの「OtterCookie」、ハイブリッド型の「OtterCandy」、Visual Studio Codeのプロジェクトを介して展開されるモジュール式Node.jsマルウェア「StoatWaffle」など複数が含まれる。侵入後は雇用主のネットワークへの侵入も狙っていたとされ、単なる個人への攻撃にとどまらない広がりを持つ点が特徴だ。
被害の規模と当局の対応
今回の勧告では、被害が単発の事件ではなく、7カ月あまりにわたり100カ国以上で3万台超の端末に及ぶ組織的キャンペーンであったことが強調されている。盗まれた暗号資産は7,000以上のウォレットから合計1,070万ドル以上にのぼり、北朝鮮への資金移転が確認された。日米豪独の当局は、WaterPlumが北朝鮮の偽装ITワーカー問題とも重なりを持ち、兵器開発プログラムの資金源になっていると指摘している。対策として、企業には求職者の身元・所在地の厳格な確認、アクセス権限の制限、未知のコードに対するサンドボックス実行環境の導入が推奨されており、開発者個人に対しても採用プロセスで受け取ったファイルを安易に実行せず、内容を事前に精査するよう注意が呼びかけられている。
影響と今後の見通し
偽装求人による攻撃は、身分証明書の窃取や給与の搾取、被害者への恐喝リスクに加え、組織内部への足がかりを攻撃者に与えるという点で二次被害の危険性も大きい。今回のように複数国の当局が共同でマルウェアファミリーや被害規模を体系的に整理・公表したことで、開発者コミュニティや暗号資産関連企業における警戒レベルの引き上げが期待される一方、攻撃側もnpmエコシステムやVS Code拡張機能といった開発ツールチェーンを標的にする手口を継続的に洗練させており、採用プロセスを起点としたサプライチェーン型の脅威は今後も拡大する可能性が高い。