警察庁は2026年9月18日、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum（ウォータープラム）」による攻撃手口と、北朝鮮IT労働者の活動実態について注意喚起を公表した。国家サイバー統括室（NCO）が、米連邦捜査局（FBI）、米国防総省サイバー犯罪センター（DC3）、豪サイバーセキュリティセンター（ACSC）、独連邦情報庁（BND）、独連邦憲法擁護庁（BfV）との共同公表という形をとっており、標的はIT技術者、主な目的は暗号資産の窃取だとしている（警察庁の広報資料、2026年10月17日確認）。
被害規模──7,000件以上のウォレット情報、17億円相当が流出
警察庁が把握した被害規模は以下の通り（警察庁の注意喚起（PDF）の「2(2) 警察庁で把握した被害と影響」より）。
- 期間：2025年12月頃〜2026年7月
- 感染端末：100以上の国と地域で3万台以上
- 窃取されたウォレット情報：7,000件以上
- 攻撃者の管理ウォレットへの送金額：少なくとも約17億円相当（1,071万ドル）
この17億円はWaterPlumが管理するウォレットへの累計送金額であり、日本国内の被害額を示すものではない。ウォレット情報7,000件の窃取とは別の集計値として示されている点に注意したい。
手口──偽装求人からコーディング課題でマルウェア感染
攻撃の入口は「求人」だ。WaterPlumは正規のAI企業・暗号資産企業・NFT企業・人材紹介サービスになりすまし、SNSやオンライン求人サイト、ギグワークプラットフォーム、フリーランスマーケットプレイスを通じて技術者に接触する。採用プロセスの中でオンライン面接やコーディング課題への参加を求めるのが特徴で、その過程で共同開発プラットフォームやコードリポジトリに仕込まれた不正プログラムをダウンロードさせる。
悪意あるNPMパッケージには「BeaverTail」「InvisibleFerret」「OtterCookie」「OtterCandy」「StoatWaffle」といったマルウェアが埋め込まれており、感染後は暗号資産ウォレットの秘密鍵・シードフレーズのほか、ブラウザに保存された認証情報、クリップボードの内容、キー入力ログ、身分証画像などが窃取対象になるという。
国内取引所bitFlyerへの偽装応募も判明
今回の公表では、国内の暗号資産取引所が標的になった具体的な事例も実名で示された。
2025年5月、bitFlyer（ビットフライヤー）のエンジニア職に、別人になりすました履歴書を使った応募があった。応募者は北朝鮮IT労働者とみられ、連絡先にはGmail、フォームへのアクセスには複数のVPNサービスが使われていたという。bitFlyerは北朝鮮IT労働者である可能性を考慮した上でオンライン面接を実施し、日本への引っ越しを拒否する態度や、面接中に画面を読み上げるような様子、映像の乱れといった不審点に気づいたため、採用・被害には至らなかった。今回の注意喚起でbitFlyerはNTTセキュリティ・ジャパンとともに謝辞に記載されている（警察庁の注意喚起（PDF）の「4 北朝鮮IT労働者による国内暗号資産取引所への採用応募活動」と「7 謝辞」）。
このように、暗号資産関連企業の求人には、北朝鮮IT労働者による偽装応募が紛れ込むおそれがある。今回は、国内の暗号資産取引所への応募の実例が、具体的な手口とともに警察庁から公表された形だ。
国内初の「ラップトップ・ファーム」も摘発
警察庁は、支援者の居宅に設置され北朝鮮IT労働者が遠隔操作するPC、いわゆる「ラップトップ・ファーム」を国内で初めて把握し、捜査・解体したことも明らかにした。関連する北朝鮮IT労働者は、暗号資産などで数億円相当を海外へ送金していたという。支援者から提供された身分証画像を悪用して業務を受注したり、支援者の銀行口座を報酬の振込先に指定したりする手口が確認されている。
警察庁は、北朝鮮IT労働者に業務を発注して報酬を支払った場合や、外貨獲得を幇助する行為を行った場合、国内法令や対北朝鮮制裁の違反に問われるおそれがあると警告している。
暗号資産保有者が今すぐできる対策
警察庁が示した対策のうち、暗号資産の保有者に直接関わる内容は次の通り。
- 業務用PCや暗号資産・個人情報を扱うPCでは、第三者が関与したコードをむやみに実行しない
- 実行する場合は仮想マシンなどのサンドボックス内にとどめ、難読化された部分や動作を理解できない内容が含まれていないか事前に確認する
- 感染が疑われる場合は、Wi-Fiの切断やLANケーブルを抜くなどして直ちに外部との通信を遮断する
- VS Codeで自分が関与していないプロジェクトを開くよう求められた場合は、必ず「制限モード」で開く（フォルダを開く際の確認ダイアログで「いいえ」を選択）
特に注意したいのは、警察庁が「ウイルス対策ソフトが検知・駆除したからといって安心しないように」と明確に呼びかけている点だ。検知される前に暗号資産を含む情報がすでに窃取されている可能性があるため、速やかに別の安全なPCなどから新しいウォレットを作成し、資産をすべて退避させることを推奨している。新しいウォレットのシードフレーズは印刷するか紙に書き写し、PC内には保管しないことも合わせて求めている。検知できていない別のマルウェアが潜伏している可能性を考慮し、必要なデータのバックアップ後にPCを初期化することも選択肢に挙げられた。
暗号資産関連の詐欺・不正アクセス全般への注意点は、Avici・Triaで仮想通貨カード流出、Rain基盤の脆弱性が原因の記事でも解説している。合わせて確認しておきたい。
特にフリーランスのエンジニア・デザイナーは要注意
今回の手口は、Web関係のデザイナーやエンジニア、暗号資産・ブロックチェーン・Web3分野の技術者を主なターゲットにしている。SNSやフリーランスマーケットプレイス経由で「好条件の求人」「暗号資産での給与支払い」を持ちかけられた場合、以下のような特徴がないか慎重に確認したい。
- 暗号資産での給与支払いに強くこだわってくる
- 採用プロセスでコーディング課題を装い、外部のリポジトリやツールの実行を求められる
- オンライン面接で経歴の割に受け答えが不自然、画面を読み上げているような様子がある
- 出社・現地への引っ越しを頑なに拒否する
まとめ
- 警察庁が18日、北朝鮮系ハッカー「WaterPlum」による暗号資産窃取の手口を日米豪独6機関と共同公表
- 100以上の国と地域で3万台以上が感染、ウォレット情報7,000件以上が窃取され、少なくとも17億円相当が攻撃者に送金された
- 手口は偽装求人からコーディング課題を装ったマルウェア感染。国内ではbitFlyerへの偽装応募も判明（採用・被害には至らず）
- 国内初の「ラップトップ・ファーム」も摘発。北朝鮮IT労働者への業務発注は制裁違反のリスクも
- ウイルス検知後も安心せず、新規ウォレットへの資産退避・PC初期化が推奨されている
出典：警察庁・国家サイバー統括室「北朝鮮サイバー攻撃グループ「WaterPlum」（ウォータープラム）及び北朝鮮IT労働者に関する我が国、米国、豪州及びドイツによるパブリック・アトリビューションについて」（広報資料、2026年9月18日）、警察庁「北朝鮮サイバー攻撃グループ「WaterPlum」によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の我が国、米国及び欧州における活動実態等について」（PDF）。どちらも2026年10月17日確認。
