TL;DR
警察庁と国家サイバー統括室は2026年9月18日、米国・豪州・ドイツの当局とともに、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」と北朝鮮IT労働者の活動実態を合同で公表した。北朝鮮IT労働者は、国内に住む支援者から提供された身分証明書の画像を使ってその支援者になりすまし、業務を受注していた。支援者宅に置かれた遠隔操作用PC(ラップトップ・ファーム)は、国内で初めて把握・解体された。応募者の不審点に気づき、採用を見送った国内の暗号資産交換業者の例もある。検出は効いていた。効かなかったのは、身分証の持ち主と、実際に作業する人物が同一であることを、業務を渡す前に確かめる層である。
何が起きたか
- 2026年9月18日、警察庁と国家サイバー統括室(NCO)は、米国連邦捜査局(FBI)、米国防総省サイバー犯罪センター(DC3)、豪州通信情報局 豪州サイバーセキュリティセンター(ASD’s ACSC)、ドイツ連邦情報庁(BND)、ドイツ連邦憲法擁護庁(BfV)とともに、合同文書を公表した。
- 北朝鮮IT労働者は、国内に住む支援者から提供を受けた身分証明書の画像を使い、支援者になりすまして業務を受注していた。支援者が受注した業務を請け負う形もあった。報酬の振込先には支援者名義の銀行口座が指定され、支援者から北朝鮮IT労働者へ報酬が送金されていた。
- 支援者の居宅に北朝鮮IT労働者が遠隔操作するPCを設置する「ラップトップ・ファーム」が、国内で初めて把握・捜査・解体された。北朝鮮IT労働者は、関連捜査で判明した分を含め、暗号資産等で数億円相当を海外に送金していた。
- 攻撃グループWaterPlumは、ヘッドハンティングを装い、AI・暗号資産・NFT企業や人材紹介サービスになりすまして求職中のIT技術者に接触し、面接やコーディング課題を口実に不正なプログラムを実行させていた。2025年12月頃から2026年7月にかけて、100以上の国・地域で3万台以上とみられるPCが感染し、7千件以上の暗号資産ウォレット情報が窃取され、少なくとも約17億円相当の暗号資産がWaterPlumの管理するウォレットに送金された。
- 警察庁とFBIは、WaterPlumと一部の北朝鮮IT労働者が、ともに朝鮮労働党中央委員会軍需工業部313総局の指揮下にあると評価している。WaterPlumの一部メンバーは、自らも北朝鮮IT労働者として企業のWebシステムの設計・開発業務に就いていた。
- WaterPlumの窃取対象には、感染PC内にある運転免許証やパスポートなどの身分証画像も含まれる。公表文書は、盗まれた身分証画像が、北朝鮮IT労働者による被害者へのなりすましに使われ得ると記している。
- WaterPlumの攻撃者が使っていたIPアドレスと、北朝鮮IT労働者がラップトップ・ファームやクラウドソーシング・サービスへの接続、国内暗号資産交換業者への採用応募に使っていたIPアドレスは合致した。
なりすまし就労は、次の連鎖で成立している。
- 国内の支援者が、自身の身分証明書の画像を北朝鮮IT労働者に提供する(WaterPlumが感染PCから窃取した他人の身分証画像も、同じ用途に使われ得る)。
- 北朝鮮IT労働者は、支援者宅のPCや支援者が借りたVPSを経由して居場所を偽装し、支援者名義でクラウドソーシングの業務を受注する。
- 発注側は、提出された身分証画像と国内からの接続という「見た目」によって、受注者を支援者本人として扱う。
- 報酬は支援者名義の口座に振り込まれ、支援者から北朝鮮IT労働者へ送金される。
時系列 — 公表と対応
- 2025年5月:国内の暗号資産交換業者bitFlyerのエンジニア職に、北朝鮮IT労働者とみられる人物が別人になりすました履歴書で応募。同社はその可能性を考慮した上で面接し、不審点に気づいて採用を見送った(被害なし)。
- 2025年12月頃〜2026年7月:WaterPlumによるマルウェア感染が、100以上の国・地域で3万台以上とみられるPCに及んだ。
- 2026-07-31:警察庁・国家サイバー統括室・外務省・財務省・経済産業省が、米国・韓国をはじめとする同盟国・同志国の関係機関とともに「北朝鮮IT労働者に関する各国・企業等に対する注意喚起」を公表した。
- 時期非公表:国内初のラップトップ・ファームを把握し、捜査・解体した。
- 2026-09-18:警察庁・国家サイバー統括室が、米・豪・独の5機関とともに合同文書を公表した。
本件の一次情報は、日米豪独7機関による合同文書である。ラップトップ・ファームの所在地・解体の時期・関与した支援者の人数、北朝鮮IT労働者に業務を発注した国内企業の名称は公表されていない。「数億円相当」は文書の表記のまま扱う。WaterPlumが窃取した身分証画像については、なりすましに「使われ得る」という可能性の記述であり、実際に就労なりすましに使われた件数は示されていない。
公表後の対応と、文書が示した緩和策は次のとおり。
- 業務を発注・委託する事業者に対し、再委託先を含めて北朝鮮IT労働者が関与する可能性を考慮し、外注・再委託に関する禁止条項や契約内容を明確にするよう求めた。
- 外注先に渡す情報(ソースコード・認証情報等)とアクセス範囲を必要最小限にし、疑いが生じた時点でアカウントとセッションを速やかに無効化するよう求めた。
- 採用時の確認として、アクセス元IPアドレスと申告居住地の突き合わせ、連絡先の確認、職務経歴書のスキルの具体的な説明、資格の認定番号の確認、出身地や天候など個人的な質問を挙げた。
- 北朝鮮IT労働者に業務を発注して報酬を支払った場合、または外貨獲得を幇助した場合は、国内法令や対北朝鮮制裁の違反に問われるおそれがあると明記した。北朝鮮の者と知って報酬を支払ったり、身分証明書(画像を含む)を提供したりすると、犯罪に加担する可能性があるとも記している。
- IT技術者個人に対しては、第三者が関与したコードをサンドボックス内で実行すること、見知らぬVS Codeプロジェクトを「制限モード」で開くことなどを勧めた。
なぜ止まらなかったか
この事案の失敗は、身分証の偽造を見抜けなかったことでも、面接官の目が甘かったことでもない。身分証は本物だった。提出された身分証の持ち主と、実際に業務を行う人物が同一であることを、業務を渡す前に確かめる層が無かったことにある。
クラウドソーシングや業務委託の本人確認は、多くの場合、身分証の画像を受け取り、その書類が本物で、名義と申告が一致することを確かめる。今回はそのすべてが正しく通る。書類は実在する国内居住者のものであり、接続も国内の支援者宅や支援者が借りたサーバーから来ている。欠けていたのは、その書類と、画面の向こうでキーボードを打つ人物とを結びつける一段である。身分証の画像は、コピーして渡せる。渡された時点で、それは持ち主を離れて誰でも提示できる「見た目」になる。
検出は効いていた。bitFlyerは、多種多様すぎるスキルを並べた職務経歴書や、学歴・職歴に見合わない英語力、スキルについての質問に抽象的な回答しか返さない様子から不審点に気づき、採用を見送った。警察はラップトップ・ファームを突き止めて解体した。ただ、文書が挙げる緩和策の大半は、IPアドレスと居住地の食い違いや受け答えの不自然さといった兆候を見つけるための検出であり、原本との照合に当たるのは資格の認定番号の確認などごく一部である。WaterPlumのメンバーは、AIによる顔画像交換ソフトを面接で数分だけ使い、その後は回線の状態を口実に映像を切るよう仲間内で助言し合っていた。兆候に頼る確認は、兆候が消されれば通過する。効かなかったのは、その手前——業務を渡し、社内の情報とアクセスを与えるという行動の前に、作業者本人を確かめる層である。
この落差は、発注側に規制上の重みとしても返ってくる。文書は、北朝鮮IT労働者への発注と報酬の支払いが、国内法令や対北朝鮮制裁の違反に問われるおそれがあると明記した。「誰に業務を渡し、誰に支払ったか」を、発注側が自ら示せなければならない。本人確認のために窓口へ渡した運転免許証のスキャン画像が大量に売られていた Brief 141 は、身分証画像が流通する側の問題を扱った。本件はその画像が受け取られる側で、画像を出した人と働く人の結びつきが確かめられていなかった点を示している。ビデオ会議の相手全員がリアルタイムのディープフェイクだった Brief 084 と同じく、映像で本人を確かめる手順は、映像を差し替えられた時点で根拠を失う。
「北朝鮮IT労働者は、我が国に居住する支援者から提供を受けた身分証明書画像を悪用し、支援者になりすまして業務を受注していた」——日米豪独7機関の合同文書
証明があれば、何が変わるか
リモートでの採用や業務委託そのものをやめることはできないし、やめる必要もない。事前証明が経路に一段挟まるとすれば、それは「この人を採用するか」の判断ではなく、「業務とアクセスを受け取ろうとしているのが、属性を示した本人の鍵か」を確かめる一段である。
Lemmaがこの落差に対して提示する設計は次の通りである。
- 身分証の画像ではなく、属性の証明を受け取る:就労資格・居住地・制裁対象でないことなど、発注に必要な属性だけを、発行元の記録と照合できる証明として受け取る。身分証の画像そのものは発注側に渡らない。
- 証明を作業者の鍵に束縛する:属性の証明を、提示する本人が保持する鍵に結びつける。画像のように複製して手渡すことはできず、名義を貸すには鍵ごと差し出すという明示的な行為が必要になる。
- 受注時だけでなく、アクセスのたびに提示を求める:業務の受注時、リポジトリや社内システムへのアクセス時に、同じ鍵での提示を条件にする。証明に有効期限とスコープを持たせ、疑いが生じた時点で失効させる。
- 支払先を証明の主体に揃える:報酬の振込先が、属性を証明した本人の名義であることを支払いの条件にし、誰に支払ったかを発注側が示せる記録を残す。
担わないものも、あわせて書いておく。
- 名義人本人が、鍵を保持する端末ごと第三者に差し出す共謀そのものは防げない。証明が示すのは、提示が名義人の鍵で行われたことまでである。
- 採用面接での見極めや、アクセス元の監視、EDRなどの検出の仕組みを不要にするものではない。
- WaterPlumのような偽の採用担当者によるマルウェア感染を防ぐものではない。第三者のコードを実行しない、サンドボックスで実行するといった対策は引き続き必要である。
事後の検出との違いはここにある。検出は、面接の受け答えや接続元の食い違いから、なりすましの兆候を見つける。兆候が巧妙に消されれば通過する。証明は、兆候の有無に関わらず、業務とアクセスを渡す前に「本人の鍵による提示か」を問う。
検出の層と、この層は代替ではなく補完の関係にある。前者はなりすましの兆候を見つけ、発覚後にアカウントを止める。後者は、業務とアクセスを渡す前に、作業者本人が属性の持ち主であることを確かめられるようにする。
Sources
- 警察庁・国家サイバー統括室(一次・当局公表): 「北朝鮮サイバー攻撃グループ『WaterPlum』(ウォータープラム)及び北朝鮮IT労働者に関する我が国、米国、豪州及びドイツによるパブリック・アトリビューションについて」(2026-09-18)— https://www.npa.go.jp/bureau/cyber/koho/caution/caution20260918.html
- 日米豪独7機関(一次・合同文書 和文): 「北朝鮮サイバー攻撃グループ『WaterPlum』によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の我が国、米国及び欧州における活動実態等について」— https://www.npa.go.jp/bureau/cyber/pdf/20260918_j.pdf
- 日米豪独7機関(一次・合同文書 英文): “North Korean ‘WaterPlum,’ commonly referred to as ‘Contagious Interview,’ Cyber Actor Group Targeting IT Professionals; Activities of North Korean IT Workers in Japan, the United States and Europe” — https://www.npa.go.jp/bureau/cyber/pdf/20260918_e.pdf
- 警察庁ほか(一次・先行する注意喚起): 「北朝鮮IT労働者に関する企業等に対する注意喚起」(2026-07-31)— https://www.npa.go.jp/bureau/security/northkorea_IT/NK_IT_202607.html
- The Register(独立報道): “North Korea’s fake job interviews infected 30,000 devices”(2026-09-18)— https://www.theregister.com/security/2026/09/18/north-koreas-fake-job-interviews-infected-30000-devices/5297461
ラップトップ・ファームの所在地と解体の時期、関与した支援者の人数、北朝鮮IT労働者に業務を発注した国内企業の名称は、本Brief執筆時点で公表されていない。本文中の数値は、すべて日米豪独7機関の合同文書の記載による。