北朝鮮ハッカー、3万台のコンピューターと7000の暗号ウォレットを侵害

100カ国以上の3万台以上のコンピューターが北朝鮮に関連するハッキンググループに感染した。7000以上の暗号通貨ウォレットのデータも盗まれたと、日本の警察庁とFBIが金曜日に発表した。

2025年12月から2026年7月にかけて、このグループのウォレットは少なくとも1071万ドルのデジタル通貨を受け取った。両機関はこのグループをWaterPlum、別名Contagious Interviewと呼んでいる。

偽の採用担当者が7000の暗号ウォレットにアクセスした方法

WaterPlumは、人工知能、暗号通貨、非代替性トークンに関わる企業の採用担当者を装う。このグループは、ソーシャルメディア、求人掲示板、フリーランスプラットフォームを通じて開発者に連絡を取る。

「WaterPlumの行為者は、魅力的な求人機会を口実に、世界中のソフトウェア開発者やIT専門家を標的にして、潜在的雇用者を装う」と、日本の警察庁とFBIは共同勧告で述べた。

その後、候補者は技術面接を受けるか、コーディングタスクを完了するよう求められる。グループはコード共有ウェブサイトからファイルをダウンロードするよう指示する。理由として挙げられるのは、ビデオ通話の不調か、テストそのものである。

それらのファイルにはマルウェアが含まれている。ソフトウェアはブラウザのパスワード、スクリーンショット、キーストロークを検索する。また、デジタルマネーを保存するために個人が使用するソフトウェアである暗号ウォレットを制御する秘密鍵も取得する。

BeInCryptoは8月に、グループのサーバー内に22か月間潜伏した研究者について報じた。彼は57カ国で1640人の被害者を特定した。金曜日の公式数字はその約18倍である。

日本、初のラップトップファームを閉鎖

当局はまた、国内初の既知のラップトップファームを閉鎖した。地元の補助者が自宅にコンピューターを保管していた。海外に拠点を置く北朝鮮の労働者がそれらを遠隔操作し、日本人居住者を装ってフリーランス契約を獲得していた。

捜査官によると、それらの労働者は数億円相当の暗号通貨を海外に送金した。同じインターネットアドレスがファームとハッカーを結びつけていた。

「警察庁とFBIは、WaterPlumのサイバー行為者と一部の北朝鮮IT労働者の両方が、朝鮮労働党中央委員会の傘下にある兵器産業省第313総局の下で活動していると評価している。」

2025年5月、北朝鮮人の疑いがある人物が、盗難された履歴書を使って日本の取引所bitFlyerのエンジニア職に応募した。面接官は、彼が転居を拒否し、暗号通貨での支払いを要求したことに気づいた。彼は別の画面から答えを読んでいるように見え、採用されなかった。

初期の作戦では、ディープフェイクの採用ビデオ通話を使って上級スタッフを標的にしていた。捜査官は現在、エンジニアに対し、実際のファイルから隔離された密閉されたテスト領域であるサンドボックス内で採用担当者のコードを実行するよう勧告している。