警察庁が「求人」を装う暗号資産の窃取を公表｜ウォレット情報7千件超・約17億円、国内取引所への応募も【2026年9月】

「求人の話を聞くだけなら、お金は減らない」。そう思っている人のほうが多いはずです。今回、まさにそこが狙われました。

警察庁が2026年9月18日、米国・豪州・ドイツの5機関と合同で、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum（ウォータープラム）」の手口を公表しました。入口は求人です。ヘッドハンティングを装って声をかけ、オンライン面接とコーディング課題を出し、その課題ファイルを実行させる。そこで、PCの中にある暗号資産ウォレットの秘密鍵とシードフレーズが抜かれます。

規模は、100以上の国と地域で3万台以上の端末が感染、7千件以上のウォレット情報が窃取、攻撃側のウォレットへ少なくとも約17億円相当の送金が判明。いずれも警察庁が把握した範囲の数字です。そして国内では、暗号資産取引所 bitFlyer のエンジニア職への応募者が、北朝鮮IT労働者とみられる人物だったことも、あわせて公表されています。

この記事で分かること

• 警察庁が何を公表したのか（数字と期間）
• 「求人」から資産が抜かれるまでの順番
• 狙われているのは誰か、自分が対象かをどこで確かめられるか
• 感染が疑われるとき、注意喚起が挙げている対処
• なぜこの手口が「自分には関係ない」に見えるのか

本記事は警察庁の公表資料の記載を整理したものであり、特定の投資判断や金融商品の選択を推奨するものではありません。

何が公表されたのか

警察庁は2026年9月18日、北朝鮮サイバー攻撃グループ「WaterPlum」(ウォータープラム)及び北朝鮮IT労働者に関する我が国、米国、豪州及びドイツによるパブリック・アトリビューションについてを発表しました。注意喚起の本体は全8ページのPDFです。

「パブリック・アトリビューション」は、サイバー攻撃の主体が誰かについて、当局が公に評価を示すことを指します。注意喚起でも、WaterPlumと一部の北朝鮮IT労働者が軍需工業部313総局の指揮下で運用されているという点は「評価しています」という書き方になっています。今回は警察庁と国家サイバー統括室（NCO）が、米国連邦捜査局（FBI）、米国国防総省サイバー犯罪センター（DC3）、豪州通信情報局（ASD）豪州サイバーセキュリティセンター（ACSC）、ドイツ連邦情報庁（BND）、ドイツ連邦憲法擁護庁（BfV）と合同で文書を公表しています。

公表された数字は次のとおりです。

グループの位置づけについて、注意喚起は次のように書いています。

警察庁とFBIは、WaterPlumと一部の北朝鮮IT労働者が、北朝鮮朝鮮労働党（WPK）中央委員会軍需工業部313総局の指揮下で運用されていると評価しています。

「求人」から暗号資産が盗まれるまでの順番

注意喚起に書かれている代表的な手口は、次の順で進みます。

1. なりすまし — 正規のAI企業、暗号資産企業、NFT企業、あるいは人材紹介サービスになりすまし、ヘッドハンティングを装って魅力的な求人を持ちかける
2. 接触 — ソーシャルメディア、オンライン求人サイト、ギグワークプラットフォーム、フリーランスマーケットプレイスなどを通じて、世界中の求職者にアプローチする
3. 課題 — 技術的なオンライン面接への参加、または技術的なコーディング課題の完了を求める
4. 実行 — 共同開発プラットフォームやコードリポジトリに置かれた不正なプログラムをダウンロードさせ、「ビデオ会議の不具合を診断・修正する」「課題を完成させる」という名目でそのファイルを使わせる
5. 窃取 — マルウェアローダーがバックドアを設置し、リモートアクセスツール（RAT）で接続を維持したうえで、情報窃取ツールが機密データと暗号資産を外部へ送信する

埋め込まれるマルウェアとして、注意喚起は悪意のあるNPMパッケージに仕込まれる BeaverTail / InvisibleFerret / OtterCookie / OtterCandy / StoatWaffle とその亜種を挙げています。StoatWaffle は悪意ある Visual Studio Code プロジェクトを通じて配布され、ブロックチェーンをテーマにしたリポジトリをおとりに使い、フォルダを開いて信頼した時点で自動実行されるコードを設定ファイルに埋め込む、と説明されています。

盗まれる対象として挙げられているのは次の4つです。

• ウェブブラウザに保存された認証情報（ID、パスワード等）
• クリップボードの情報、キー入力の記録、スクリーンショット
• 暗号資産ウォレットのデータ（秘密鍵、シードフレーズ等）
• PCや共有フォルダ内のファイル（運転免許証、パスポート等の身分証画像を含む）

身分証の画像については、北朝鮮IT労働者が外貨獲得のために被害者になりすますことにも利用され得る、と書かれています。盗まれるのはお金だけではない、ということです。

仮想通貨のウォレットが盗まれたとき、どれくらいの金額が動いているのか

公表されている数字は次の2つです。どちらも「少なくとも」「以上」という下限で、上限は示されていません。

• 攻撃側のウォレットへ送金されたことが判明した額 … 少なくとも約17億円相当
• 窃取が判明したウォレット情報の件数 … 7千件以上

この2つを機械的に割ると、1件あたり約24万円という数字になります。ただし、これは平均被害額ではありません。17億円は「WaterPlumが管理するウォレットへの送金として判明した額」、7千件は「窃取が判明したウォレット情報の件数」で、別々に数えられた下限値です。両者が一対一で対応するとは、注意喚起には書かれていません。

感染端末についても同じで、「3万台以上」「7千件以上」はいずれも警察庁が把握した下限であり、感染率や被害率として示されたものではありません。公表された数字から読めるのは規模の下限であって、1人あたりいくら盗まれたかではない、ということです。

狙われているのは誰か、自分が対象かどうかはどこで確認できるか

注意喚起が挙げている主な標的は、Web関係のデザイナーやエンジニア、そして暗号資産・ブロックチェーン・Web3分野の技術者です。加えて、クラウドソーシングを利用して業務を発注・委託している事業者にも呼びかけられています。

注意喚起が接点として記載しているのは、次の場面です。

• 業務で使用するPC、暗号資産や個人情報を扱うPCでのコードの実行。注意喚起は、第三者が関与したコードをむやみに実行しないことと、仮想マシン等のサンドボックス内での実行を挙げています
• 採用選考や案件の過程で、ファイルやプロジェクトを開くよう求められる場面。オンライン面接・コーディング課題が入口として記載されています
• オンラインの募集経由で受ける案件。ソーシャルメディア、オンライン求人サイト、ギグワークプラットフォーム、フリーランスマーケットプレイスが接触経路として記載されています
• 貼り付けるよう指示されたコマンドの中身。注意喚起は curl / base64 / -enc / mshta / Invoke-WebRequest -uri / iwr -uri / hidden という文字列を、特に注意が必要なものとして名指ししています

標的にされた技術者の勤務先や、北朝鮮IT労働者に業務を発注した企業の内部から、暗号資産や個人情報が窃取されたり、窃取された機微な情報を悪用・脅迫されたりする可能性がある、とも書かれています。本人だけの問題では終わらないという点も明記されています。

感染が疑われるとき、注意喚起は何を挙げているか

対策・緩和策として注意喚起に記載されているのは、次の内容です。原文は呼びかけの形で書かれており、ここでは資料の記載として整理しています。

• ウイルス対策ソフトが検知した場合や感染が疑われる場合について、注意喚起は、Wi-Fiの切断やLANケーブルを抜くなどして外部との通信を遮断することを挙げています
• 注意喚起は、ウイルス対策ソフトが検知・駆除した場合でも安心しないよう記載しています。検知前に暗号資産を含む情報が既に窃取された可能性を考慮するとしたうえで、別のPC等から新たなウォレットを作成し、すべての資産を送金して退避させることを挙げています
• 新たなウォレットのシードフレーズについては、印刷や紙に書き写すなどしてPC内に保管しないことが推奨される、と記載されています
• 検知できていない別のマルウェアが潜伏している可能性があるとして、必要なデータのバックアップを取得したうえでのPCの初期化（再セットアップ）が推奨される、と記載されています
• EDRと呼ばれるソフトウェア等でPCの挙動を監視することが、侵害挙動の早期発見とマルウェア感染の抑止につながる、と記載されています
• 自身が関与していない VS Code のプロジェクトを開くよう依頼された場合について、注意喚起は「制限モード」で開くことを挙げています。「このフォルダ内のファイルの作成者を信頼しますか？」の警告に「いいえ」を選ぶと制限モードで開ける、と説明されています
• 過去に「信頼する」と設定したフォルダ内で依頼されたプロジェクトを開かないこと、設定 security.workspace.trust.enabled を無効にしないことも、あわせて記載されています

注意喚起がここで示しているのは、「駆除できたから大丈夫」という順序ではないという点です。検知より前に窃取されている可能性を前提に置いた記載になっています。

国内の暗号資産取引所にも応募していた

注意喚起には、国内で実際に起きた事例が具体的に書かれています。

2025年5月、日本の暗号資産取引事業者「bitFlyer」（ビットフライヤー）社のエンジニア職への採用応募がありました。

応募者は北朝鮮IT労働者とみられ、採用フォームに別人になりすました履歴書を添付し、仲介事業者を介さず直接応募していました。連絡先には Gmail が使われ、フォームへのアクセスには VPN（NETNUT Proxy、Astrill VPN、High Speed Rabbit Proxy）が使われていたとされています。

職務経歴書には共通の特徴があり、プログラミング言語・ブロックチェーン・クラウドサービスなどでそれぞれ10種類以上の知見と経験が並び、欧州の大学を卒業後に世界各地の都市での職歴がある、という形だったと書かれています。

オンライン面接での特徴として挙げられているのは次の5点です。

• 日本への引っ越し（出社）を拒否するか、「半年先なら」と回答する
• 暗号資産での給与支払いに固執する
• しきりに別モニターを確認し、画面内容を読み上げているような様子がある
• 時折、背後で他人の話し声が聞こえる
• 映像が途切れる、コマ送りになる

この件では、同社が応募者の不審点に気づき適切に対応したため、採用や被害には至っていません。注意喚起の謝辞には、NTTセキュリティ・ジャパン株式会社とともに株式会社 bitFlyer が挙げられています。

なお、WaterPlumの攻撃者が使っていたIPアドレスと、北朝鮮IT労働者が「ラップトップ・ファーム」やクラウドソーシングサービスへ接続する際に使っていたIPアドレス、そしてこの応募者が使っていたIPアドレスが一致したことが、両者を結びつける根拠として書かれています。

国内で初めて「ラップトップ・ファーム」を解体

もうひとつ、今回の資料には、我が国で初めてラップトップ・ファームを把握し、捜査・解体したことが記載されています。

我が国で初めて、国内の支援者（Domestic Enabler、ドメスティック・イネーブラー、以下単に「支援者」という。）による「ラップトップ・ファーム」（支援者の居宅内に設置された、北朝鮮IT労働者が遠隔操作するPC）を把握し、捜査及び解体しました。

日本国内に住む協力者の自宅にPCを置かせ、それを海外から遠隔操作することで、居場所と作業場所を偽装する仕組みです。北朝鮮IT労働者は、支援者から提供を受けた身分証明書の画像を悪用して支援者になりすまし、業務を受注していたほか、支援者の銀行口座を報酬の振込先に指定していた、と書かれています。送金額は「関連捜査で判明した分を含め、暗号資産等、数億円相当」とされています。

法令上の位置づけについては、対象が限定して書かれています。

北朝鮮IT労働者に対して業務を発注し報酬を支払った場合、または外貨獲得の幇助行為を行った場合、国内法令や対北朝鮮制裁の違反行為に問われるおそれがあります。

ここで挙げられているのは、業務の発注・報酬の支払いと、外貨獲得の幇助行為です。

これとは別に、注意喚起は、北朝鮮の者と知って報酬を支払ったり、身分証明書（画像を含む）を提供したりすると犯罪に加担する可能性があるとも記載しています。PCの設置については、自宅に第三者が遠隔操作可能なPCをむやみに設置しないことと、取引相手や関係者が北朝鮮IT労働者である可能性を把握した場合の警察への相談が挙げられています。「海外からだと制約があって仕事がしにくい」といった説明で設置を依頼されるケースや、ブローカーが事情を説明せずに依頼してくるケースが考えられる、という記載です。

なぜこの手口は「自分には関係ない」に見えるのか

理由ははっきりしています。入口が「攻撃」の顔をしていないからです。

当サイトがこの1年に扱った、ウォレットの秘密情報の安全性に関わる事例を、公表された順に並べます。

機器の不具合や拡張機能は、「使っているものを点検する」で範囲が閉じていました。今回、注意喚起が入口として記載しているのは、ヘッドハンティングを装って持ちかけられた求人と、その過程で渡されるファイルです。確認の対象が、ソフトウェアから、人とのやり取りそのものへ移っています。

なお、国内取引所への採用応募の事例は、これとは向きが逆の話です。WaterPlumの攻撃は求職者側が狙われるもので、bitFlyerの件は北朝鮮IT労働者が応募してきた側の事例として、注意喚起では別の章に書かれています。同じ資料に載っていますが、同じ手口ではありません。

なりすましを使って人の判断に入り込む構図は、暗号資産に限った話ではありません。当サイトでは、なりすまし詐欺広告の政府要請でも、同じ構図を扱っています。

この件が示していること

3つ挙げられます。

1つ目は、「技術者向けの注意喚起」に、個人のPCの中身が対象として書かれていること。窃取対象として挙げられているものには、個人が使うPCに保存された暗号資産ウォレットの秘密鍵・シードフレーズが含まれます。あわせて注意喚起は、窃取した認証情報を使って勤務先の組織のネットワークへ侵入し、スパイ活動や知的財産の盗難、企業環境内へのさらなる横展開が行われる可能性も記載しています。個人の端末と、その先の組織の両方が射程に入っている、という書き方です。

2つ目は、面接の場で使われていたツールが具体的に書かれていること。注意喚起の「参考」欄には、WaterPlumのメンバーがAIによる顔画像交換ソフト「Magicam」を使ってオンライン面接を行い、数分だけ使ってからネットワークの状態を口実に映像を無効にするよう仲間内で助言していた、と記載されています。音声読み上げソフト「NaturalReader」のようなソフトで日本語の発音を勉強していたこと、機械翻訳や生成AIは無料サービスや無料プランを多用していたことも、同じ欄に書かれています。

3つ目は、警察庁自身が「これで終わり」と書いていないこと。注意喚起は最後に、記載した手口は一例であり、今後も手法が変化・巧妙化する可能性がある、と記しています。そのうえで、国内外のセキュリティ専門機関による注意喚起や、セキュリティベンダーが公表するレポートに関心を持つことが挙げられています。

警察庁が北朝鮮IT労働者について公表するのは、今回が最初ではありません。2026年7月31日には、警察庁・国家サイバー統括室・外務省・財務省・経済産業省が、米国・韓国をはじめとする同盟国・同志国の関係機関と共に、北朝鮮IT労働者に関する各国・企業等に対する注意喚起を公表しています。今回の注意喚起でも、この資料が参考情報として挙げられています。

図解版として、サイバー警察局便り R8 Vol.17「北朝鮮サイバー攻撃グループによる被害防止のお願い」が1ページのPDFで公開されています。相談先として、最寄りの警察署またはサイバー犯罪相談窓口が案内されています。

現時点で未確定の事項

• 日本国内での感染端末数、国内の被害額の内訳 — 公表されているのは世界全体の数字です
• 被害の全体像 — 公表されている「3万台以上」「7千件以上」「少なくとも約17億円相当」は、いずれも警察庁が把握した下限です
• 送金が判明した約17億円相当の暗号資産の行方と、回収の可否
• 解体された「ラップトップ・ファーム」の件数、関係者の処分
• 今後の手口の変化 — 注意喚起自身が「手法が変化・巧妙化する可能性」と記載しています

出典・確認日

• 警察庁「北朝鮮サイバー攻撃グループ「WaterPlum」(ウォータープラム)及び北朝鮮IT労働者に関する我が国、米国、豪州及びドイツによるパブリック・アトリビューションについて」2026年9月18日
• 警察庁・国家サイバー統括室「北朝鮮サイバー攻撃グループ「WaterPlum」によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の我が国、米国及び欧州における活動実態等について」（PDF・全8ページ）
• 警察庁 サイバー警察局便り 2026 Vol.17（R8.9）
• 警察庁「北朝鮮IT労働者に関する各国・企業等に対する注意喚起」2026年7月31日

確認日: 2026年9月19日

この記事のまとめ

• 警察庁と国家サイバー統括室が2026年9月18日、米FBI・DC3、豪ASD（ACSC）、独BND・BfV と合同で、北朝鮮を背景とするサイバー攻撃グループ WaterPlum の手口を公表しました
• 入口は求人です。AI企業・暗号資産企業・NFT企業・人材紹介になりすまし、オンライン面接とコーディング課題で不正なプログラムを実行させます
• 2025年12月頃から2026年7月にかけて、100以上の国と地域で3万台以上が感染、7千件以上の暗号資産ウォレット情報が窃取され、攻撃側のウォレットへ少なくとも約17億円相当が送金されていたことが判明した、と公表されています。いずれも下限の数字で、平均被害額は示されていません
• 盗まれる対象には、暗号資産ウォレットの秘密鍵・シードフレーズと、運転免許証・パスポート等の身分証画像が含まれます
• 注意喚起は、ウイルス対策ソフトが検知・駆除した場合でも、検知前に窃取された可能性を考慮するとしたうえで、新たなウォレットの作成と資産の退避を挙げています
• 国内では、bitFlyer のエンジニア職に北朝鮮IT労働者とみられる人物が応募していました。同社が不審点に気づいて対応したため、採用や被害には至っていません
• 国内の支援者宅を使った「ラップトップ・ファーム」を初めて把握・解体したことも公表されました。法令・制裁違反のおそれとして書かれているのは、業務の発注・報酬の支払いと、外貨獲得の幇助行為です

あなたが最後に実行したコードは、誰から渡されたものでしたか。

あわせて読みたい

• 口座と個人情報を守る ── フィッシング・出金トラブルから資産を守る基本
• 金融庁の暗号資産11項目要請とは？出庫制限と税制改正の現在地【2026年8月】
• 金融庁が2026事務年度の金融行政方針を公表｜口座開設の直後に暗号資産をアンホステッド・ウォレットへ移せない「熟慮期間」の制度的対応を進めると明記【2026年9月】

※本記事は公表された資料・発表の内容を整理した一般的な情報提供であり、特定の個人・団体・商品・サービスの利用や解約を勧めるものではありません。投資の最終判断はご自身の責任で行ってください。元本保証はなく、損失が生じる可能性があります。税務の取扱いについては税理士に、法律上の論点については弁護士にご確認ください。

記事の内容に誤りを見つけた場合は、info@agito-investor.com までお知らせください。確認のうえ訂正します。