北朝鮮のハッカーが求職者を標的に、テック企業への侵入とピョンヤンの資金源確保を目的とした長期的なサイバーキャンペーンを展開しており、これまでに1,050万ドル以上が盗まれていることが分かりました。
FBIと米国防総省は、日本の警察庁、オーストラリアおよびドイツの法執行機関と連携し、AIやブロックチェーン企業を装って求職者から暗号資産を盗んでいるとされるサイバー攻撃者グループ「WaterPlum」に関する新たな勧告を発表しました。
報告書によると、2025年12月から2026年7月にかけて、WaterPlumのハッカーは100カ国で少なくとも30,000台のデバイスに感染し、約7,000個の暗号資産ウォレットから資金や認証情報を窃取しました。このキャンペーンの主な標的は、ウェブデザイナー、エンジニア、暗号資産の専門家です。
金曜日に発表された勧告によると、WaterPlumの手口は特に日本をはじめとする各国のIT専門職を狙っています。求職者はソーシャルメディアやギグワークのウェブサイト、フリーランス向けポータルサイトを通じて接触を受けます。応募者は面接プロセスの中でファイルのダウンロードを指示され、これによってハッカーがデバイスに感染し、暗号資産ウォレットの認証情報などの情報を盗み出す仕組みです。
日本の警察は、被害者のデバイス上でBeaverTail、InvisibleFerret、OtterCookie、OtterCandy、StoatWaffleといったマルウェア株の亜種を発見しました。WaterPlumの攻撃者は通常、情報窃取型マルウェアやリモート管理ツールをインストールし、被害デバイスへのアクセスを維持していました。また、別の北朝鮮系ハッカーが被害者から盗んだ身分証明書を使って他の職に応募するケースも確認されています。
4月には、インシデント対応担当者が同種のキャンペーンを発見しており、同じ種類のマルウェアを使い、個人デバイスへのマルウェア攻撃を通じて最大1,200万ドルの暗号資産が盗まれていました。この事案もまた、LinkedIn経由で偽の採用担当者から接触を受けたブロックチェーン開発者を標的にしたものでした。
ハッカーは暗号資産を盗むだけでなく、被害者が他のテック企業に採用されることを見越して被害デバイスへのアクセスを維持し続け、北朝鮮のハッカーが企業システムに便乗して侵入できるようにしていました。少なくとも1社のブロックチェーン企業は、この手口のバリエーションが自社の深刻な暗号資産窃盗事件の原因であったことを以前に確認しています。
法執行機関は、WaterPlumを求職者のデバイスに感染させる他の北朝鮮の活動とも関連付けています。
2020年にまで遡ると、セキュリティ企業各社は防衛産業の求職者を標的とした同様の北朝鮮キャンペーンを確認しており、Googleは2022年に警告を発し、10のニュースメディア、ドメイン登録業者、ウェブホスティングプロバイダー、ソフトウェアベンダーに勤務する250人が、Disney、Google、Oracleを名乗る偽の採用担当者から悪意あるメールを受け取り標的にされたと指摘していました。
ITワーカー詐取スキームとのつながり
報告書によれば、WaterPlumキャンペーンは、北朝鮮がなりすましのために身元情報を盗んだり購入したりして、米国や欧州のテック企業で高収入の職に就くいわゆる「ITワーカー・スキーム」と深く結びついています。
日本当局は、今回初めて日本国籍者が運営する「ラップトップファーム」を摘発し、数億円規模の日本円が国外の口座へ送金されていた証拠を発見したと述べています。FBIはこれまでに、北朝鮮の工作員が現地で働いているように見せかけるために利用する「ラップトップファーム」を米国内で数十件摘発しています。
報告書は、WaterPlumの攻撃者と北朝鮮のITワーカーが、ラップトップファームへのアクセスや日本の暗号資産企業への応募の際に同一のIPアドレスを使用していたと指摘しています。
このラップトップファームの摘発により、日本当局は北朝鮮によるさまざまな詐取スキームの内実を垣間見ることができました。面接を受けた北朝鮮のITワーカーの中には、AIによる顔交換ソフトウェアや、日本語の発音を可能にするテキスト読み上げソフトウェア、その他のAI翻訳ツールを使用している者もいたことが確認されています。
報告書によると、WaterPlumキャンペーンや複数のITワーカー・スキームは、朝鮮労働党中央委員会傘下にある「軍需工業部」の下部組織である「偵察総局」を通じて運営されているとのことです。
専門家は以前、Recorded Future Newsに対し、北朝鮮国内の複数の政府部門がそれぞれ独自のサイバー要員部隊を実質的に運営しており、正規のIT業務、暗号資産の窃盗、データ恐喝など、さまざまな資金獲得スキームに関与していると語っています。
「北朝鮮のITワーカーは主に資金獲得を目的として活動していますが、それに加えて悪質なサイバー活動が行われた事例もあります。ある事例では、北朝鮮のITワーカーが報酬支払いをめぐって企業を恐喝し、その企業の独自ソースコードをオンライン上に公開しました」と勧告は述べています。
「また別の事例では、ウェブサイト保守のために雇われたITワーカーが、雇用主企業のウェブサイトを改ざんし、アクセス不能な状態にしました」
翻訳元: https://therecord.media/north-korean-hackers-infect-thousands-of-devices-waterplum-scheme
