北朝鮮WaterPlum、偽の採用面接で3万台を感染。日米豪独が共同で警告

北朝鮮の雇用を使った詐欺は双方向に機能している。西側企業の内部に偽のIT労働者を送り込むのと並行し、体制の支援を受けたサイバー犯罪者が採用担当者を装って3万台超の端末を感染させ、1,000万ドル以上を盗んだ。オーストラリア、ドイツ、日本、米国の法執行機関とサイバー機関が木曜日に共同アドバイザリの更新を公表した。攻撃者は7,000超の暗号資産ウォレットを侵害し、盗んだ資金は北朝鮮の体制を支えたとしている。

当局はこの活動を「WaterPlum」として追跡している。運用者はWebデザイナー、エンジニア、暗号資産・Web3の専門家を偽の採用アプローチで狙う。面接とされるプロセスの中で、被害者はコーディング課題などの採用試験と称されたファイルをダウンロードするよう指示され、それを開くとコンピューターにバックドアが仕込まれる。侵入後、攻撃者はリモートアクセス型トロイの木馬（RAT）と情報窃取マルウェアを展開し、面接が終わった後も資格情報や機密データへのアクセスを確保する。

厄介なのはその先だ。侵害された端末は、求職者が正規の職を得た後、企業システムへの侵入経路になりうる。運用者はこのアクセスで知的財産、資格情報、クリップボードの内容、キーストローク、暗号資産ウォレットのデータ、成り済ましに使える身分証明書類を盗み出す。「盗まれたIDは、北朝鮮のIT労働者が被害者に成り済まして外貨を稼ぐために使われうる」とアドバイザリは述べる。「盗まれた資格情報は、被害者の雇用主、顧客、取引相手から暗号資産、個人データ、企業秘密などを流出させるために利用されうる」。当局はこうした手口による盗難を少なくとも1,071万ドルと見積もっている。

この手口は、より広く知られたもう一方の手口、すなわち自国のIT労働者を西側や同盟国企業の技術職に潜り込ませる手法を補完する関係にある。研究者の推計では、およそ10万人の北朝鮮IT労働者が世界で就労しているか職を探している。一部は「ラップトップファーム」を運用する協力者に支えられ、採用された国に所在しているように見せかける。彼らは重い制裁を課す国の企業から給与を受け取り、その多くを国家に差し出している。

雇用主側も不正な候補者の兆候に詳しくなってきた。応募者はしばしば、名門校の学歴や豊富な職歴、検証に耐えないかもしれない語学力を主張する履歴書を提出する。他の兆候として、対面を繰り返し拒むこと、映像フィードの不自然な中断、背後の声、暗号資産での支払い要求が挙げられている。AIによる顔の入れ替えソフトを使う例もあり、ビデオ通話中に視覚的な破綻が生じるため、会議開始直後にカメラを切る動きにつながる。当局は、不正な北朝鮮IT労働者を雇った疑いがある組織は完全なフォレンジック調査に着手し、資格情報や機密データは侵害済みと想定すべきだと勧告している。