北朝鮮系WaterPlum、偽面接の課題で3万台感染。日米豪独が共同警告

日本・米国・オーストラリア・ドイツの関係機関が、北朝鮮系のサイバー攻撃グループ「WaterPlum」に関する共同の注意喚起を公表した。偽の求人に応募してきた人々にマルウェアを仕掛け、認証情報と暗号資産を盗み出しているというものだ。注意喚起によれば、すでに100カ国で3万台を超える端末が感染し、7000以上の暗号資産ウォレットが侵害され、被害額は1071万ドルに達している。盗まれた暗号資産は北朝鮮政府に流れているとみられている。

手口の中心にあるのは、採用選考という文脈そのものだ。偽のリクルーターが、AI・暗号資産・NFT関連の実在企業の名前を借りて、求人サイトやSNS、ギグワークやフリーランス向けのマーケットプレイスに魅力的な募集を出す。標的になるのは主にソフトウェアエンジニアやIT専門職だ。応募者はスキル評価と称してコーディング課題などを渡されるが、そこにマルウェアが隠されている。仕掛けられるのは遠隔操作型のトロイの木馬(RAT)で、面接から数カ月経った後でも感染端末にアクセスできる持続性を持つ。

問題はその先にある。課題を解いた端末は、その応募者が別の企業に正式に入社した後も使い続ける可能性が高い。つまり攻撃者から見れば、感染した個人PCは将来の勤務先のシステムに入り込み、認証情報を奪うための踏み台になりうる。さらに、窃取した認証情報や個人データは、そのまま西側企業の求人に応募するための材料として再利用される。北朝鮮が制裁下で外貨を得る手段として、正規企業に紛れ込ませる「偽のIT技術者」の運用を続けていることは以前から指摘されており、今回の攻撃はその供給源としても機能している。ある企業は2025年後半に、北朝鮮関係とみられる応募を1800件以上ブロックしたという。

企業側はこうした戦術への警戒を強めているが、個人で身を守るのは難しい。記事は、応募は企業の公式窓口や正規のプラットフォームに限ること、募集の真偽が怪しければ企業へ直接確認すること、そして面接や課題のためだけに隔離した仮想マシンを用意することを、現実的な防御策として挙げている。