偽採用面接で開発者を狙う北朝鮮「WaterPlum」——暗号資産窃取とソフト開発サプライチェーンを同時に脅かす動きです

今日の深掘りポイント

• 偽の求人・採用面接を起点に、開発者へ「課題」や「ツール」を実行させる社会工学＋ユーザー実行の組み合わせが主軸です。
• 直接の暗号資産窃取だけでなく、開発端末からクラウド・リポジトリ・CI/CD・コード署名鍵へ波及し得るサプライチェーン・リスクが本質です。
• デベロッパー端末はビルドツールやスクリプトが多く「怪しく見える正当挙動」が多いため、EDRの検知回避が起きやすい地形です。
• 採用・外注プロセスはセキュリティ境界の外縁にあり、HR/TA（人事・採用）が一次防御線になります。技術対策だけでは閉じません。
• 事業側では、暗号資産事業者・Web3関連のKYC/AML・出金審査の厳格化が二次被害（制裁関連リスク）を抑えます。

はじめに

北朝鮮系とされる「WaterPlum」（別名 Contagious Interview）が、ソフトウェア開発者やIT専門家を狙って偽の求人・面接を仕掛け、配布したマルウェアで暗号資産を盗むキャンペーンを展開しています。報道によれば、100カ国以上で3万台超の端末に感染が広がり、7,000以上のウォレットから約1.7億円（約1,071万ドル）が奪われたとされます。誘導文脈にはAI・暗号資産・NFT企業の名を騙るメッセージが多用され、面接過程で配布される「課題」「評価用ツール」「リポジトリ」などの実行を促して侵入する構図です。

この系譜は、従来のメール型フィッシングより、ターゲットを絞り込み、時間をかけて関係性を築くことで成功率を高めるのが特徴です。被害規模の広がりから、短期的な実務対応の効果が高く、かつ今後の派生攻撃（とくにサプライチェーン侵害）に備える中長期の仕組み化が必要なフェーズに入った、と編集部は見ています。

参考情報（報道出所・技術背景）:

• GBHackers: North Korean WaterPlum Hackers Target IT Professionals

深掘り詳細

事実関係（報道から読み解ける点）

• 攻撃主体は北朝鮮系「WaterPlum」（別名 Contagious Interview）と呼称され、IT/ソフトウェア人材に接近して偽の採用面接を行い、マルウェア実行へ誘導する手口です。
• 感染は100カ国以上・3万台超に拡大、7,000以上のウォレットから約1.7億円相当が盗まれたと報じられています。
• 誘導ではAI・暗号資産・NFT関連企業を装い、「コーディング課題」「技術評価ツール」などを配布してユーザー実行を引き起こします。
• 報道では、BeaverTailやInvisibleFerretといったマルウェアファミリー名も挙がっており、リモートアクセスや情報窃取、持続化の機能を備えるとされています。
• 目的は暗号資産（シードフレーズ、ウォレットファイル、ブラウザ拡張のデータ）の窃取が中核ですが、開発端末からの横展開や長期的な潜伏もうかがえます。

出所は上掲のGBHackers記事です。命名やマルウェア名は調査元によって異なることがある点は留意すべきです。

編集部インサイト（なぜ今、脅威が刺さるのか）

• 採用・外注の「業務前」フローを突く巧妙さです。企業の標準セキュリティ統制（メールゲートウェイ、Webプロキシ、SASEなど）の射程外、あるいは認証済みSaaS（LinkedIn/Telegram/Slack/Discord等）上でやり取りが完結しやすく、検知・阻止が難しい地形を選んでいます。
• デベロッパー端末は「正当なビルド・実行」が多く、PowerShell/Node/Go/pyinstaller/自作ツールなど広範な実行が日常です。これがEDRの閾値設定や監視ポリシーを緩める口実となり、検知回避に寄与します。
• 金銭窃取（暗号資産）と、供給網侵害（リポジトリ・CI/CD・コード署名鍵・パッケージ配布アカウント等）を「同じ足場」から狙えるため、攻撃者の投資対効果が高いです。短期のキャッシュ化と中期の作戦基盤を同時に確保でき、継続が合理化されます。
• これらは従来のBECやマス型フィッシングよりも検出が難しい一方で、対策の多くは「採用・面接の運用」「開発環境の分離」「シークレット管理の原則」に立ち返るものです。現場の手元で改善できる余地が大きいのが救いです。

脅威シナリオと影響

編集部が想定するシナリオを、MITRE ATT&CKの戦術・技術に沿って仮説として整理します（技術IDは代表例です。実態は亜種・組み合わせにより変動します）。

• シナリオA：個人開発者・フリーランサーへの直接侵入と暗号資産窃取

  • 偵察・標的選定: T1589（人物情報収集：LinkedIn等）、T1593（公開情報検索）
  • 初期アクセス: T1566.003（サービス経由のスピアフィッシング：SNS/DM）、T1566.001/002（添付・リンク）
  • 実行: T1204（ユーザー実行）、T1059（スクリプト）
  • 持続化・防御回避: T1547（自動起動）、T1053（スケジュール）、T1027（難読化）
  • 資格情報・秘密情報: T1552.004（秘密鍵/シード）、T1555（パスワードストア・ブラウザ）、T1056.001（キーロギング）
  • 送出・C2: T1041（C2経由の送出）、T1071（HTTPS等）
  • 影響: 暗号資産ウォレットの即時ドレイン、取引所アカウントの乗っ取り

• シナリオB：企業の開発端末を踏み台にしたソフトウェア供給網の汚染

  • 横展開準備・探索: T1082（システム情報探索）、T1049（ネットワーク接続探索）
  • 横展開: T1021（リモートサービス）、開発SaaSへのセッション乗っ取り T1539（WebセッションCookie）
  • シークレット奪取: T1552.001（環境変数/設定）、リポジトリアクセストークン、CI/CD用PAT・APIキー
  • 信頼関係悪用: T1199（信頼関係の悪用）
  • 影響: リポジトリ改ざん、パッケージレジストリ（npm/PyPI等）への悪性アップロード、コード署名鍵の悪用

• シナリオC：暗号資産・Web3事業者への二次的影響（制裁・コンプライアンス）

  • 被害ウォレットからの流入が交雑し、KYC/AML審査・出金審査での検知と運用負荷が増大
  • 制裁関連クラスターと交差することで、取引のフラグ増、対応遅延による顧客体験毀損、規制当局からの説明要請増加

この脅威は、個人の資産流出で完結しない点が要諦です。開発リソース・鍵・トークンの喪失は、製品・ブランド・顧客へと連鎖し、長期的な信頼毀損を招きます。

参考（ATT&CKナレッジベースの参照先の例）:

• MITRE ATT&CK（トップ）: https://attack.mitre.org/
• フィッシング via サービス: https://attack.mitre.org/techniques/T1566/003/
• ユーザー実行: https://attack.mitre.org/techniques/T1204/
• 秘密鍵の取得（Unsecured Credentials/Private Keys）: https://attack.mitre.org/techniques/T1552/004/
• C2通信（アプリケーション層）: https://attack.mitre.org/techniques/T1071/

セキュリティ担当者のアクション

短期で効く対策と、中期の仕組み化に分けて、優先度順に記します。メトリクス上も緊急度と実務適用性が高い領域に見えます。ここは「やれば効く」領域が多いです。

• 48時間以内（即効策）

  • 採用・外注ポリシーの暫定ガードレール
    • 候補者・外注が提供する「課題・ツール・リポジトリ」は、社用端末で実行しない運用に即切り替える（面接・評価専用の隔離VM/VDI・使い捨てコンテナを用意）。
    • 連絡チャネルの正当性確認（公式ドメインのメールのみ許容、SNS/DM起点は一次拒否→コーポレートチームの検証を必須化）。
  • 緊急ハンティング（EDR/ログ）
    • 新規作成のスケジュールタスク、Run/RunOnce、スタートアップフォルダへの不審登録のサージ検出。
    • ブラウザ拡張（とくに暗号資産系）の新規追加・開発者モード有効化・拡張データディレクトリ（例：MetaMaskのLevelDB）への大量アクセス検知。
    • AppData/Roaming配下や%TEMP%に落ちた実行ファイルの直近増加、PowerShell/Node/python等からのネット送出（未知FQDN/新規登録ドメイン）を特定。
  • クリプト関連の一次封じ込め
    • 影響可能性のある端末で扱ったウォレットは即時退避（新規シードで再生成し、旧シードは廃棄）。取引所・ブリッジ・DeFiのAPIキーやサイン用ホットキーを全面ローテーション。

• 2週間以内（運用の標準装備化）

  • 面接・評価の「安全実行基盤」を常設
    • 使い捨てVM/コンテナ（インターネットはプロキシ越し、社内SaaS・GitHub等の認証は不可）をHR/TAがワンクリックで払い出せるよう整備。
    • 候補者提供物の展開は基本ZIP解凍不可（クラウドサンドボックス＋静的解析の通過を必須化）。
  • デベロッパー端末の原則見直し
    • EDRの「開発者例外」を棚卸し（ビルド・テストの性能要件と検知カバレッジの再調整）。PowerShell・wscript・mshta等のリスク高コマンドは監査・警告から段階的にブロックへ。
    • ブラウザ拡張は許可リスト制。暗号資産系は社用端末での利用を原則禁止（必要時は専用端末・ハードウェアウォレット併用）。
  • シークレット管理の強化
    • 長期PAT/APIキーを廃止し、短命トークン（OIDC/Federation）へ移行。リポジトリアクセスはSAML/SSO必須、不要権限の削減。
    • コード署名鍵・ビルド署名鍵はHSM/クラウドKMSへ移し、ローカル平文鍵の存在をゼロ化。

• 四半期内（構造的な抵抗力の獲得）

  • サプライチェーン・レジリエンスの強化
    • リポジトリ保護（保護ブランチ・レビュー二重化・コミット署名の必須化）。npm/PyPI等のリリース権限は最小化し、二経路承認に。
    • 依存関係の監査とパッケージ公開アカウントのMFA義務化。侵害時の「ロールバック・信頼回復」手順（アドバイザリ、署名鍵ローテーション）を事前に整備。
  • 人的フロントの底上げ
    • HR/TA・採用委託先を含む「偽採用面接」対処トレーニング。ドメイン偽装・DM誘導・日程調整ツールのなりすまし検知ポイントを標準化。
    • 社外から持ち込まれるサンプルコード・評価成果物の取り扱いルールを就業規則レベルで明文化。
  • クリプト・コンプライアンス運用
    • 被害アドレス群からの流入・経由を検知するリスクシグナリングの導入・運用強化（出金審査・トラベルルール連携の厳格化）。
    • インシデント対応時は、顧客・規制当局への説明用に、タイムライン・アドレス一覧・封じ込め措置を即時提示できるテンプレートを整備。

最後に。本件のポイントは「技術より先に、採用・外注というビジネスプロセスが狙われている」ことです。強いEDRやゼロトラストでも、面接で実行した“テストツール”には勝てません。人と運用で入口を締め、開発環境を壊さずに最小権限と観測性を高める。この二本立てが、被害の広がりに対する最短距離の解答だと考えます。

参考情報:

• GBHackers: North Korean WaterPlum Hackers Target IT Professionals
• MITRE ATT&CK（トップ）: https://attack.mitre.org/