TL;DR
- 01何が起きたか
警察庁と国家サイバー統括室は 2026 年 9 月 18 日、米・豪・独の当局と合同で、北朝鮮 IT 労働者の活動実態を公表した。北朝鮮 IT 労働者は、国内に住む支援者から身分証明書の画像を受け取り、支援者になりすましてクラウドソーシングで業務を受注していた。支援者の自宅に置かれた遠隔操作用の PC（ラップトップ・ファーム）は国内で初めて把握・解体され、暗号資産などで数億円相当が海外に送金されていた。
- 02なぜ見分けられないか
身分証は本物で、接続も国内の支援者宅から来ている。発注する側から見れば、書類の確認も、接続元の確認も正しく通る。
- 03欠けていた層
不審点に気づいて採用を見送った暗号資産交換業者もあり、警察はファームを突き止めた。効かなかったのは、身分証の持ち主と、実際に作業する人物が同じであることを、業務を渡す前に確かめる層である。
何が起きたか
- 公表
- 2026 年 9 月 18 日、警察庁・国家サイバー統括室と、米 FBI・国防総省サイバー犯罪センター（DC3）、豪 ASD’s ACSC、独 BND・BfV の 7 機関が合同文書を公表した。
- 手口
- 支援者から提供された身分証明書の画像を使い、支援者になりすまして業務を受注した。支援者が受けた業務を請け負う形や、報酬の振込先に支援者名義の口座を指定し、支援者から送金させる形もあった。
- 居場所の偽装
- 支援者の自宅に遠隔操作用の PC を置かせる（ラップトップ・ファーム）か、支援者が借りた VPS を使い、国内から作業しているように見せた。
- 送金
- 関連捜査の分を含め、暗号資産などで数億円相当を海外に送金した。
- 発注側の被害
- 報酬の支払いでもめた際に、担当したプログラムのソースコードをインターネットに公開された事例と、作成に関わった Web サイトが後に改ざんされた事例があった。
- 関連する攻撃
- 同じ文書は、求人を装って IT 技術者にマルウェアを実行させるグループ「WaterPlum」も扱う。100 以上の国・地域で 3 万台以上とみられる端末が感染した。警察庁と FBI は、WaterPlum と一部の北朝鮮 IT 労働者が同じ指揮下にあると評価している。
用語メモ
ラップトップ・ファーム — 支援者の自宅などに置かれ、海外から遠隔操作される PC。作業が国内から行われているように見せる。
支援者（イネーブラー） — 身分証の画像や口座、自宅の回線などを提供し、北朝鮮 IT 労働者の受注を手伝う国内の人物。
クラウドソーシング — インターネット上で、不特定の作業者に業務を発注するサービス。受注者とは画面越しにしか会わないことが多い。
止めどころは ③。業務とアクセスを渡す前に、作業する人物が身分証の持ち主と同じかを確かめる。
口座も貸す。
クラウドソーシングで応募する。
書類は本物で、接続も国内から。
海外へ数億円相当。
時系列 — 公表と対応
- 暗号資産交換業者 bitFlyer のエンジニア職に、別人になりすました履歴書で応募。同社は北朝鮮 IT 労働者の可能性を考えて面接し、不審点に気づいて採用を見送った（被害なし）。
- 警察庁や外務省などが、北朝鮮 IT 労働者に関する注意喚起を公表。
- 7 機関が合同文書を公表。国内初のラップトップ・ファームの解体も明らかにした。
一次情報は日米豪独 7 機関の合同文書である。ラップトップ・ファームの所在地と解体の時期、関与した支援者の人数、発注した国内企業の名前は公表されていない。「数億円相当」は文書の表記のまま扱う。
公表後の対応
- 発注・委託する事業者へ: 再委託先も含めて北朝鮮 IT 労働者の関与を考え、外注・再委託の禁止条項を契約で明確にする。渡す情報とアクセスは最小限にし、疑いが出たらアカウントとセッションを無効にする。
- 採用の確認: アクセス元の IP アドレスと居住地の突き合わせ、連絡先の確認、スキルの具体的な説明、資格の認定番号の確認を挙げた。
- 法的な注意: 北朝鮮 IT 労働者に発注して報酬を支払った場合、または外貨獲得を幇助した場合は、国内法令や対北朝鮮制裁の違反に問われるおそれがある。また、北朝鮮の者と知って報酬を払ったり、身分証明書（画像を含む）を渡したりすると、犯罪に加担する可能性がある。
なぜ止まらなかったか
この事案の失敗は、身分証の偽造を見抜けなかったことでも、面接官の目の甘さでもない。身分証は本物で、その持ち主と、画面の向こうで実際に働く人物を、業務を渡す前に結びつける手順が無かった。
提出された身分証は本物だったが、その持ち主と、画面の向こうで実際に働く人物は、業務を渡す前に結びつけられていなかった。
証明は業務とアクセスを渡す前に働き、検出は兆候が表に出た後に働く。その間、作業者は身分証の持ち主として扱われる。
報酬は支援者の口座へ
検出は働いた。bitFlyer は経歴と受け答えの食い違いから採用を見送り、警察はファームを突き止めた。ただ、文書が挙げる確認の多くは兆候を探すもので、WaterPlum のメンバーは顔を差し替えるソフトを面接で数分だけ使い、後は回線を口実に映像を切るよう助言し合っていた。「身分証が本物である」と「働いているのがその持ち主である」は別々の事実で、兆候が消されれば前者だけで通る。この隔たりが検出と証明の落差であり、構造的な欠落である。
同じ構造は、eKYC のライブネス回避（差し替えた映像で本人確認を通す）にも現れている。
対策するには
身分証の画像ではなく、作業する本人を、業務とアクセスを渡す前に確かめる。画像はコピーして渡せるので、持ち主と働く人を結びつける証拠にはならない。受注のときだけでなく、システムに入るたびに同じ本人であることを確かめ、報酬の振込先も、確かめた本人の名義にそろえる。
注意したい業界・業務
- 業界開発者・エージェント運用
- ソフトウェア開発や Web 制作を、クラウドソーシングや業務委託で外に出す組織。ソースコードや認証情報を渡すことが多い。
- 業務アカウント・権限の管理
- 外部の作業者に、リポジトリや社内システムのアカウントを渡す業務。渡した後は、その人物の操作が正規の操作として扱われる。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 身分証の画像の確認 | 効かない | 身分証は実在の国内居住者のもので、本物だった。 |
| 接続元（IP アドレス）の確認 | 効かない | 接続は国内の支援者宅や、支援者が借りたサーバーから来ていた。 |
| 面接での見極め | 一部 | 受け答えの不自然さで気づいた例があるが、兆候は消されうる。 |
| 渡す情報とアクセスの最小化 | 一部 | 被害の範囲は狭まるが、誰に渡したかは分からないままになる。 |
- 身分証の画像ではなく、本人だけが示せる方法で確かめる。国内の作業者なら、マイナンバーカードの公的個人認証のように、カードと暗証番号を持つ本人しか通せない方法を使う。画像のように、コピーして手渡すことはできない。
- アクセスのたびに、同じ本人かを確かめる。受注のときに確かめた本人と、リポジトリや社内システムに入る人物が同じかを、入るたびに確かめる。疑いが出たら、アカウントとセッションを止める。
- 誰に業務を渡し、誰に支払ったかを残す。報酬の振込先を確かめた本人の名義にそろえ、後から第三者に示せる形、つまり証明として残す。発注側が違反を問われたときの説明にもなる。
外部の作業者への発注について、組織で確かめる 3 項目
- 外部の作業者が身分証の持ち主本人であることを、画像以外の方法で確かめているか。
- 再委託を含め、実際に作業する人物を把握できる契約になっているか。
- 作業者に渡したアカウントを、疑いが出たときにすぐ止められるか。
注：名義人が、カードや端末ごと第三者に渡す共謀は、この確認でも止められない。また、確かめる手間が増えるぶん、短期の小さな発注は出しにくくなる。
Sources
- 一次・当局の公表警察庁・国家サイバー統括室「北朝鮮サイバー攻撃グループ『WaterPlum』（ウォータープラム）及び北朝鮮IT労働者に関する我が国、米国、豪州及びドイツによるパブリック・アトリビューションについて」
- 一次・合同文書 和文日米豪独 7 機関「北朝鮮サイバー攻撃グループ『WaterPlum』によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の我が国、米国及び欧州における活動実態等について」
- 一次・合同文書 英文日米豪独 7 機関「North Korean ‘WaterPlum,’ commonly referred to as ‘Contagious Interview,’ Cyber Actor Group Targeting IT Professionals; Activities of North Korean IT Workers in Japan, the United States and Europe」
- 一次・先行する注意喚起警察庁ほか「北朝鮮IT労働者に関する企業等に対する注意喚起」
報道・解析 1 件
- 報道The Register「North Korea’s fake job interviews infected 30,000 devices」