北朝鮮の「偽の採用面接」攻撃とは？警察庁が注意喚起したWaterPlumの手口とWeb3企業の対策

海外のエンジニアを採用したい。あるいは、自社のエンジニアに海外のリクルーターから魅力的な声がかかった。Web3業界では、どちらもごく日常的な場面です。

その日常が、いま攻撃の入口になっています。2026年9月18日、警察庁は米国・オーストラリア・ドイツの当局と共同で、北朝鮮系の攻撃グループ「WaterPlum」による偽の採用面接を使ったサイバー攻撃について注意を呼びかけました。

この記事では、手口の流れと、Web3企業の採用・BD・エンジニアそれぞれが取るべき対策を整理します。

この記事でわかること

• WaterPlum（Contagious Interview）とは何か、注意喚起の要点

• 「面接の課題」を装ってマルウェアを入れさせる4つのステップ

• 逆に、北朝鮮のIT労働者が「応募者」として入り込むパターン

• 採用・BD・エンジニア別のチェックリスト

結論：「面接」「課題」「会議ツール」が攻撃の道具になっている

WaterPlumは、海外では「Contagious Interview（伝染する面接）」とも呼ばれる攻撃キャンペーンです。狙いはシンプルで、求職者や開発者の端末にマルウェアを入れ、暗号資産のウォレットや認証情報を盗むことです。

特徴は、攻撃の入口が「仕事の機会」であること。人は転職や案件の話には前向きに反応し、渡された課題やツールを疑わずに開いてしまいます。

• 誰が狙われるか：暗号資産・Web3分野のエンジニア、開発者、求職者

• 何を使うか：コーディング課題、GitHubのリポジトリ、npmパッケージ、偽の会議ツール

• 何を盗むか：ウォレットの秘密鍵、ブラウザに保存された認証情報、業務システムへの足がかり

警察庁などの注意喚起（2026年9月18日）の要点

今回の注意喚起は、日本の警察庁と国家サイバー統括室の連名で、米国のFBI、オーストラリアのサイバーセキュリティ当局、ドイツの情報機関などと共同で公表されました。主な内容は次のとおりです。

• 規模：2025年12月頃から2026年7月にかけて、100以上の国と地域で3万台以上とみられる端末が感染

• 被害：約7千件のウォレット情報が窃取され、WaterPlumが管理するウォレットには少なくとも約17億円相当が送金されていた

• 使われたマルウェア：BeaverTail、InvisibleFerret、OtterCookieなど。悪意あるnpmパッケージを通じて感染させる

資料は、WaterPlumを朝鮮労働党の軍需工業部傘下の組織の指揮下にあるグループと位置づけています。

日本の当局が北朝鮮のサイバー攻撃について海外と共同で注意喚起を出すのは、それだけ国内の企業や個人にも被害が及びうると判断しているからです。

（出典：警察庁・国家サイバー統括室「北朝鮮を背景とするサイバー攻撃グループWaterPlumによるサイバー攻撃について」（2026年9月18日））

手口の流れ：4つのステップ

攻撃は、ごく普通の採用プロセスに見える形で進みます。

1. 接触：LinkedIn、X、Telegramなどで、実在する企業のリクルーターや創業者を名乗って連絡してくる

2. 面接：オンライン面接を設定し、「次は技術課題です」とリポジトリやパッケージを渡す

3. 実行：課題のコードを動かす、指定された会議ツールを入れる、といった操作でマルウェアが起動する

4. 窃取：端末からウォレットの秘密鍵や保存済みのパスワードを抜き取り、資金を移す

厄介なのは、ステップ2までは本物の採用と見分けがつきにくいことです。報酬条件が良く、やりとりも丁寧。だからこそ、実行の段階で止める仕組みが重要になります。

逆のパターン：北朝鮮のIT労働者が「応募者」として入り込む

攻撃者は面接官を装うだけではありません。身元を偽った北朝鮮のIT労働者が、応募者として企業に入り込むケースも各国で確認されています。

採用されれば、正規の社員や業務委託として給与を得るだけでなく、社内システムやコードに正面から触れられます。今回の資料では、日本国内の事例も示されました。

• 2025年5月、国内の暗号資産交換業者のエンジニア職に、VPNを使い別人の履歴書で応募があり、オンライン面接まで進んでいた

• 海外の労働者が日本から働いているように見せかける「ラップトップファーム」を国内で初めて把握し、数億円相当の海外送金も確認した

リモート採用が当たり前のWeb3業界では、本人確認と勤務実態の確認が、そのままセキュリティ対策になります。

カンファレンスやBDも入口になる

採用以外の接点も狙われています。2026年4月、Solana上の取引所Driftで約432億〜458億円（2.7億〜2.86億ドル）が流出した事件では、攻撃者がクオンツ取引会社を名乗り、各国のカンファレンスで関係者に接触していました。

Telegramでグループを作り、実際に資金を預けて信頼を得たうえで、テスト版アプリやコードを渡して端末に入り込んだとされています。準備期間は約半年でした。DriftとセキュリティのボランティアチームSEAL 911は、北朝鮮系グループの関与を「中〜高程度の確度」で評価しています。

名刺交換やパートナー候補とのやりとりも、採用と同じ目線で扱う必要があるということです。

（出典：The Block（2026年4月））

立場別のチェックリスト

採用担当・人事

• 応募者の本人確認は、映像つき面接と公的書類の両方で行う

• 職歴の在籍確認を、応募者が示した連絡先ではなく企業の代表窓口に取る

• 給与の振込先や機材の送付先が、申告した居住地と一致しているかを見る

エンジニア・開発者

• 面接の課題コードは、業務端末やウォレットの入った端末で動かさない

• 隔離した環境（仮想マシンや使い捨ての開発環境）で、依存パッケージを確認してから実行する

• 「会議ツールの更新が必要」「このコマンドを貼り付けて」という指示は、その場で実行しない

BD・マーケティング担当

• イベントで受け取ったアプリやファイルは、業務端末で開かない

• 新しいパートナー候補の連絡先を、公式サイトや既知の関係者経由で照合する

• 自社の名前をかたった偽の求人が出ていないか、定期的に検索する

最後の点は見落とされがちです。攻撃者は実在する企業の名前を借りて求職者に近づきます。自社が加害の看板に使われれば、被害者からの問い合わせや評判の毀損につながります。

まとめ

偽の採用面接を使った攻撃は、Web3業界の「人のつながり」をそのまま入口にしています。押さえるべき点は3つです。

• 面接官を装う：課題や会議ツールを使って、求職者の端末にマルウェアを入れる

• 応募者を装う：IT労働者として企業に入り込み、内部から資金や情報に近づく

• 接点すべてが入口：採用だけでなく、カンファレンスやBDのやりとりも狙われる

採用とパートナー開拓はWeb3事業の成長エンジンです。止めるのではなく、確認の手順を一つ足すことで、安全に続けられます。

株式会社Dawinは、北米・東南アジア・欧州など幅広い地域を対象に、海外向けのSNS・インフルエンサー（KOL）マーケティングを支援しています。なかでもWeb3関連事業のマーケティングでは国内トップレベルの実績があります。

海外のパートナーやKOLとの協業を、安全な進め方で設計したい。そんなご相談も歓迎しています。

関連記事

• Web3プロジェクトの海外マーケティング支援（サービス案内）

• 暗号資産ハッキング被害まとめ【2026年版】｜Bitget・Drift・KelpDAOなど主要事件と手口の変化

• 公式Xアカウントの乗っ取りと仮想通貨詐欺｜企業・プロジェクトが今やるべき対策と発生時の広報

• Web3コミュニティ運営代行の選び方——Discord/Telegram運営を外注する前に知るべきこと

• Web3マーケティングの失敗例7選——プロジェクトがつまずく典型パターンと回避策

• Web3・ブロックチェーンの新規事業は何から始める？相談先の選び方と失敗しない進め方