警察庁は9月18日、北朝鮮のIT労働者とみられる人物が2025年5月、国内の暗号資産（仮想通貨）取引所bitFlyer（ビットフライヤー）のエンジニア職に応募していた事実を公表した。応募者は別人になりすました履歴書を採用フォームに添付し、仲介事業者を介さず直接応募していたが、同社は不審な言動を察知して採用を見送っており、個人情報の漏洩や金銭的被害は発生していない。
偽装工作の実態——VPN、Gmail、面接での不自然な言動
警察庁とFBIの分析によれば、応募者は採用フォームへのアクセスに複数のVPN（通信経路を秘匿する仕組み）を使用し、連絡先にはGmailを記載。オンライン面接では「マレーシア出身でフィンランド在住」と名乗ったものの、技術的な質問に対する回答は抽象的で、日本への転居や出社を拒否し「半年先なら可能」と回答。給与の暗号資産払いに固執するなど、複数の徴候が見られていた。
特に面接官が不審に感じたのは、面接中に応募者が別のモニターを頻繁に確認し、背後から他人の声が聞こえたことだ。このような状況は、単独の在宅ワーカーを装いながら、実際には組織的な支援を受けて業務を進めていた可能性を示唆している。
「WaterPlum」との関連性——IPアドレス一致が示す組織的関与
警察庁は今回の応募者が、サイバー攻撃グループ「WaterPlum（ウォータープラム）」の活動と関連していると見ている。同グループの攻撃者、IT労働者、そしてbitFlyerへの応募者が使用したIPアドレスが一致していたことが、その根拠だ。
WaterPlumは2025年12月頃から2026年7月にかけて、偽の求人や技術面接を装った手法で100以上の国・地域、3万台以上のPCをマルウェアに感染させたとされる。このグループの背後には、朝鮮労働党の313総局が関与しているとの分析が示されている。
北朝鮮IT労働者とは何か——なぜ今、問題が顕在化しているのか
北朝鮮IT労働者とは、朝鮮民主主義人民共和国（北朝鮮）の工作員が、東南アジアや中国、ロシアなど第三国に拠点を置きながら、他人の身元情報や経歴を不正に使用してIT関連の業務を受注する存在を指す。彼らは国外で仮想通貨などの形で外貨を獲得し、その一部が朝鮮労働党の資金源となっているとされている。
2025年になってもなお、この問題が顕在化し続ける背景には、リモートワークの定着がある。採用面接をオンラインで実施する企業が増え、実在の人物の身元情報がダークウェブで流通する中で、巧妙な偽装工作が可能になっているという現実がある。
企業に求められる対策——採用プロセスの見直しでリスク回避を
警察庁は採用担当者に対し、以下の対策を呼びかけている。
- 職歴や技能を面接で具体的に確認する（抽象的な回答が多い場合は要注意）
- アクセス元のIPアドレスと申告した居住地の整合性を確認する
- 連絡先のドメインが無料メールサービスのみでないか確認する
- 報酬の受取方法に仮想通貨など匿名性の高い手段を指定していないか確認する
特に、実際の面接で見られる傾向として、技術者であれば当然答えられるはずの質問に対して「それは一般的な質問ですね」「もう少し具体的に説明してもらえますか」といった回避的な対応をする場合は、何らかの偽装が疑われる。
今回のbitFlyerの対応は、このようなリスクを認識し、結果的に侵入を防いだ好事例と言える。企業においては、採用プロセスにセキュリティの観点を取り入れることで、サイバー攻撃の入口を遮断することが可能になるのだ。
政府の注意喚起と国際連携——高まる警戒レベル
政府は2024年3月、北朝鮮IT労働者が身分を偽って日本企業から仕事を受注している疑いがあるとして注意喚起を実施。2026年7月31日にも、関係国と企業向けに改めて注意喚起を出している。
今回の公表は、米国、オーストラリア、ドイツの関係機関との連携によってもたらされたものだ。各国が同様の被害を認識し、情報共有を進める中で、北朝鮮によるサイバー攻撃の実態が徐々に明らかになっている。
企業の人事担当者や採用に関わるビジネスパーソンは、単に「技術力があるかどうか」だけでなく、「その人物が実際にそこにいるのか」という観点を持って採用プロセスを設計することが、今後ますます重要になるだろう。
