採用した人や業務を委託した相手が，申告された人物とは違う。
正規のアカウントを渡した後に，ソースコードや顧客情報へのアクセスを悪用される。
このような問題は，外部からの不正侵入対策だけでは捉えにくい。
警察庁等は，令和８年９月１８日の共同注意喚起で，北朝鮮IT労働者による日本国内での外貨獲得活動，国内支援者の自宅に遠隔操作用PCを置く手口及び企業への採用応募の実例を公表した。
本記事では，その公表内容と，それを踏まえた企業側の確認事項を分けて整理する。
第１ 警察庁の注意喚起が対象とする二つの入口
共同注意喚起は，①採用担当者を装って求職者に不正なプログラムを実行させる攻撃と，②身元や作業場所を偽って企業からIT業務を受注する活動を扱っている。
この記事は②を対象とする。
①の求職者側の対処は，偽の採用課題によるWaterPlumの攻撃で扱う。
警察庁とFBIは，WaterPlumと一部の北朝鮮IT労働者が北朝鮮の３１３総局の指揮下で運用されていると評価している。
「一部」という範囲を外し，全ての関係者が同一の組織又は同一の手口で活動すると読むことはできない。
これは捜査機関の評価を紹介するものであり，裁判所の認定を紹介するものではない。
第２ ラップトップ・ファームと国内で把握された事例
１ 国内の名義・端末を経由する手口
警察庁等によれば，国内支援者から提供された身分証明書の画像を悪用した受注，支援者が受注した業務の請負，支援者の銀行口座を使った報酬受領が確認されている。
支援者宅に遠隔操作用PCを設置するラップトップ・ファームや，支援者が借りたVPSを利用して，居場所・作業場所を偽装する手口も説明されている（共同注意喚起５～６頁）。
したがって，国内の振込先や国内からの接続があることだけを，実際の作業者が申告どおりである証明にするのは十分ではない。
契約名義，実際の作業者，端末の管理者及び再委託関係をつなげて確認することが，企業側の点検課題になる。
２ 公表された被害と，読み分けるべき事実
共同注意喚起６頁は，北朝鮮IT労働者と知らずに開発業務を一部外注した企業で，報酬の支払をめぐるトラブルの際に，担当プログラムのソースコードがインターネットへ公開された事例を紹介している。
また，北朝鮮IT労働者が作成に関わったWebサイトが，後に改ざんされ正常に表示されなくなった事例も紹介する。
ただし，この記載だけから，その改ざんの実行者や原因まで確定したとはいえない。
一方，bitFlyerへの応募事例は，同社が不審点に気づいて対応し，採用にも被害にも至らなかった事例である。
「国内暗号資産取引所に侵入した事例」と読み替えないことが必要である（同７頁）。
第３ 採用・委託の前に確認する事項
共同注意喚起は，連絡先の確認，経歴に記載されたスキルについての具体的な質問，資格の確認等を勧めている。
企業では，これを一度の面接だけで終わらせず，次の事項を照合する運用が考えられる。
以下は本記事の実務上の整理であり，法令が一律に義務付けたチェック項目という意味ではない。
| 確認する関係 | 確認事項の例 |
|---|---|
| 契約名義と実作業者 | 誰が作業し，変更時に誰へ知らせるのか。法人への発注でも担当者と再委託先を把握できるか |
| 経歴と技能 | 書面の記載について，担当した作業や判断過程を具体的に説明できるか |
| 作業場所と端末 | 申告された作業環境と実態が整合するか。第三者による遠隔操作を許していないか |
| 報酬と取引主体 | 契約名義と異なる第三者口座への変更等について，合理的な説明と確認資料があるか |
| 提出資料の取扱い | 確認目的に必要な範囲の資料を求め，閲覧者と保管方法を決めているか |
映像の乱れ，外国語の使用，リモート勤務の希望，VPNの利用など，一つの特徴だけで北朝鮮IT労働者と断定することはできない。
国籍や外見を決め手にするのではなく，申告内容の不一致や第三者関与の具体的事情を確認する運用にする。
第４ 契約とアクセス権限に落とし込む
１ 再委託のルールを実際に確認できる形にする
警察庁等は，受注先の提携先・再委託先への関与も考慮し，外注・再委託の禁止条項や契約内容を明確にする対策を挙げている（共同注意喚起６頁）。
これを契約実務に落とし込む際は，単に「再委託禁止」と置くだけでなく，承認を要する作業範囲，申告する実作業者，変更時の連絡先，確認資料を求める手続を具体化することが考えられる。
再委託を全面的に禁ずるか，事前承認制とするかは，業務内容と取引形態に応じて検討する。
また，事故の疑いを把握した段階での連絡，ログ等の保全，調査への協力，緊急時のアクセス停止と復旧判断を，契約担当者と情報システム担当者が共通して理解できる内容にする。
これらは本記事の契約検討項目であり，個別契約にそのまま使える完成条項ではない。
２ 正規のアカウントにも権限の上限を設ける
共同注意喚起は，北朝鮮IT労働者かどうかにかかわらず，外注先へ提供する情報やアクセス範囲を必要最小限とし，最小権限を採用するよう勧めている。
例えば，担当する開発作業に必要なソースコードと，本番環境の管理権限・顧客データを分け，誰がどのアカウントを使用するかを記録する。
業務終了時や担当者変更時の権限見直しも，契約上の手続とシステム側の処理を対応させておくとよい。
Microsoft 365の外部アプリ権限など，人のログインとは別に残るアクセスについては，外部アプリ権限と情報漏えいの点検事項も参照されたい。
第５ 疑いが生じたときの初動
警察庁等は，取引相手等が北朝鮮IT労働者である可能性を把握した場合の警察への相談と，外注先が北朝鮮IT労働者とみられる者又は悪意を持つ者である可能性を把握した場合の，速やかなアカウント・セッションの無効化を勧めている（共同注意喚起６頁）。
企業側では，被害拡大防止と並行して，契約書，応募・本人確認資料，連絡履歴，送金先変更の記録，アカウント一覧及びアクセスログを確保することを検討する。
確認のために相手方から送られた新たなプログラムを実行したり，社内の調査情報を不用意に相手方へ渡したりしない。
アクセス停止は，その人との契約解除や未払報酬の取扱いを自動的に決めるものではない。
緊急の技術的措置と，契約上・法令上の判断を分けて進める。
漏えい等への対応は，企業の情報漏洩に備える法務の整理を参照されたい。
調査報告書で分かる範囲と分からない範囲の読み分けは，フォレンジック報告書の読み方で説明している。
第６ 制裁・法的責任を判断するときの注意
共同注意喚起６頁は，北朝鮮IT労働者への業務発注・報酬支払や外貨獲得の幇助について，国内法令又は対北朝鮮制裁への違反に問われるおそれがあると注意を促している。
これは「関与を知らずに発注した企業にも，必ず犯罪が成立する」という記載ではない。
具体的な違反の成否や契約上の対応は，相手方，支払・役務の内容，関与を知った経緯と時期，適用法令等を確認して判断する必要がある。
本記事は公表された手口と予防・初動の検討項目を扱うものであり，特定の取引について犯罪成立，送金の適法性又は報酬不払の可否を結論付けるものではない。
第７ 資料と関連記事
１ 警察庁・国家サイバー統括室ほか「WaterPlum」によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の活動実態等（令和８年９月１８日）。
本文の参照頁は同PDFの印刷頁である。
２ 警察庁の公表ページ。
３ 求職者側の対策は，WaterPlumと偽の採用課題を参照されたい。