採用課題を装うWaterPlumの攻撃とは―IT技術者がコード実行前と感染後に確認すること（AI作成）

転職や業務受注のために届いたコーディング課題でも，送信者が本物の採用担当者とは限らない。
面接ツールの不具合を直すよう求められた場面でも，指示されたプログラムを実行する前の確認が必要である。
警察庁等は，令和８年９月１８日，IT技術者を標的とするWaterPlumの攻撃について共同注意喚起を公表した。
この記事は求職者・フリーランス側の対策を扱う。
企業が偽装ITワーカーを採用・委託する問題は，北朝鮮IT労働者への業務委託を防ぐための確認事項で扱う。

第１　WaterPlumはどのように採用活動を装うのか

共同注意喚起によれば，WaterPlumは，正規のAI企業，暗号資産関連企業，人材紹介サービス等になりすまし，SNS，求人サイト，フリーランス向けのサービス等でIT技術者へ接触する。
技術面接やコーディング課題に参加させ，不正なプログラムをダウンロード・実行させる手口である（同２～３頁）。
課題の実施を求めるだけでなく，オンライン会議の不具合を診断・修正するという名目でファイルを使わせることも説明されている。
悪意あるNPMパッケージや開発用リポジトリも攻撃の入口となる。
共同開発サービスに置かれているという理由だけで，その課題の安全性が確認されたことにはならない。
窃取の対象として，ブラウザ内の認証情報，暗号資産ウォレットの秘密鍵・シードフレーズ，身分証画像，PCや共有フォルダのファイル等が挙げられている。
また，窃取した認証情報を使い，勤務先のネットワークへ侵入する手口も説明されている（同３～４頁）。
個人の求職活動をきっかけに，勤務先や発注元へ影響が広がり得る点に注意が必要である。

第２　コードを実行する前の確認

１　相手の身元と，求められている操作を分けて確認する

警察庁等は，業務用PCや暗号資産・個人情報を扱うPCで，むやみに第三者の関与したコードを実行しないよう求め，仮想マシン等のサンドボックスでの実行や，コードに難読化された部分・動作を理解できない部分がないかの確認を挙げている（共同注意喚起４頁）。
求職者側では，会社名の実在だけで終わらせず，公式サイト等から独立して確認した連絡先を使い，その担当者と課題の実在を確かめる方法が考えられる。
これは本記事の確認手順の提案である。
相手から届いたリンクだけを確認経路にすると，なりすまし側が用意した場所を再び見ている可能性が残る。
「すぐに面接を再開したい」「提出期限に間に合わせたい」と思う場面でも，理解できない修復コマンドや追加ツールを，案内されたまま実行しないことが大切である。

２　普段の作業環境をそのまま使わない

サンドボックスを使う場合でも，「仮想マシンなら何を実行しても安全」と考えるべきではない。
共同注意喚起の推奨は，任意の設定で安全を保証する記載ではない。
実務上は，会社の認証情報，秘密鍵，顧客資料等を持ち込まない検証環境を用意できるかを，勤務先等の担当者に確認することが考えられる。
個人の判断で業務用PCに検証環境を追加したり，会社のルールを外して課題を実行したりすることは避けたい。

第３　VS Codeの「信頼する」に注意する

共同注意喚起は，他人から渡されたVS Codeのプロジェクトを開く際の注意を具体的に説明している。
関与していないプロジェクトを開くよう求められた場合は制限モードを利用し，作成者を信頼するかという警告には「いいえ」を選ぶことなどを勧めている（同４～５頁）。
同資料は，手口例の `.vscode/tasks.json` による処理を制限モードで実行させないこと，そのファイルにダウンロード・実行処理が書かれていないか確認することも挙げる。
ただし，条件や設定によって警告が表示されない場合があると明記している。
具体的には，依頼されたプロジェクトを，過去に信頼したフォルダの中へ置かないこと，ワークスペースの信頼を有効にする設定を無効化しないことが挙げられている。
「警告が出なかったので安全」とは判断できない。
これらは警察庁資料が示す手口への対策である。
制限モードが，全ての拡張機能や手動実行を含めた安全性を保証するという意味ではない。
画面や設定が資料と異なる場合も，安全の警告を解除する方向で推測して操作しない。

第４　実行してしまった・感染が疑われる場合

１　通信の遮断と，安全な端末での対応

警察庁等は，ウイルス対策ソフトが検知した場合や感染が疑われる場合に，Wi-Fiを切断する，LANケーブルを抜く等により，外部との通信を速やかに遮断するよう勧めている（共同注意喚起４頁）。
同資料は，検知・駆除の前に情報が既に盗まれた可能性と，検知されていない別のマルウェアが残る可能性にも注意を促している。
駆除の表示だけをもって，認証情報や暗号資産が安全になったと判断しないことが重要である。
暗号資産について，同資料は別のPC等で新たなウォレットを作り資産を退避させる対策を挙げている。
復旧を装う相手へ秘密鍵やシードフレーズを渡さず，対応は安全な端末と正規の連絡経路で進める。
資産移動の具体的手順は本記事では扱わない。

２　初期化の前に調査・証拠保全も考える

共同注意喚起は，必要なデータをバックアップした上でPCを初期化・再セットアップすることを推奨している。
一方，勤務先や発注元の情報に関係する端末では，原因調査のために必要な記録を，初期化で失わないよう調整することも必要になる。
本記事としては，通信の遮断を進めつつ，勤務先の情報システム担当者や調査担当者へ連絡し，保全する資料と再セットアップの順序を決めることを勧める。
調査の相談を理由に，感染が疑われる端末を通常業務へ戻すという意味ではない。

第５　勤務先・発注元へ伝える事項

次の表は，初動相談の際に事実関係を整理するための本記事の提案である。
分からない項目は推測で埋めず，未確認と分けて伝える。

調査のために課題を再実行したり，疑わしいファイルを無差別に転送したりせず，安全な受渡し方法を担当者と確認する。
連絡には可能であれば別の安全な端末を使い，秘密情報をメール本文等へ貼り付けない。
個人情報が関係する場合の報告・通知等は，事業者側で別途判断する。
求職者本人が「まだ悪用を見ていない」と感じることだけで，勤務先への連絡を見送らないことが重要である。
企業側の整理は，情報漏洩への法務の備えを参照されたい。

第６　資料と関連記事

１　警察庁・国家サイバー統括室ほか「WaterPlum」によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の活動実態等（令和８年９月１８日）。
本文の参照頁は同PDFの印刷頁である。
２　警察庁の公表ページ。
３　企業の採用・委託対策は，北朝鮮IT労働者への業務委託を防ぐための確認事項を参照されたい。
４　被害範囲の調査については，情報漏えいのフォレンジック報告書の読み方も参照されたい。