第１ DMM事件が示す偽採用試験の危険
DMM Bitcoinの暗号資産流出について，警察庁は令和６年１２月２４日，北朝鮮を背景とするTraderTraitorによる攻撃と公表した。
同庁が示した被害額は約４８２億円である（警察庁発表）。
この事件で注目すべきなのは，採用担当者を装った接触が，別の会社の従業員への侵害を経て，暗号資産を移転する業務に及んだと発表されている点である。
本記事は，捜査機関が公表した手口，関東財務局が指摘した管理上の問題，そこから企業が検討したい対策を分けて説明する。
第２ 捜査機関が公表した攻撃の流れ
１ 狙われたのはウォレット事業者の従業員
FBI・米国防総省サイバー犯罪センター・警察庁の共同発表によると，令和６年３月下旬，LinkedIn上で採用担当者を装う者が，ウォレットソフトウェア事業者Gincoの従業員に接触した。
対象者はウォレット管理システムへのアクセス権限を持っていた。
採用前の試験を装ってGitHub上の悪意あるPythonスクリプトへのURLが送られ，対象者がそのコードを個人のGitHubへ複製した後，侵害されたとされる。
「DMMの従業員が採用試験を受けた」と言い換えると，発表が説明する企業間の経路を取り違える。
２ なりすましと取引要求への介入
共同発表は，５月中旬以降，セッションCookie情報を利用した従業員へのなりすましによって，Gincoの通信システムへ侵入したと説明している。
その後，DMM従業員による正当な取引要求を改変した可能性が高く，４５０２．９BTCが流出したとしている。
取引要求への介入について，英語の共同発表は「likely」と表現し，警察庁の発表は「改ざんしたものと認められます」としている。
いずれも捜査機関の評価であり，公表資料だけから全ての操作手順が確定した，あるいは特定の個人の過失が認定されたとまではいえない。
第３ 関東財務局の行政処分で指摘された問題
関東財務局の令和６年９月２６日付行政処分は，DMM Bitcoinに対し，資金決済法６３条の１６に基づく業務改善命令を発出したものである。
同資料は，システムリスク管理の牽制，外部ウォレットの評価，署名作業，秘密鍵管理及びログ保全等に問題を指摘している。
１ 外部サービスの導入後も管理は必要
同資料は，外部ウォレットの導入時に流出リスクを議論せず，セキュリティ管理状況の評価内容の妥当性を確認せず，問題が発生した場合の対応方法を理解しないまま利用を開始したと指摘する。
また，権限が一部に集中し，被監査部署に監査を実施させるなど，管理・監査の独立性の問題も挙げている。
２ 署名作業と証拠保全
単独の署名作業，秘密鍵の一括管理，リスクに応じたウォレットの分散管理の検討不足に加え，証拠保全のためのログ保存期間等を検討していなかったことも指摘されている。
これは，端末を守るだけでなく，送信の承認方法と事故後に経路を確認できる資料を併せて整える必要性を考える材料となる。
ただし，この行政処分は１２月の共同発表より前のものであり，処分資料自体は，当時まだ具体的手口の究明に至っていないと明記している。
指摘された各不備が今回の流出を直接引き起こしたと認定した資料や，利用者に対する民事責任を判断した判決として読むべきではない。
第４ 企業が検討したい対策
１ 採用試験のコードを業務環境へ持ち込まない
FBIの令和６年９月３日付注意喚起は，採用試験やデバッグを装って未知のパッケージやスクリプトを実行させる要求を，警戒すべき兆候として挙げている。
相手の実在性は，当初の連絡とは別の経路でも確認することが勧められている。
同注意喚起は，会社所有の端末で採用試験のコードを実行することを避け，実行が必要なら会社のネットワークに接続していない端末上の仮想環境等を用いるよう勧めている。
企業の運用としては，個人の活動を含めて業務用の認証情報やセッションが試験環境へ持ち込まれないよう，端末と認証の分離を具体化したい。
２ 承認の独立性を点検する
同注意喚起は，会社資産の移動前に，複数要素の認証と，相互に接続していない複数のネットワークからの承認を求める対策を挙げる。
本記事の実務上の提案としては，承認人数を増やすだけで終わらせず，同じ端末・認証情報・通信経路が侵害されたときに承認全体が一緒に破られないかを確認したい。
３ 委託契約と事故対応をつなぐ
委託元と委託先の間では，業務用アカウントの範囲，権限の付与・取消し，異常時の連絡経路，ログの保存・提供，証拠保全及び調査協力を具体化することを勧める。
これは公表事案から導く管理上の提案であり，この項目を契約に書けば必ず責任を免れるという趣旨ではない。
同注意喚起は，同種の侵害が疑われる場合，影響端末を直ちにインターネットから切り離し，復元可能なマルウェアの痕跡を失わないよう電源を維持する対応を挙げ，初動対応と端末の調査の方法を捜査機関と相談することを勧めている。
実際の初動は，自社のシステム構成と被害状況を踏まえ，担当者と専門家が連携して判断したい。
第５ 個人情報の漏えいと混同しない
暗号資産が流出したという事実だけで，個人データの漏えい等についての報告義務が直ちに発生したと決めることはできない。
個人データを取り扱うシステムにも侵害が及んだか，漏えい等又はそのおそれがあるかを別に確認する必要がある。
個人データの取扱いを外部へ委託している場合の報告，本人通知及び委託先監督は，外部委託先で個人情報が漏えいした場合の委託元の対応で整理している。
被害の性質を分けたうえで，契約上の対応と法令上の対応を検討することが大切である。
第６ 主な出典
①警察庁「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について」（令和６年１２月２４日）
②FBI・DC3・警察庁共同発表（２０２４年１２月２３日）
③関東財務局「株式会社DMM Bitcoinに対する行政処分について」（令和６年９月２６日）
④FBI「North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks」（２０２４年９月３日）