21st September – Threat Intelligence Report · 2026-09-21
US, Japanese, Australian, and German authorities warned about WaterPlum (Contagious Interview), a North Korea-linked campaign that infected at least 30,000 devices across more than 100 countries. Operators posed as AI or blockchain employers, targeting IT professionals and stealing funds or credentials from over 7,000 cryptocurrency wallets from December 2025 through July 2026.
WaterPlum / Contagious Interview fake job-interview malware campaign (30,000 PCs, 100+ countries) · From around December 2025 through July 2026
From around December 2025 through July 2026, WaterPlum exploited at least 30,000 PCs in over 100 countries (including Japan and the United States). The primary targets were individual web designers, engineers, and specialists in cryptocurrency, blockchain, and Web3 technologies. The actors transferred funds or account credentials from over 7,000 cryptocurrency wallets, exfiltrating at least 1.7 billion JPY (10.71 million USD) of cryptocurrency from victims on behalf of DPRK.
30,000+ devices across 100+ countries; primarily web designers, engineers, and cryptocurrency/Web3 specialists · 22/09/2026
North Korea's WaterPlum group (Contagious Interview) is found to have infected more than 30,000 devices across 100+ countries by impersonating AI, cryptocurrency, and NFT company recruiters and directing victims through fake technical interview assessments to download trojanized code-repository files (BeaverTail, InvisibleFerret, OtterCookie, OtterCandy, StoatWaffle). [Date Occurred: Unspecified; Date Discovered: Unspecified]
警察庁など4カ国、北朝鮮系「WaterPlum」の攻撃手口とIT労働者の活動を公表 · 2026-09-27
attribution sentence(s): 警察庁と国家サイバー統括室は2026年9月18日、米国、豪州、ドイツの関係機関と共同で、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」の攻撃手口と、北朝鮮IT労働者による外貨獲得・採用応募活動の実態を公表した。 | また、国内では、北朝鮮IT労働者が遠隔操作するPCを支援者の居宅に設置する「ラップトップ・ファーム」が確認され、捜査・解体された。
警察庁、北朝鮮ハッカー集団の攻撃を公表｜仮想通貨17億円相当が不正送金 · 2026-09-18
attribution sentence(s): 【北朝鮮サイバー攻撃グループによる攻撃に注意】 | 警察は各国と連携し北朝鮮の外貨獲得活動を解明しました。アクセス元IPと居住地情報の照合、連絡先の実在確認のほか、暗号資産での支払いや海外送金を求められた場合は注意してください。https://t.co/6FKqBGmnyw | 警察庁と国家サイバー統括室（NCO）は18日、北朝鮮系サイバー攻撃グループ「ウォータープラム（WaterPlum）」によるIT技術者狙いの攻撃を、米国、オーストラリア、ドイツの当局と合同で公表しました。日本を含む100以上の国・地域で、少なくとも約17億円相当の暗号資産（仮想通貨）がグループ管理下のウォレットに送金されたとしています。
日경찰 "北해킹조직, 헤드헌팅 위장…암호자산 145억원 탈취" · 2026-09-18
attribution sentence(s): 일본 경찰은 미국 등 다국적 수사기관과 연계해 북한 사이버 해킹조직이 전 세계에서 구직자를 대상으로 악성코드를 유포해 거액의 암호자산을 빼돌린 정황을 확인했다고 발표했다. | 일본 경찰청과 국가 사이버통괄실(NCO)은 미국 연방수사국(FBI)·국방부 사이버 범죄센터(DC3), 호주·독일의 수사기관들과 함께 북한을 배경으로 하는 사이버 그룹 '워터플럼(WaterPlum)'의 공격 수법을 확인했다고 18일 밝혔다. | 경찰청은 워터플럼이 북한 조선노동당 중앙위원회 군수공업부 313 총국의 지휘하에 운용되고 있는 것으로 보고 있다.
북한 해킹그룹 워터플럼, 100여 개국 3만대 감염…개발자 노렸다 · 2026-09-20
attribution sentence(s): 북한과 연계된 해킹그룹 ‘워터플럼(WaterPlum)’이 가짜 채용면접과 코딩테스트를 이용해 전 세계 개발자들을 공격하고 최소 3만대의 PC를 감염시킨 것으로 나타났다. | 워터플럼은 보안업계에서 ‘컨테이저스 인터뷰(Contagious Interview)’로도 알려진 북한 연계 공격그룹이다. | 미·일 당국은 워터플럼 공격자와 일부 북한 IT 노동자가 북한 노동당 중앙위원회 군수공업부 산하 313총국 소속으로 활동하는 것으로 평가했다.
北朝鮮ハッカー、暗号資産口座窃取 １００カ国、被害１７億円か―偽装受注で外貨獲得も・日米当局など公表：時事ドットコム · 2026-09-18
attribution sentence(s): 【図解】北朝鮮ＩＴ労働者による外貨獲得活動の流れ | 警察庁は１８日、北朝鮮のハッカー集団「ウォータープラム」によるサイバー攻撃で、日本など１００カ国で３万台以上の端末がマルウェア（悪意あるプログラム）に感染し、約７０００の暗号資産口座が盗まれたとする注意喚起文書を公表した。グループの口座には約１７億円分の暗号資産が送金されていたという。 | 北朝鮮の暗号資産窃取、大幅増 今年既に２４００億円
北朝鮮サイバー攻撃組織の活動明らかに 日本でなりすましも · 2026-09-18
attribution sentence(s): 警察庁は、アメリカのFBIなどとの共同捜査によって北朝鮮の指揮下にあるサイバー攻撃グループの活動を明らかにしたと公表しました。
面接相手は「AI」だった…暗躍する北朝鮮ハッカー集団 100カ国で被害 · 2026-09-18
attribution sentence(s): IT技術者の採用を装った北朝鮮によるサイバー攻撃の被害が日本を含む100以上の国・地域で確認された。人工知能（AI）の顔画像交換ソフトを使って企業担当者と偽りオンライン面接を実施。不正なプログラムを技術者の端末に仕込み、暗号資産（仮想通貨）を入手していた。
警察庁、北朝鮮 WaterPlum：ウォータープラムとIT労働者の実態を公表 3万台感染・暗号資産17億円、国内初のラップトップファームを解体|セキュリティニュースのセキュリティ対策Lab · 2026-09-18
attribution sentence(s): 警察庁と国家サイバー統括室は2026年9月18日、米国、豪州、ドイツの関係機関と共同で、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum（ウォータープラム）」と、北朝鮮IT労働者による外貨獲得活動の実態を公表しました。 | さらに、日本国内では初めて、北朝鮮IT労働者が遠隔操作するPCを支援者宅へ設置する「ラップトップ・ファーム」を警察が把握し、捜査・解体したとしています。 | 今回の公表で確認したいのは、サイバー攻撃と偽装就労が別々の活動ではなく、同じ人員・インフラ・支援者を共有する形で結び付いている点です。警察庁とFBIは、WaterPlumと一部の北朝鮮IT労働者が朝鮮労働党中央委員会軍需工業部313総局の指揮下で運用されていると評価しています。
求職者やエンジニアを狙うヘッドハンティング型攻撃 ～ 警察庁が注意喚起する「WaterPlum」の手口 · 2026-09-29
attribution sentence(s): 警察庁は9月18日、北朝鮮サイバー攻撃グループ「WaterPlum」及び北朝鮮IT労働者に関する日本、米国、豪州及びドイツによるパブリック・アトリビューションについて発表した。 | 警察庁及び国家サイバー統括室は9月18日に、米国、豪州、ドイツとともに北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」（関連名称：Contagious Interview）の攻撃手口や、北朝鮮IT労働者による外貨獲得活動及び採用応募活動の実態について、合同で文書を公表している。 | 北朝鮮に関する実態は、民間事業者からの情報提供や警察庁関東管区警察局サイバー特別捜査部及び都道府県警察の捜査・分析等を通じて明らかになったという。
日米豪独7機関が公表した北朝鮮のサイバー攻撃グループ「WaterPlum」と北朝鮮IT労働者についてまとめてみた · 2026-09-25
attribution sentence(s): 警察庁と国家サイバー統括室(NCO)は2026年9月18日、米国、豪州、ドイツの関係機関とともに、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」(ウォータープラム)の攻撃手口と、北朝鮮IT労働者による外貨獲得や採用応募の実態を明らかにする文書を合同で公表しました。ここでは関連する情報をまとめます。 | 北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」(関連名称: Contagious Interview)は、ヘッドハンティングを装い、正規のAI企業や暗号資産企業、NFT企業、人材紹介サービスになりすまして世界中のソフトウェア開発者やIT技術者に求人を持ちかける(出典: 2)。ソーシャルメディアやオンライン求人サイト、ギグワークプラットフォームなどを通じて求職者に接触したうえで、オンライン面接やコーディング課題を課し、開発者向けプラットフォームやコードリポジトリに掲載されている不正なプログラムをダウンロード、実行させる(出典: 2)。悪意あるNode Package Manager(NPM)パッケージには、BeaverTail、InvisibleFerret、OtterCookie、OtterCandy、StoatWaffleといったマルウェアファミリーとその亜種が埋め込まれているとしている(出典: 2)。 | 国内の支援者の居宅内に設置された、北朝鮮IT労働者が遠隔操作するパソコン、いわゆる「ラップトップ・ファーム」を国内で初めて把握し、捜査のうえ解体(出典: 2)。北朝鮮IT労働者は、関連捜査で判明した分を含め、暗号資産等数億円相当を海外へ送金していたとしている(出典: 2)。