面接官に「このコードを動かして」と言われたら、それが攻撃の本番です｜偽の採用面接でPCを乗っ取る手口と見抜き方【2026年】

サイト内検索
🎭 2026年10月 最新の手口

面接官に「このコードを動かして」と言われたら、それが攻撃の本番です

偽の採用面接で、エンジニアのPCが乗っ取られています。
警察庁など日米豪独の7機関が注意を呼びかけた手口を、図解でやさしく解説します。

👩‍💻 開発者・デザイナー 🧑‍💼 フリーランス・副業 🎓 就活中の学生 🏢 採用担当者
🚨 先に結論

採用の途中で「このリポジトリを手元で動かして」「カメラの不具合を直すコマンドを貼って」と言われたら、そこが攻撃の本番です。北朝鮮系のグループ「WaterPlum（ウォータープラム）」は、この手口で100以上の国と地域の3万台以上のPCを感染させ、少なくとも約17億円相当の暗号資産を集めていました（警察庁ほか、2026年9月18日公表）。
守り方はシンプルです。知らない人のコードは、仕事用・お金用のPCでは動かさない。どうしても動かすなら、使い捨ての仮想マシンで動かします。

📋 この記事の内容

  1. Xで話題になった「指を3本立てて」事件
  2. まずこの1枚：偽面接はこう進む
  3. たとえると「面接の宿題に、空き巣の道具」
  4. 実際に起きたこと：3万台と482億円
  5. コードを動かさせる3つの仕掛け
  6. 面接官は本物？ ディープフェイクの見抜き方
  7. 本物の面接と偽の面接、ここが違う
  8. あなたは大丈夫？ 診断とクイズ
  9. 今日やること3つ／動かしてしまったら
  10. 逆向きの手口：採用担当者が気をつけること
  11. 専門家向けの詳細
  12. よくある質問・出典
01

🖐️ Xで話題になった「指を3本立てて」事件

180万回以上見られた、ある開発者の体験談から始めます。

2026年9月下旬、海外の開発者のX投稿が大きく広がりました。ブロックチェーン関連の仕事の「面接」を受けたときの話です。

海外の開発者の投稿（2026年9月23日・英語／要約）

カメラをオンにして話していると、面接官が「技術面接に進む前に、このGitHubのリポジトリを手元にコピーして動かしてほしい」と言ってきた。
「いいですよ。その前に、顔の前で指を3本立ててもらえますか？」と頼むと、面接官は固まって動かなくなり、数秒後に通話が切れて、ブロックされた。
本物の面接官なら、こんな頼みで映像が乱れたりしない。あれはディープフェイク（AIで顔を差し替えた映像）だったのだと思う。

♥ 約1.9万🔁 約3,500👁 約180万回表示 元の投稿を見る →

この投稿は翌日、海外メディアのRTも「指を3本立てて、の一言でディープフェイクの面接官を見破った」と取り上げました。投稿者は、この手の詐欺にはいつも同じ型があると書いています。

💌

ほめるDM

「あなたの経歴に惹かれました」

🏗️

本物っぽい案件

AI・暗号資産・NFTの新規事業

⏰

急がせる日程

「今日中に」「次の面接までに」

⚙️

通話前の「ちょっとした手順」

実は遠隔操作や情報を盗む道具

⚠️

Xの体験談は「入口」として読む

この投稿は個人の体験談で、事実かどうかを第三者が確かめたものではありません。ただ、書かれている流れは、次の章で紹介する警察庁などの公式な注意喚起とほぼ一致しています。この記事では、体験談を「何が起きるかのイメージ」に使い、数字や手口は公的機関の発表で確かめています。

日本のXでも、同じ週に話題が重なった

偶然にも、この体験談が投稿される5日前の9月18日、日本の警察庁が各国の機関と合同で、まさにこの手口についての注意喚起を出していました（詳しくは4章）。Xでは、日本語圏・英語圏の両方で反応が広がっています。

9月18日

高市早苗氏の公式アカウント

警察庁の発表の当日に、「3万台以上に感染」「約17億円相当」「国内で初めてラップトップ・ファームを解体」という3つのポイントを紹介。約1.9万いいね・約81万回表示と、セキュリティの話題としては異例の広がりでした。

投稿を見る
9月22日

海外のセキュリティニュース

英語圏では「北朝鮮のハッカーは、偽面接でAIの顔交換ソフトを使い、数分後にカメラを切って『ネットの調子が悪い』と言い訳していた」という点が注目されました。「3本指」の体験談とぴったり重なる内容です。

投稿を見る
9月20日

企業のセキュリティ担当者の声

CSIRT（企業のセキュリティ対応チーム）の立場からは、「面接課題をどの端末で動かすのか」「委託先の先で、実際に誰が作業しているのか」を確認すべきだ、という指摘が出ていました。個人の就活の話が、会社の守りの話になっています。

投稿を見る

同じ9月には、別の体験談も大きく広がりました。「妻の声そっくりの電話で、ガソリン代のためにカード番号を聞かれた。でも妻は自宅で隣にいた」という投稿で、約12.5万いいね・約676万回表示です。投稿者は「子どもと合言葉を決めておこう」と呼びかけていました。

声や顔をAIで偽装する詐欺は、もう特別な話ではありません。家族になりすます声の詐欺については、AIボイスフィッシング・ディープフェイク詐欺の記事で詳しく解説しています。この記事では、もう1つの使い道である「偽の面接官」に絞ります。こちらの目的はお金を振り込ませることではなく、あなたのPCそのものです。

02

🗺️ まずこの1枚：偽面接はこう進む

声をかけられてから、勤務先が狙われるまでの6つの駅。

🔧 偽の採用面接から、PCと勤務先が乗っ取られるまで

ここまでは「ふつうの採用」に見える ① 声かけ SNS・求人サイト・ フリーランス仲介サイト ② オンライン面接 AI・暗号資産企業を名乗る 顔はAIで差し替えのことも ③ 宿題を渡される コーディング課題・ 「カメラを直すコマンド」 ⚠ ここで実行したら、もう本番 ④ 自分のPCで実行 裏で不正なプログラムが 入り込み、居座る ⑤ 根こそぎ盗む パスワード・暗号資産・ 身分証の画像 ⑥ 勤務先へ 盗んだ鍵で会社に侵入 身分証で「なりすまし」 ③→④の「実行」さえ止めれば、⑤⑥は起きない

大事なのは、①〜③のあいだは何も盗まれていないということです。相手が偽物でも、話をしただけでは被害は出ません。攻撃が本当に始まるのは、あなたが自分のPCで「宿題」を実行した瞬間です。

だから見抜くべきなのは「相手が本物かどうか」よりも、「いま自分は、知らない人のプログラムを動かそうとしていないか」です。こちらなら、自分の手元だけで判断できます。

03

🧳 たとえると「面接の宿題に、空き巣の道具」

なぜ、エンジニアほどこの罠にかかりやすいのか。

🏠

「家で開けてね」と渡された箱の中身は？

面接官が「次回までに、この箱を家で開けて組み立ててきてください」と箱を渡してきたとします。ところが箱の中には、開けた瞬間に家じゅうの鍵の型をとって、外の仲間に送る機械が入っていました。偽面接の「宿題」は、まさにこの箱です。

しかも、エンジニアの家（PC）には、ふつうの家よりたくさんの鍵があります。

鍵束その1

ブラウザに保存したパスワード

GitHub、クラウド、社内システム、メール。ブラウザに記憶させたIDとパスワードは、警察庁の文書でも真っ先に狙われるものとして挙げられています。

鍵束その2

暗号資産ウォレット

ウォレットの秘密鍵やシードフレーズ（復元用の単語の並び）は、それだけでお金を動かせる「現金そのもの」です。WaterPlumの主な目的はここにあります。

鍵束その3

身分証の画像

PCに保存した運転免許証やパスポートの画像も盗まれます。盗んだ身分証は、攻撃側の人物があなたになりすまして仕事を受けることに使われるおそれがあります。

💡

なぜ「エンジニアほど」かかりやすいのか

エンジニアにとって、人のコードを手元にコピーして動かすのは毎日の仕事そのものです。「リポジトリをクローンして動かしてみて」と言われても、ふつうは何も疑いません。攻撃者は、この「いつもの動作」に罠を仕込んでいます。たとえるなら、毎日通る自宅の玄関に落とし穴を掘られるようなものです。

※「空き巣の道具」はわかりやすくするためのたとえです。実際のマルウェアは、鍵の型を取るだけでなく、PCを遠隔操作したり、キー入力や画面を記録したりもします（11章で詳しく説明します）。

04

📰 実際に起きたこと：3万台と482億円

Xの体験談は氷山の一角。公的機関の発表で規模を確かめます。

① 2026年9月18日：日米豪独の7機関が一斉に注意喚起

警察庁と国家サイバー統括室（NCO）は、米国のFBI、米国防総省サイバー犯罪センター（DC3）、豪州のサイバーセキュリティセンター（ACSC）、ドイツの連邦情報庁（BND）と連邦憲法擁護庁（BfV）とともに、北朝鮮を背景とするグループ「WaterPlum」（セキュリティ業界では「Contagious Interview（伝染する面接）」とも呼ばれます）の手口を公表しました。

💻

3万台以上

感染したとみられるPC
（2025年12月頃〜2026年7月）

🌏

100以上

被害が出た国と地域
（日本を含む）

👛

7千件以上

盗まれた
暗号資産ウォレット情報

💴

約17億円

攻撃者のウォレットに
送られた額（少なくとも）

🧮

数字を「人間サイズ」にすると

約8か月で3万台ということは、毎日100台以上のPCが、どこかで「面接の宿題」を開いていた計算になります。主な標的は、Web関係のデザイナーやエンジニア、暗号資産・ブロックチェーン・Web3の技術者です。フリーランスも含まれます。

注意喚起によると、WaterPlumはヘッドハンティングを装って、実在するAI企業、暗号資産企業、NFT企業、人材紹介サービスになりすまします。近づいてくる場所は、SNS、求人サイト、ギグワーク（単発の仕事）のサービス、フリーランス向けの仲介サイトです。

② 2024年：「採用試験」が482億円流出の入口になった

同じ手口が、日本で過去最大級の被害につながった例があります。2024年5月、暗号資産交換業者のDMM Bitcoinから、4,502.9BTC（当時のレートで約482億円）が不正に流出しました。警察庁は同年12月、北朝鮮を背景とするグループ「TraderTraitor」の犯行と特定しています。

1

2024年3月下旬：LinkedInで「リクルーター」が接触

DMM Bitcoinの暗号資産管理を請け負っていた会社（Ginco）の従業員に、リクルーターを装った人物が連絡してきました。

2

「採用前の試験です」とPythonスクリプトを送付

試験を装った不正なプログラムのURLが送られ、従業員のPCが侵害されました。

3

5月中旬：従業員になりすまして社内システムへ

盗んだログイン情報（セッションクッキー）を使って従業員になりすまし、社内の通信システムに入り込みました。

4

5月31日：約482億円が流出

正規の送金リクエストが改ざんされ、ビットコインが攻撃者の手に渡りました。

🚨 狙われたのは「会社」ではなく「1人の転職希望者」だった

482億円の入口は、会社のサーバーの穴ではありませんでした。1人の従業員が、自分の転職活動として受けた「採用試験」です。個人の転職活動が、勤務先の、さらにその取引先の被害につながりました。「自分の就活だから、自分だけの問題」とは言えません。

05

⚙️ コードを動かさせる3つの仕掛け

「動かした覚えがない」のに感染する仕組みもあります。

警察庁の注意喚起には、コードを実行させる方法が具体的に書かれています。大きく分けると、次の3つの型があります。

型①　いちばん多い

コーディング課題型

GitHub・Bitbucket・GitLab ＋ npm

「このプロジェクトのバグを直して」「機能を1つ追加して」と、リポジトリが渡されます。依存パッケージを入れて起動した瞬間に、紛れ込ませた不正なnpmパッケージ（JavaScriptの部品）が動きます。

npm installnpm startBeaverTail
型②　開くだけで動く

VS Code自動実行型

.vscode/tasks.json

プロジェクトの中に、フォルダを開いたら自動で処理を走らせる設定ファイルが仕込まれています。VS Codeの「このフォルダの作成者を信頼しますか？」で「はい」を押すと、コマンドを1つも打たなくても動き出します。

tasks.jsonStoatWaffle
型③　コピペさせる

「不具合を直す」コマンド型

ビデオ会議の「修理」を口実に

面接中に「カメラ（マイク）がうまく動いていないようです。このコマンドで直してください」と言われ、ターミナルに貼り付けて実行させられます。中身は、不正なプログラムをダウンロードして動かす命令です。

curlbase64PowerShell
🚨

型②がいちばん怖い理由

型①と型③は、少なくとも「何かを実行した」自覚があります。型②は「フォルダを開いて、信頼するを押しただけ」です。コードを読もうとしてエディタで開いた、その行動が引き金になります。警察庁が対策として「VS Codeは制限モードで開く」とわざわざ書いているのは、このためです（やり方は9章）。

Xで報告された、9月の「新しい変種」

手口は毎月のように形を変えています。9月にXで共有された報告から、2つ紹介します。

型③の変種

「音声コーデックが足りません」

狙われたのは、プログラミング言語Rustの中心メンバー

Rustのプロジェクトが、仕事や案件の話を装ったビデオ通話で、「音声コーデック（音声を再生する部品）が足りない」と偽ってソフトを入れさせたり、クリップボード経由でコマンドを実行させたりする攻撃が続いていると警告しました。8月には、人気の部品（クレート）arrayrefが一時乗っ取られ、不正な版が約86分間公開されていました。

Rustcrates.ioビデオ通話
型①の変種

インフラ担当を狙う「Terraform課題」

報告：セキュリティ企業SlowMist（9月22日）

DevOps（インフラの自動化）の技術者向けに、「技術面接の課題」としてTerraformのプロジェクトを渡す手口です。terraform init を実行すると、攻撃者のサーバーから不正な部品がダウンロードされ、Mac向けのバックドアが仕込まれます。被害に遭ったのは、暗号資産と関係のないインドのIT企業でした。SlowMistは、DMM Bitcoinを襲ったTraderTraitorの犯行とみています。

TerraformmacOSDevOps
⚠️

「npmじゃないから大丈夫」は通用しない

npmでもRustでもTerraformでも、共通しているのは「いつもの準備コマンドを打った瞬間に、外から何かを取ってきて動かす」という仕組みです。言語やツールが変わっても、知らない人のプロジェクトで準備コマンドを打たないという原則は同じです。「暗号資産と関係ない会社だから狙われない」とも言えなくなっています。

実行されたあとの流れは、どの型でもほぼ同じです。まず小さな「運び屋」のプログラムが入り込み、それが本体を呼び込みます。本体は、PCを遠隔操作できる裏口（バックドア）を作り、パスワードやウォレットを探して外へ送ります。さらに、盗んだログイン情報で勤務先のネットワークに入り込み、スパイ活動や知的財産の盗み出しに広げていきます。

06

🎭 面接官は本物？ ディープフェイクの見抜き方

「3本指」は効くのか。警察庁の資料にあった、攻撃者側の“本音”。

Xの体験談で、面接官は「指を3本立てて」の一言で固まりました。実はこれとよく似た話が、警察庁の注意喚起に攻撃者側の様子として書かれています。

🕵️

攻撃者は「顔の差し替え」を数分しか使わない

注意喚起によると、WaterPlumのメンバーは「Magicam」というAIの顔交換ソフトを使ってオンライン面接をしていました。ただし使うのは最初の数分だけで、そのあとは「ネットの調子が悪い」などと言って映像を切るように、仲間うちで助言し合っていたそうです。ほかにも、音声読み上げソフトで日本語の発音を練習したり、無料の機械翻訳や生成AIを多用したりしていました。

つまり、攻撃者自身も「長く映ると、ばれる」と分かっています。リアルタイムの顔差し替えは、顔の前を手が横切る、横を向く、急に動くといった場面で、映像が崩れやすいと言われています。「3本指」が効いたのは、この弱点を突いたからだと考えられます。

📊 面接中の「ちょっと変だな」サインと、怪しさの強さ

サイン何が起きている可能性怪しさ
コード・コマンドの実行を求める攻撃の本番そのもの
100
手や指を顔の前に出すと固まる・切れる顔の差し替え（ディープフェイク）
85
数分でカメラをオフにする差し替えがばれるのを避けている
65
給料を暗号資産で払うと言う足のつきにくいお金の流れ
60
別の画面を見ながら読み上げている台本・翻訳・別の担当者が回答
45
映像がカクカク・途切れる差し替え処理の負荷、または単なる回線不良
30

※ 怪しさの数値は、警察庁の注意喚起とXの体験談をもとにした編集部の目安です。1つだけで偽物と決めつけず、組み合わせで判断してください。

⚠ 「3本指テスト」に頼りすぎない

顔の差し替えの技術は、毎月のように進歩しています。今日通用した見破り方が、来月も通用するとは限りません。相手が指を3本立てられても、コードを実行させようとした時点でアウトです。映像の違和感は「おまけのヒント」、本当の判定基準は「実行を求められたかどうか」と覚えてください。

07

⚖️ 本物の面接と偽の面接、ここが違う

本物の技術試験でもコードは書きます。違いは「どこで・誰のコードを・どう動かすか」。

「コーディング試験がある会社は全部あやしい」というわけではありません。本物の技術面接との違いを横に並べてみます。

項目✅ 本物によくある形🚨 偽物によくある形
連絡の始まり応募した会社、または実名・所属を確かめられる担当者から突然のDM。「あなたの経歴が素晴らしい」と強くほめる
会社の実在公式サイト・登記・採用ページで確かめられる実在の会社名を名乗るが、連絡先は個人のメールやチャット
試験の場所ブラウザ上の試験サービスや、画面共有で一緒に書く「手元にクローンして、自分のPCで動かして」
渡されるもの問題文や、空に近いひな形すでに大量のコードと依存パッケージが入ったプロジェクト
急がせ方数日の締め切り。質問もできる「面接の前に」「今すぐ」「今日中に」
トラブル時日程を変える、別のツールに切り替える「このコマンドを貼れば直ります」
報酬の話雇用契約・振込暗号資産での支払い、相場より高すぎる報酬
✅

確かめ方は「別ルート」で

相手が本物か迷ったら、DMの中で確かめず、会社の公式サイトに載っている問い合わせ先から「この方は御社の採用担当ですか」と聞きます。偽物は、自分が用意した連絡手段の中で話を完結させたがります。家族になりすます声の詐欺で「いったん電話を切って、本人の番号にかけ直す」のと同じ考え方です。
ビデオ通話のツールも、相手が指定したものではなく、自分がふだん使っているものを提案しましょう。「専用の会議アプリを入れてください」と言われた時点で、それが罠の入口かもしれません。

08

🩺 あなたは大丈夫？ 診断とクイズ

当てはまる数で、いまの危なさを確かめましょう。

8項目セルフ診断

  • LinkedInやXで、知らない人から仕事の誘いが来たことがある
  • 転職・副業・フリーランスの案件を探している
  • 暗号資産のウォレットを入れたPCで、仕事や勉強のコードも動かしている
  • ブラウザにパスワードを保存している
  • 運転免許証やパスポートの画像をPCに保存している
  • 人からもらったプロジェクトを、中身を見ずに npm install したことがある
  • VS Codeの「作成者を信頼しますか？」は、いつも「はい」を押している
  • 会社のPCで、個人の就活・副業の作業をすることがある

🟢 0〜2個

  • 今のところ安全寄り。9章の3つだけ確認

🟡 3〜5個

  • 誘いが来たら危ない状態。今日、PCの使い分けを見直す

🔴 6個以上

  • 狙われたら一発で鍵束ごと持っていかれます。9章をすべて実行

クイズ：こんなとき、どうする？

Q1. 面接官「技術面接の前に、このリポジトリをクローンして npm start で動くか確認しておいてください」

  1. 面接に遅れないよう、すぐ自分のPCで動かす
  2. 中身をブラウザ上で読むだけにして、動かさない
  3. 会社のPCなら安全なので、会社のPCで動かす
答えを見る

正解は2。GitHubなどのWeb画面でコードを読むだけなら、あなたのPCでは何も動きません。どうしても動かす必要があるなら、使い捨ての仮想マシンで。3は最悪の選択です。会社のPCが感染すると、被害が勤務先全体に広がります。

Q2. 面接中「音声が届いていないようです。チャットに貼ったコマンドをターミナルで実行すれば直ります」

  1. 相手が困っているので、言われたとおり実行する
  2. 「別のツールでかけ直しましょう」と提案する
  3. コマンドを読んで、短ければ実行する
答えを見る

正解は2。ビデオ会議の不具合を、相手が送ってきたコマンドで直す必要はありません。警察庁は、curl、base64、-enc、mshta、iwr、hidden などを含むコマンドに特に注意するよう呼びかけています。短いコマンドほど、外から本体を呼び込む「入口」の役目だけを持っていることがあります。

Q3. もらったプロジェクトをVS Codeで開いたら「このフォルダー内のファイルの作成者を信頼しますか？」と出た

  1. 「はい、作成者を信頼します」
  2. 「いいえ、作成者を信頼しません」
  3. どちらでも同じなので気にしない
答えを見る

正解は2。「いいえ」を選ぶと制限モードで開き、.vscode/tasks.json に書かれた自動実行の処理が動きません。コードを読むだけなら、制限モードで十分です。

09

🛡️ 今日やること3つ／動かしてしまったら

警察庁の対策を、個人がすぐできる順に並べ直しました。

今日やること①

PCを「仕事・お金用」と「試す用」に分ける

知らない人のコードは、ウォレットやパスワードが入ったPCでは動かさない。動かすなら仮想マシン（VirtualBox、Hyper-V など）やクラウドの使い捨て環境で。終わったら環境ごと消します。

今日やること②

VS Codeの「信頼」を見直す

もらったプロジェクトは「いいえ（制限モード）」で開く。開く前に .vscode/tasks.json を別のエディタで見て、何かをダウンロード・実行する記述がないか確かめます。

今日やること③

「鍵束」をPCから減らす

身分証の画像はPCから消すか、暗号化した場所へ。ウォレットのシードフレーズは紙に書いて保管し、PCに置かない。ブラウザ保存のパスワードは、パスワード管理アプリとパスキーへ移します。

🧰 VS Codeの「信頼」の設定を確認する

1

信頼の確認を「オフ」にしていないか見る

設定で security.workspace.trust.enabled を検索し、チェックがオンになっていることを確認します。オフだと、警告が出ないまま自動実行されることがあります。

2

もらったプロジェクトを、信頼済みフォルダーの中に置かない

過去に「信頼する」にした自分の作業フォルダーの中に置くと、警告が出ずに開いてしまう場合があります。Downloads など、信頼していない場所に置きます。

3

開くときは「いいえ、作成者を信頼しません」

制限モードなら、コードを読んだり検索したりはふつうにできます。動かしたくなったら、そこで手を止めて仮想マシンへ。

もし、動かしてしまったら

「もう実行してしまった」という人は、次の順番で動いてください。警察庁の注意喚起の対処法をもとに並べています。

1

🔌 すぐにネットから切り離す

Wi-Fiを切る、LANケーブルを抜く。盗んだ情報を外へ送らせないためです。

2

💰 暗号資産は「別のPC」で新しいウォレットへ逃がす

感染したPCは使わず、別のPCやスマホで新しいウォレットを作り、資産を移します。新しいシードフレーズは紙に書いて保管します。ウイルス対策ソフトが「駆除しました」と表示しても、駆除の前に盗まれていると考えて動きます。

3

🔑 別の端末から、パスワードとログイン状態を入れ替える

GitHub、クラウド、メール、仕事のアカウントを優先し、パスワードを変えたうえで「すべての端末からログアウト」を実行します。パスワードを変えるだけでは、盗まれたログイン状態（セッション）が残る場合があります。

4

🏢 会社のPCや、会社のアカウントが入っていたら、すぐ報告

就活や副業の話でも、言いにくくても、勤務先の情報システム担当へ。DMM Bitcoinの例のとおり、被害は個人で止まりません。

5

💾 必要なデータを退避して、PCを初期化する

ウイルス対策ソフトが見つけていない別のマルウェアが潜んでいるおそれがあります。警察庁も、バックアップを取ったうえでの初期化（再セットアップ）を勧めています。被害があれば、都道府県警察のサイバー犯罪相談窓口へ相談します。

パスワードを変えたあとのログアウトの考え方は、「すべての端末からログアウト」は本当に効くのかで、アカウントを乗っ取られたときの全体の流れはアカウントを乗っ取られたら最初にやることで詳しく解説しています。

10

🔄 逆向きの手口：採用担当者が気をつけること

偽の面接官だけでなく、「偽の応募者」も来ています。

今回の注意喚起では、もう1つの顔も明らかになりました。北朝鮮のIT労働者が、身分を偽って日本企業の仕事に応募・受注していたという実態です。

実例

bitFlyerへの採用応募（2025年5月）

暗号資産交換業者bitFlyerのエンジニア職に、別人になりすました履歴書での応募がありました。同社は不審な点に気づいてオンライン面接で確認し、採用や被害には至っていません。応募者が使っていたIPアドレスは、WaterPlumの攻撃者のものと一致しました。

国内初

「ラップトップ・ファーム」を解体

日本国内の協力者の自宅に置かれ、北朝鮮のIT労働者が遠隔操作していたPCを、警察が初めて把握し解体しました。暗号資産など数億円相当が海外へ送られていました。

bitFlyerの面接では、応募者に次のような特徴がありました。

面接で見えたサイン採用担当ができる確認
日本への引っ越し・出社を断る、または「半年先なら」出社の可否と時期を、具体的な日付で確認する
給料の暗号資産払いにこだわる本人名義の国内口座への振込を条件にする
しきりに別のモニターを見て、読み上げているような様子職務経歴書のスキルを、その場で具体的に説明してもらう
ときどき背後で別の人の声が聞こえる出身地や天気、趣味など、台本にない雑談をはさむ
映像が途切れる、コマ送りになるカメラをオンにしたまま、手を動かしてもらう
10種類以上の言語・技術に精通と書かれた経歴資格の認定番号や取得時期の矛盾を確かめる
⚠ 発注する側も、知らずに加担するおそれ

北朝鮮のIT労働者と知って報酬を払ったり、身分証の画像を渡したりすると、国内法令や制裁に違反するおそれがあります。「海外からだと仕事がしにくいので、あなたの家にPCを置かせて」という依頼は、ラップトップ・ファームへの協力そのものです。外注するときは、再委託の禁止を契約に書き、渡すソースコードやアクセス権は最小限にしておきます。

なお、採用のなりすましを含む「声と顔の偽装」全般については、AIボイスフィッシング・ディープフェイク詐欺の記事の「採用・取引先なりすまし」の項でも触れています。

11

🔬 専門家向けの詳細

マルウェアの系統、注意すべき文字列、確認の手順。

注意喚起に挙がったマルウェア5系統

名前種類役割（警察庁の説明より）
BeaverTailJavaScriptnpmパッケージの中や、GitHub・Bitbucketのリポジトリに隠されて配られる。最初に動く「運び屋」役
InvisibleFerretPython被害者のネットワークに入り込むためのバックドア
OtterCookieJavaScript遠隔操作（RAT）と情報窃取の機能を持つ
OtterCandy—OtterCookie と RATatouille の機能を組み合わせたもの
StoatWaffleNode.jsローダー・認証情報の収集・RATを組み合わせたモジュール型。悪意あるVS Codeプロジェクトで配布され、ブロックチェーン風のリポジトリをおとりにする

盗まれる情報

  • ブラウザに保存された認証情報（ID・パスワードなど）
  • クリップボードの内容、キー入力の記録、スクリーンショット
  • 暗号資産ウォレットのデータ（秘密鍵・シードフレーズなど）
  • PCや共有フォルダー内のファイル（運転免許証・パスポートなどの身分証画像を含む）

貼り付けを求められたコマンドで、特に注意する文字列

警察庁は、ウィンドウに貼り付けるよう指示されたコマンドに次の文字列が含まれていたら、動作を理解できる場合を除いて実行しないよう呼びかけています。

curl base64 -enc mshta Invoke-WebRequest -uri ／ iwr -uri hidden

もらったリポジトリを読むときの確認ポイント

  • .vscode/tasks.json に "runOn": "folderOpen" のような、フォルダーを開いたときに自動で動く設定がないか
  • package.json の preinstall／postinstall／prepare などのスクリプトに、ダウンロードや実行の処理がないか
  • 難読化された部分（長い1行のコード、base64の文字列、eval や Function()）がないか
  • 依存パッケージに、聞いたことのない名前や、有名パッケージに似せた名前がないか
  • 設定ファイルやフォントファイルなど「コードではない場所」に、不自然に長いデータが埋め込まれていないか

確認しても判断がつかなければ、動かさないのがいちばん安全です。どうしても動かすなら、ネットワークを制限した使い捨ての仮想マシンで動かし、EDR（PCの不審な動きを監視するソフト）で挙動を見ます。npmの配布物そのものが汚染される問題は、npmサプライチェーン攻撃の記事で解説しています。

12

❓ よくある質問・出典

迷いやすいところをまとめました。

Q. エンジニアではない、デザイナーや学生も狙われますか？

はい。警察庁は、主な標的としてWeb関係のデザイナーも挙げています。課題が「デザインデータの入ったプロジェクトを開いて」という形をとることもあり得ます。プログラミングに詳しくない人ほど、渡されたものを疑わずに開いてしまいがちです。

Q. Macなら大丈夫ですか？

いいえ。npmやPythonのコードは、Windows・Mac・Linuxのどれでも動きます。「Macはウイルスに強い」という考えは、この手口には当てはまりません。

Q. GitHubで公開されているリポジトリなら安全では？

いいえ。GitHubは誰でもリポジトリを作れる場所で、公開されていることは安全の証明になりません。BeaverTailは、GitHubやBitbucketのリポジトリに隠して配られていました。星の数やフォークの数も、偽装できます。

Q. 「3本指」で固まらなければ、本物と考えていいですか？

いいえ。顔の差し替え技術は進歩しており、手が重なっても崩れにくいものが出てくる可能性があります。相手が本物の人間でも、その人が攻撃者なら同じことです。判定の基準は映像ではなく、「自分のPCで何かを実行させようとしているか」です。

Q. 会社として、従業員にどう伝えればいいですか？

「業務用PCで、私的な就活・副業のコードを動かさない」「迷ったら情報システム担当に聞いてよい（叱らない）」の2点を伝えるのが効果的です。転職活動は言い出しにくいので、報告した人を責めないルールにしておくと、被害の発見が早まります。

📚 出典・参考資料（2026年10月6日確認）

X投稿のいいね数・表示回数は2026年10月6日の取得時点の概数です。体験談は投稿者の説明にもとづくもので、内容の真偽は第三者が確認したものではありません。

🔗 このサイトの関連記事

🧳 宿題は「読む」まで。「動かす」のは使い捨ての部屋で

偽の面接官は、あなたの経歴をほめ、急がせ、最後に「ちょっとした手順」を頼んできます。
話をしただけでは何も盗まれません。守るべき一線は、知らない人のコードを、大事な鍵が入ったPCで動かさないこと。それだけです。

最終更新：2026年10月6日｜掲載情報は執筆時点のものです

コメント