# 採用課題に見せかけた感染。仕事用PCで未知のコードを動かさない

Canonical: https://security.qutori.jp/article/waterplum-sep2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本サイト確認日: 2026-10-24

国際共同勧告は、偽の採用担当が技術課題や面接ツールの修正を口実に、不正なコードを実行させる手口を報告。開発者の端末から、勤務先・取引先への影響も懸念されます。

日本語要約・編集：バグマゲドン対策委員会。本記事公開・確認：2026-10-24。

原文発行：FBI・日本警察庁・NCO・豪独当局ほか / 原文公表：2026-09-18。

## 対象と影響

開発者や外部パートナーのPCが、顧客データや会社の鍵への入口になり得ます。個人の転職活動と会社の端末・秘密情報を分ける必要があります。

## 自社で確認すること

採用課題や不明なプロジェクトを仕事用PCで実行しないルールを共有する。

1. 未知のコードは業務データや認証情報がある端末で実行しない。
2. 不明なVS Codeプロジェクトは信頼済みにせず、Restricted Modeで内容を確認する。
3. 侵害が疑われる端末はネットワークから切り離し、秘密情報の流出を前提に調査する。

## 攻撃の流れと防御の確認箇所

偽の採用連絡 → 課題・ツールの実行 → 開発者PCの感染 → 会社・顧客情報へ波及

防御の確認箇所：未知のコードと業務環境を分離

## 優先度の考え方

優先対応。端末感染と認証情報流出が確認され、雇用主や委託先への二次被害につながり得るため。

優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。

## 報告の範囲

本文は日本・米国・欧州などでのIT専門職への被害を報告。

## 原文と確認箇所

- [FBI・日本警察庁・NCO・豪独当局ほか — North Korean WaterPlum, commonly referred to as Contagious Interview, Cyber Actor Group Targeting IT Professionals](https://www.ic3.gov/CSA/2026/260918.pdf)

9/18付共同勧告のExecutive SummaryとIT専門職向け対策（7〜8ページ）を確認。

海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。

- [ニュース一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)