GMOの「お名前.com デスクトップクラウド」を攻撃したのは、北朝鮮のハッカー集団だったのかもしれない。

このサービスは、FXの自動売買などに使うパソコンをネット上に借りられるもので、2026年10月20日に不正なプログラムが見つかり、翌21日から全プランが止まったまま。

利用者からは身に覚えのない取引の報告が相次ぎ、攻撃者はGMOに約80億円を求めて、利用者の情報をネットに出すとまで脅してきました。

そんな中で、犯人は北朝鮮ではないかという見方が29日のXで一気に広がり、「水すもも」という聞き慣れない名前まで飛び交っています。

元社員だ、大阪の若者だ、海外のFX会社だと言われてきた犯人探しが、ここへきて急に北朝鮮という国の部隊の話になったのです。

 

警察庁が9月に名指しで注意を呼びかけていた「WaterPlum（ウォータープラム）」という集団の名前が挙がっていて、この集団のことは高市首相もXで紹介していました。

WaterPlumを日本語に置き換えると「水」と「すもも」になるので、ネットでは水すももと呼ばれ、「結局全部大ハズレで水すももの仕業だったとは」と驚く声まで出ています。

北朝鮮説の出どころは、2つのIPアドレス（ネットにつないだ機械ごとに割り振られる、住所のような番号）の一致でした。

GMOも29日の昼、犯人の特定につながると考えられる情報をつかんだと発表したばかりです。

WaterPlumとはどんな組織で、北朝鮮説はどこから出てきたのか、そして本当に北朝鮮だったら何が待っているのかを、順に追っていきます。

WaterPlumを動かす軍需工業部

WaterPlumは、北朝鮮を背景とするサイバー攻撃の集団で、日本だけでなく、アメリカ・オーストラリア・ドイツの機関も、そろって名前を挙げています。

警察庁とアメリカのFBIは、この集団が北朝鮮の朝鮮労働党の中にある「軍需工業部313総局」の指揮で動いているとみています。

軍需工業部は兵器づくりを受け持つ部署で、警察庁は、メンバーが稼いだお金が北朝鮮の資金源になっているとしています。

  • 名前＝WaterPlum（ウォータープラム）
  • 別の呼び名＝Contagious Interview（直訳は〈うつる面接〉）
  • ネットでの呼び名＝水すもも
  • 主な狙い＝IT技術者の暗号資産と会社の機密情報

北朝鮮説の中で一緒に名前が出ている「PurpleBravo（パープルブラボー）」は、アメリカのセキュリティ会社Recorded Future（レコーデッド・フューチャー）が、WaterPlumと重なる集団につけた呼び名です。

この会社の2026年1月の報告書では、PurpleBravoの標的とみられる会社は、5つの大陸で少なくとも20にのぼります。

さらに、偽の社員として会社にもぐり込んで給料を稼ぐ北朝鮮の集団とPurpleBravoが重なっていて、稼ぐ班と攻撃する班が同じ大きな仕組みの中でつながっている、というのが報告書の見立てです。

攻撃する側のある担当者は、東ヨーロッパの人物になりすましていながら、ふだん使っていたのは香港版のGoogleと、中国本土で使われる簡体字だったそうです。

 

ネットでは「もう言われていたのに」と、9月の注意喚起を思い出して苦笑いする声も上がりました。

9月の注意喚起は、GMOの件が起きるひと月も前に、偽の求人で個人のパソコンを狙う手口について出されたものでした。

偽の面接で3万台に感染

警察庁の文書によると、WaterPlumのいちばんの手口は、腕のいいエンジニアを引き抜きに来た会社のふりをすることです。

AIの会社や暗号資産の会社、人材紹介の会社を名乗って、SNSや求人サイト、フリーランスの仕事の仲介サイトで、魅力的な仕事の話を持ちかけてきます。

話が進むと、次はオンラインの面接やプログラミングの課題へと移っていき、そこで「このファイルを使って直してください」と言って、不正なプログラムを自分のパソコンへダウンロードさせるのです。

 

一度入り込まれると、ブラウザに保存したIDやパスワード、キーボードで打った文字、画面の写真、免許証やパスポートの画像まで抜き取られていきます。

日本を含む100以上の国と地域で3万台以上とみられるパソコンが感染し、少なくとも約17億円分の暗号資産が、WaterPlumが管理する暗号資産の口座（ウォレット）へ送られていました。

日本の中には協力者もいて、その家に置かれたパソコンを北朝鮮のIT労働者が遠くから操り、日本人のふりをして仕事を受けていたのです。

警察庁はこの拠点を国内で初めて突き止め、解体しました。

こうした拠点は「ラップトップ・ファーム」と呼ばれ、北朝鮮のIT労働者たちは、盗んだ17億円とは別に、仕事で得た暗号資産など数億円分を海外へ送っていたそうです。

協力者は、身分証の画像を渡し、自分の銀行口座を報酬の振込先にさせていたうえ、WaterPlumが使うためのVPS（ネット上に借りるサーバー）を作って、その管理まで引き受けていたとされています。

 

警察庁の文書には、メンバーの働き方まで書かれています。

オンライン面接では、AIで顔をすり替えるソフトを数分だけ使い、そのあとは「回線が悪い」と言って映像を切るよう、仲間うちで教え合っていたそうです。

北朝鮮のある記念日には、決まった時間だけゲームをしてもよい、という指示まで。

2025年5月には、日本の暗号資産の取引所bitFlyer（ビットフライヤー）のエンジニア職に、北朝鮮のIT労働者とみられる人物が応募してきました。

その人物はマレーシア出身でフィンランドに住んでいると名乗り、面接中はしきりに別の画面を見て読み上げるようにしゃべり、ときどき背後から別の人の声が聞こえたといいます。

警察庁は、1人に見える応募者の向こうで、実際には何人もが関わって動いていると注意しています。

 

協力者がネット上のサーバーまで用意していたと聞いて思い浮かぶのは、今回止まったデスクトップクラウドも、ネット上のパソコンを借りる同じ種類のサービスだということ。

北朝鮮説を聞いて「やっぱりつながっているのでは」と思った人がいたのも、この重なりがあるからでしょう。

北朝鮮説は2つのIPアドレスから

北朝鮮説に火をつけたのは、10月28日の昼にXへ出た1本の分析でした。

この件に関わるとみられるサイトで、〈誰がいつ来たか〉の記録が一時的に外から見える状態になっていて、いちばん最初に残っていた6件のアクセスは、1分もたたないうちに、2つのIPアドレスから来ていた、という内容。

その2つの番号は、Recorded Futureが公開している報告書の付録の一覧にある番号と、どちらも完全に一致していました。

 

一覧は、PurpleBravoが乗っ取ったパソコンへ命令を出すサーバーとやりとりするときに使ったと報告された、Astrill VPNというサービスの出口の番号です。

分析では、攻撃者がネットに出した犯行声明の文書に中国語らしい要素があることも挙げられていて、北朝鮮の部隊は中国の回線や中国語を使う例もあるので矛盾しない、とも書かれています。

 

警察庁が9月にWaterPlumとIT労働者を結びつけたときの手がかりの1つも、じつは同じ〈IPアドレスの一致〉でした。

WaterPlumの攻撃者が使っていた番号と、協力者の家のパソコンへつなぐときの番号、bitFlyerに応募した人物の番号が合っていた、と警察庁は書いています。

29日の昼、この分析に首相と警察庁の9月の投稿が添えられてもう一度広がると、犯人は北朝鮮だったんだ、という受け止めが一気に増えていきました。

大勢で使い回すVPNの出口

VPNは、自分がどこからネットにつないでいるのかを隠すためのサービスです。

VPNを通すと、相手のサイトに残るのは自分の家の住所ではなく、VPNの会社が用意した出口の住所になります。

手紙を私書箱から出すのと同じで、相手からは自宅が見えないわけです。

そしてAstrill VPNは、お金を払えば誰でも申し込める市販のサービスで、中国の国内でネットの規制をくぐり抜けるときにもよく使われると言われています。

同じ出口の番号を大勢の利用者が同時に使うことがあるので、番号が合っても、その向こうにいた人まで同じとは限らないのです。

分析した本人も、この一致だけで犯人は決められないと書いていて、協力者の家の拠点まで捜査したうえで一致を示した警察庁とは、材料の重みが違います。

今回の犯人のやり方も、警察庁が明らかにしたWaterPlumの手口とはずいぶん違います。

WaterPlumが求職者のパソコンに黙って入り込み、気づかれないうちに暗号資産を抜いていくのに対して、今回の攻撃者は、GMOがサービスを止めた10月21日に約80億円を求めるメールを送り、サイトまで作っています。

報道によると、払わなければ利用者の情報を毎日正午に出す、とも予告しました。

10月27日の正午すぎには、利用者のものだとする1人分の個人情報が実際に出されましたが、読売新聞などの報道によると、その名前と一致する人は、このサービスを一度も使ったことがないと話しています。

本当に利用者でなかったとすれば、攻撃者は確かめもしないまま、見ず知らずの人の名前をさらしたことになるのではないでしょうか。

 

一方で、警察庁の文書は、盗んだ情報で脅す危険も挙げています。

北朝鮮のIT労働者が、仕事を頼んだ日本の会社と報酬のことでもめたとき、自分が担当していたプログラムの中身をネットにさらした例まであるそうです。

 

北朝鮮が表に出て騒ぎを大きくした前例も。

2014年の秋には、映画会社のソニー・ピクチャーズが攻撃され、社内のメールや公開前の映画が次々にネットへ出されたうえ、映画の公開をやめろという脅しまで届きました。

アメリカのFBIがこれを北朝鮮の仕業だと発表したのは、同じ年の12月のこと。

2017年には、世界中のパソコンを動かなくして身代金を求めた「WannaCry（ワナクライ）」が広がり、アメリカとイギリスがこれも北朝鮮の仕業だと名指ししました。

セキュリティの専門家からは、「金銭目的にしては効率が悪い」という声や、脅し方が丁寧すぎて素人っぽいという見立ても出ていますが、派手さだけで北朝鮮を外すこともできないわけです。

ネットには、中国のグループではないかという声も根強くあります。

元社員説や大阪の若者説がどこから出てきたのかは、こちらの記事で追っています。

GMOのビルを背に、フードで顔の隠れた人物がノートパソコンの前でうつむく様子を色鉛筆で描いたイラスト
GMOハッキングの犯人は元社員？内部告発に見える犯行声明が怖いGMOの「お名前.com デスクトップクラウド」を攻撃した犯人は、中の事情を知る元社員なのではないか。 2026年10月24日の夜から、...

北朝鮮説の根拠は薄いと見ていた大学生の研究者が、そのあと犯人側の自作自演とみられる「被害者フォーラム」を見つけた話は、こちらで追っています。

GMO犯人特定｜被害者フォーラムは自作自演？ActiveTKの考察が鋭すぎる
GMO犯人特定｜被害者フォーラムは自作自演？ActiveTKの考察が鋭すぎるGMOのサーバーが攻撃された事件で、被害に遭った人たちが情報を持ち寄るはずの「被害者フォーラム」が、じつは攻撃者の側が被害者のふりをして...

北朝鮮なら日本は裁けるのか

北朝鮮説が広がるのと同時に、Xでは、それなら日本は犯人を捕まえられないのではないか、という不安の声も増えていきました。

実際に、日本には苦い前例があります。

2024年5月、暗号資産の交換所DMMビットコインから、約482億円分のビットコインが抜き取られました。

同じ年の12月、警察庁はFBIなどと一緒に、北朝鮮の「TraderTraitor（トレーダートレイター）」という集団の仕業だと名指しで発表しています。

犯人は採用担当者になりすまし、交換所の暗号資産の管理を任されていた会社の社員に「採用試験」と称してプログラムを送りつけて入り込んでいて、偽の採用試験から入るやり方は、WaterPlumの手口とよく似ています。

名指しまでに、およそ7か月。

DMMビットコインは、それより前に店じまいを発表していました。

 

日本で裁判にかけるには、まず本人を日本へ連れてくる必要があり、相手が北朝鮮の中にいるなら、名前を突き止めても、日本の警察が捕まえに行く道はほとんどありません。

アメリカの司法省は2018年、ソニー・ピクチャーズへの攻撃やWannaCryに関わったとして、北朝鮮のプログラマー1人を名前を出して刑事訴追しました。

それから8年たったいまも、この人物は北朝鮮にいるとみられ、アメリカで捕まって裁判にかけられたという報道は見当たらないのです。

2025年2月には、海外の暗号資産の取引所Bybit（バイビット）から約15億ドル（2,000億円を超える額）分の暗号資産が抜かれ、FBIは数日のうちに北朝鮮の仕業だと発表しましたが、取り戻せたのは一部だと報じられています。

さらに日本時間の2026年10月30日には、GMOの件とは別に、世界最大の暗号資産の取引所Binance（バイナンス）から60億ドルを超える額（9,000億円以上）の暗号資産が流出しました。

まだ断定ではないものの、ブロックチェーンの分析会社はDMMビットコインと同じTraderTraitorの仕業の可能性が高いと見ていて、Binanceによれば、入口は開発担当の社員のノートパソコンだったとのこと。

GMOは要求に「永久に」応じないと言い、犯人につながる情報に最大100万ドルを払う懸賞金まで設けています。

ただ、国の命令で動く部隊の中から、懸賞金のために仲間を売る人が出てくるのかと考えると、相手が国家なら、この手はかなり分の悪い勝負になりそうです。

GMOが警察へ出す手がかり

北朝鮮説が広がったのと同じ10月29日の昼、GMOは新しいお知らせを出しました。

グループのホワイトハッカー（守る側に立つハッカー）のチームが独自に調べ、犯人の特定につながると考えられる情報を手に入れたので、その日のうちに警察などへ出す、という内容です。

手がかりの中身までは明らかにしていませんが、懸賞金の窓口にも、29日の昼までに270件の情報が寄せられていました。

利用者に向けては、不正な取引で出た損失の補償と、一律5,000円の見舞金も案内されています。

 

ネットには、「解決できないと北朝鮮のせいにして幕引きにするのでは」と疑う声もあります。

名指しされた北朝鮮のプログラマーがその後どうなったかを思い出すと、そう疑いたくなる気持ちもよく分かりますよね。

被害の大きさを問う声も、まだやみません。

名前を挙げられても捕まらず、顔も国も入れ替えて働き続ける組織だと知ると、GMOの犯人が誰であっても、本当に怖いのは名指しされたあとの話だということですね。