ラザルス（Lazarus Group）は、金融庁・警察庁・内閣サイバーセキュリティセンター（NISC）が「北朝鮮当局の下部組織とされる」と表現しているサイバー攻撃グループです。日本では、2024年5月に暗号資産交換業者「株式会社DMM Bitcoin」から約482億円相当の暗号資産が窃取された事件を、警察庁がラザルスの一部とされる「TraderTraitor」によるものと特定しています。この記事は公的機関とJPCERT/CCの公表資料だけを使い、2026年11月5日確認の内容で整理しました。
【結論】ラザルスは、日本の公的機関が「北朝鮮当局の下部組織とされる」と表現するサイバー攻撃グループで、暗号資産を狙った攻撃への注意喚起が繰り返し出ています。
- 2024年5月のDMM Bitcoinからの約482億円相当（4,502.9BTC）の窃取を、警察庁がFBIなどとともに、ラザルスの一部とされる「TraderTraitor」によるものと特定（2024年12月24日公表）
- 主な手口は、SNSでリクルーターや企業幹部を装って近づき、採用試験などを口実にプログラムを実行させてマルウェアに感染させるソーシャルエンジニアリング
- 知らない相手のコードを業務用PCで実行しない、多要素認証、秘密鍵のオフライン保管などが注意喚起に挙げられている
ラザルスについて公的機関の資料でわかること早見表
| 知りたいこと | 公的機関の資料に書かれていること |
|---|---|
| どこの国の関与が指摘されているか | 金融庁・警察庁・NISCは「北朝鮮当局の下部組織とされる、ラザルスと呼称されるサイバー攻撃グループ」（2022年10月14日）。米国財務省は北朝鮮の偵察総局（RGB）の統制下にあるとして2019年9月13日に制裁対象に指定 |
| 日本の主な被害 | DMM Bitcoinから約482億円相当の暗号資産を窃取（2024年5月）。警察庁が「TraderTraitor」によるものと特定 |
| 狙われているもの | 暗号資産関連企業や取引所など（2022年の注意喚起） |
| 主な手口 | 幹部を装ったフィッシング・メール、偽のSNSアカウントでの接近など |
| 個人も狙われるか | 2024年の注意喚起は「個人管理する暗号資産の窃取を狙うことも考えられます」としている |
ラザルスとは？公的機関の表現
日本の公的機関がラザルスを名指しした注意喚起は、2022年10月14日に金融庁・警察庁・NISCが連名で出した「北朝鮮当局の下部組織とされるラザルスと呼称されるサイバー攻撃グループによる暗号資産関連事業者等を標的としたサイバー攻撃について（注意喚起）」です。我が国の関係事業者も数年来「標的となっていることが強く推察される状況にあります」と書いています。
米国財務省外国資産管理室（OFAC）は2019年9月13日の発表で、「Lazarus Group」と、そのサブグループとされる「Bluenoroff」「Andariel」を制裁対象に指定しました。Lazarus Groupは早ければ2007年に北朝鮮政府によってつくられ、偵察総局（RGB）第3局の「110th Research Center」の下にあるとしています。公安調査庁の「サイバー空間における脅威の概況」（2026年9月）も、北朝鮮のサイバー攻撃の主体は「偵察総局及びその下部組織」が中心と書いています。
TraderTraitor・APT38など、呼び名が複数ある
警察庁は「TraderTraitor」を「Lazarus Group」の一部とされる、と説明しています。FBIはLazarus Groupを「also known as APT38」と書いています。JPCERT/CCの公式ブログ（2025年1月20日）は「「Lazarus」は一つの攻撃グループを指す名称ではなく、実際には多数のサブグループの集合を指しています」とし、ベンダーごとに呼び名が違うと説明しています。
日本で起きた事件：DMM Bitcoinの約482億円
警察庁は2024年12月24日、関東管区警察局サイバー特別捜査部と警視庁の捜査・分析の結果から、FBI・米国国防省サイバー犯罪センター（DC3）とともに、TraderTraitorがDMM Bitcoinから約482億円相当の暗号資産を窃取したことを特定したと公表しました。警察庁の文書に書かれた経緯は次のとおりです。
| 時期 | 警察庁の文書に書かれていること |
|---|---|
| 2024年3月下旬 | LinkedIn上でリクルーターになりすまし、企業向け暗号資産ウォレットソフトウェア会社「株式会社Ginco」の従業員に接触。採用前試験を装った悪意あるPythonスクリプトへのURLを送り、従業員は侵害された |
| 2024年5月中旬以降 | セッションクッキーの情報を悪用して従業員になりすまし、Gincoの暗号化されていない通信システムへのアクセスに成功 |
| 2024年5月下旬 | DMM従業員による正規取引のリクエストを改ざんしたものと認められ、4,502.9BTC（攻撃当時約482億円相当）が喪失 |
同じ日に、警察庁・NISC・金融庁は連名で「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによるサイバー攻撃について（注意喚起）」を出しています（金融庁の公表ページにも掲載）。FBIの発表（2024年12月23日付）は、被害額を3億800万ドル相当としています。これより前の2024年9月26日には、関東財務局長からDMM Bitcoinに業務改善命令が出されたと金融庁が公表しています。
海外の主な事件（公的機関が発表したもの）
米国の公的機関がラザルス（またはその一部とされるグループ）の関与を発表した主な事件です。
| 事件 | 発表した機関と内容 |
|---|---|
| ソニー・ピクチャーズ エンタテインメントへのサイバー攻撃（2014年） | 米国財務省（2019年）：Lazarus Groupが直接の責任を負う |
| ランサムウェア「WannaCry 2.0」 | 米国財務省（2019年）：Lazarus Groupが関与。2017年12月に米英など5か国が北朝鮮によるものと公表し、日本とデンマークが支持する声明を出した |
| バングラデシュ中央銀行の口座からの窃取 | 米国財務省（2019年）：BluenoroffがLazarus Groupと共同で約8,000万ドルを窃取 |
| 2022年3月29日に報告された6億2,000万ドル相当のイーサリアムの窃取 | FBI（2022年4月14日）：Lazarus GroupとAPT38によるものと確認 |
| オンラインカジノ「Stake.com」からの約4,100万ドル（2023年9月4日ごろ） | FBI（2023年9月6日）：Lazarus Group（APT38）によるもの |
| 暗号資産取引所「Bybit」からの約15億ドル（2025年2月21日ごろ） | FBI（2025年2月26日）：北朝鮮によるもので、FBIはこの活動を「TraderTraitor」と呼ぶ |
国連安保理北朝鮮制裁委員会専門家パネルの最終報告書（S/2024/215）は、2017〜2023年に暗号資産関連企業を狙った北朝鮮によるとみられるサイバー攻撃58件、約30億ドル相当を調査していると書いています（ラザルスに限らない北朝鮮全体の数字）。
どんな手口？注意喚起に書かれていること
2022年の注意喚起は、次のような方法でマルウェアをダウンロードさせ、それを足がかりにネットワークへアクセスする「ソーシャルエンジニアリング」が確認されているとしています。
- 標的企業の幹部を装ったフィッシング・メールを従業員に送る
- 虚偽のアカウントを用いたSNSを通じて、取引を装って従業員に接近する
2024年の注意喚起は、DMM Bitcoinの事件の捜査・分析で判明した手口として、次の例を挙げています。
- 第三者の名前や顔写真を悪用し、企業幹部を装うなどしてSNSでメッセージを送る
- 経歴に合わせて「あなたからプログラミングを学びたい」「私のプログラムの不具合を直してほしい」といった問いかけをする
- 別のSNSやメッセージングアプリでのやりとりを希望する場合がある
- GitHubに置いた「不具合があってうまく動かない」と主張するプログラムを実行させ、マルウェアに感染させようとする
- 認証情報やセッションクッキーを盗み、本人になりすまして暗号資産を扱うシステムにアクセスしようとする
FBIのPSA（2024年9月3日）も、「pre-employment test」（採用前テスト）などを口実に未知のNode.jsやPyPIのパッケージを実行させる依頼を兆候に挙げています。JPCERT/CCは公式ブログ（2024年2月21日）で、攻撃グループLazarusが不正なPythonパッケージをPyPIに公開していたことを確認したと報告しています。
似た手口の「WaterPlum」にも注意喚起（2026年9月）
警察庁と国家サイバー統括室は2026年9月18日、米国・豪州・ドイツの機関とともに、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」の文書を公表しました。技術面接やコーディング課題を装って不正なプログラムを実行させる手口で、我が国を含む100以上の国と地域で3万台以上とみられる端末が感染したとしています。この文書には、WaterPlumとラザルスの関係は書かれていません。
個人が気をつけること
注意喚起に書かれた対策のうち、暗号資産を持つ人やIT技術者に関係するものです。
- メールの添付ファイルやリンクを不用意に開かない。SNSのプロフィールに違和感や偽りがないか確かめる（2022年）
- 暗号資産関連のアプリは、真正性が確認できる配信元以外からダウンロードしない（2022年）
- 秘密鍵は、インターネットから切り離されたハードウェアウォレットなどで保管する（2022年）
- パスワードは十分に長く複雑にし、使い回さない。暗号資産取引所などを装ったフィッシングサイトに注意する（2022年）
- SNSで近づかれたらビデオ通話を求める（複数回拒否するなら不審と判断）。やりとりのスクリーンショットを保存する（2024年）
- 内容を確認せずにコードを実行しない。実行するときは業務用PCを使わないか、仮想マシンを使う（2024年）
感染が疑われるとき、2026年9月の文書は、Wi-Fiを切る・LANケーブルを抜くなどして通信を遮断し、別のPCなどから新しいウォレットを作って資産を移すよう挙げています。警察庁のサイバー警察局便り（2026年9月）は、最寄りの警察署またはサイバー犯罪相談窓口への通報・相談を案内しています。
企業・中小企業の担当者が気をつけること
2024年の注意喚起は、システム管理者向けに次の対策を挙げています。
- 通信先ドメインの登録日が数日〜数週間前など、比較的新しくないか確認する
- 多要素認証を導入する
- 必要最小限のアクセス範囲と権限を付与し、業務の期間が終わったら速やかに縮小・削除する
- 通常の業務時間帯ではないアクセスや、居住地以外・VPNサービスからとみられるアクセスのログがないか監視する
- 退職した従業員のアカウントは速やかにロックする
PCのマルウェア感染が疑われる場合は、原則として電源を入れたまま、速やかにインターネットや業務用ネットワークから隔離し、なるべく早く保全措置を行うよう書かれています。採用については、2026年9月の文書が、北朝鮮IT労働者とみられる人物が国内の暗号資産取引事業者に応募していた例を挙げ、アクセス元IPアドレスと居住地の照合や、連絡先の電話番号の確認などを示しています。不審な動きを検知したときは、所管省庁・警察・NISC・セキュリティ関係機関などへの情報提供が求められています。
よくある質問
ラザルスはどこの国のハッカー集団ですか？
日本の金融庁・警察庁・NISCは「北朝鮮当局の下部組織とされる」サイバー攻撃グループと表現しています。米国財務省は2019年9月13日、北朝鮮の偵察総局（RGB）の統制下にあるとして、Lazarus Groupを制裁対象に指定しました。
DMM Bitcoinの事件はラザルスによるものですか？
警察庁は2024年12月24日、FBIなどとともに、TraderTraitorがDMM Bitcoinから約482億円相当の暗号資産を窃取したことを特定したと公表しました。警察庁は、TraderTraitorを北朝鮮当局の下部組織とされる「Lazarus Group」の一部とされている、と説明しています。
暗号資産を持っていない個人も狙われますか？
2024年の注意喚起で標的とされているのは、主に暗号資産関連事業者の従業員や、ブロックチェーン・Web3の技術者です。そのうえで、個人管理する暗号資産の窃取を狙うことも考えられるとしています。暗号資産を持たない個人への影響は、確認した資料に記載がありません。
SNSで知らない人からプログラムの実行を頼まれたらどうすればいいですか？
2024年の注意喚起は、内容を確認せずにコードを実行しないこと、実行するときは業務用PCを使わないか仮想マシンを使うこと、相手にビデオ通話を求めることを挙げています。実行を急がせる兆候があれば、不審性を考慮するよう書かれています。
被害にあったかもしれないときの相談先はどこですか？
警察庁は、最寄りの警察署またはサイバー犯罪相談窓口への通報・相談を案内しています。企業は、不審な通信を検知したら所管省庁、警察、NISC、セキュリティ関係機関などに情報提供するよう、2024年の注意喚起が求めています。
あわせて読みたい：2026年 国内の情報漏えい・サイバー攻撃一覧（毎日更新）
あわせて読みたい：ホワイトハッカーとは？仕事内容と定義
あわせて読みたい：Web3.0とは何か？初心者向けの基本知識
まとめ
- ラザルスは、金融庁・警察庁・NISCが「北朝鮮当局の下部組織とされる」と表現するサイバー攻撃グループ。米国財務省は2019年、北朝鮮の偵察総局の統制下にあるとして制裁対象に指定した
- 日本では、2024年5月のDMM Bitcoinからの約482億円相当の暗号資産窃取を、警察庁がラザルスの一部とされるTraderTraitorによるものと特定した
- 手口の中心は、SNSでのなりすましと、採用試験などを口実にしたプログラムの実行によるマルウェア感染
- 個人は、知らない相手のコードを実行しない・秘密鍵をオフラインで保管する。企業は、多要素認証・最小権限・ログ監視。相談は最寄りの警察署またはサイバー犯罪相談窓口へ
2026年11月5日確認の公表資料で書いています。新しい注意喚起が出た場合は、公式発表を優先してください。
参考
- 金融庁・警察庁・内閣サイバーセキュリティセンター「北朝鮮当局の下部組織とされるラザルスと呼称されるサイバー攻撃グループによる暗号資産関連事業者等を標的としたサイバー攻撃について（注意喚起）」（2022年10月14日・2026年11月5日確認）
- 警察庁「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによる暗号資産関連事業者を標的としたサイバー攻撃について」（掲載ページ）／同 本文PDF（2024年12月24日・2026年11月5日確認）
- 警察庁・内閣サイバーセキュリティセンター・金融庁「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによるサイバー攻撃について（注意喚起）」（2024年12月24日・2026年11月5日確認）
- 金融庁「「北朝鮮を背景とするサイバー攻撃グループTraderTraitorによるサイバー攻撃について（注意喚起）」の公表について」（2024年12月24日・2026年11月5日確認）
- 金融庁「株式会社DMM Bitcoinに対する行政処分について」（2024年9月26日・2026年11月5日確認）
- 警察庁・国家サイバー統括室「北朝鮮サイバー攻撃グループ「WaterPlum」によるIT技術者を標的としたサイバー攻撃並びに北朝鮮IT労働者の我が国、米国及び欧州における活動実態等について」（2026年9月18日・2026年11月5日確認）
- 公安調査庁「サイバー空間における脅威の概況」（2026年9月・2026年11月5日確認）
- JPCERT/CC Eyes「APTアクターの分類“中毒” ―Lazarus のサブグループ分類に見るアトリビューションの実務的課題―」（2025年1月20日・2026年11月5日確認）
- JPCERT/CC Eyes「PyPIを悪用した攻撃グループLazarusのマルウェア拡散活動」（2024年2月21日・2026年11月5日確認）
- U.S. Department of the Treasury「Treasury Sanctions North Korean State-Sponsored Malicious Cyber Groups」（2019年9月13日・2026年11月5日確認）
- FBI「FBI, DC3, and NPA Identification of North Korean Cyber Actors, Tracked as TraderTraitor, Responsible for Theft of $308 Million USD from Bitcoin.DMM.com」（2024年12月23日・2026年11月5日確認）
- FBI「FBI Statement on Attribution of Malicious Cyber Activity Posed by the Democratic People’s Republic of Korea」（2022年4月14日・2026年11月5日確認）
- FBI「FBI Identifies Lazarus Group Cyber Actors as Responsible for Theft of $41 Million from Stake.com」（2023年9月6日・2026年11月5日確認）
- FBI（IC3）「North Korea Responsible for $1.5 Billion Bybit Hack」（2025年2月26日・2026年11月5日確認）
- FBI（IC3）「North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks」（2024年9月3日・2026年11月5日確認）
- 国連安全保障理事会 北朝鮮制裁委員会専門家パネル 最終報告書（S/2024/215）（2024年3月7日・2026年11月5日確認）
- 警察庁「サイバー警察局便り R8 Vol.17 北朝鮮サイバー攻撃グループによる被害防止のお願い」（2026年9月・2026年11月5日確認）
- 警察庁「サイバー犯罪相談窓口」（2026年11月5日確認）
コメント