北朝鮮ITワーカーが正規採用を装い内部侵入、調査チームが暴いた手口と見極めの要点

要点

• 北朝鮮のIT労働者が身元を偽って採用選考を突破し、正規の権限で内部システムへ侵入する手口が問題視されている。
• 米連邦捜査局（FBI）は、米政府機関でリモートITスタッフとして勤務していたとされる北朝鮮労働者を捜査している。
• セキュリティ調査チームがラザルス・グループ関連の開発者をサンドボックスへおとり雇用し、実態をリアルタイム追跡した。
• 採用前の段階で、書類の矛盾やAI加工の痕跡、面接時の応答遅延や位置情報の不一致といった警告サインが確認された。
• 機密システムにアクセスする職種では、単一の書類に頼らず、複数の独立した情報源を用いた厳格な身元検証が求められる。

リード文

サイバーセキュリティメディアのThe Hacker Newsは2026年8月、北朝鮮のIT労働者が偽装身元を用いて企業の採用選考を通過し、正規のアクセス権限を取得してシステムへ侵入する手口に関する調査結果を報じた。この脅威は民間企業にとどまらず米国の政府機関にも及んでおり、米連邦捜査局（FBI）が捜査を進めている。セキュリティ研究チームが実施した潜入調査により、採用プロセスの中で見られる特有の不審な兆候や、企業が講じるべき具体的な確認手順が明らかになった。

外部からの攻撃から「正規採用による内部侵入」へ

従来のサイバーセキュリティにおいて、攻撃者は外部から防御を突破して侵入を試みる存在と捉えられるのが一般的であった。しかし、北朝鮮のIT労働者による手口はこの構図を覆している。

彼らは通常の求職者と同様に応募し、面接を通過して正規の認証情報を受け取る。その結果、企業が多額の予算を投じて保護している内部システムへ、正当な権限を持った状態で直接アクセスできてしまう。

このリスクはすでに現実化しており、米連邦捜査局（FBI）は米政府機関でリモートITスタッフとして働いていたとされる北朝鮮労働者の捜査を行っている。組織の最高情報セキュリティ責任者（CISO）にとって、不正な採用者が正規のアクセス権を得る前に警告サインを見抜くことが急務となっている。

サンドボックスを用いた「おとり採用」による実態解明

BCA LTDのMauro Eldritch氏、NorthScanのHeiner García氏、およびANY.RUNの共同調査チームは、この工作活動の実態を解明する調査を実施した。

調査チームは、北朝鮮の脅威グループ「ラザルス・グループ（Lazarus Group）」との関連が疑われる開発者を意図的に雇用した。そして、一見通常の仮想デスクトップに見えるANY.RUNのサンドボックス（隔離された安全な仮想検証環境）を業務環境として支給し、その操作内容をリアルタイムで記録・監視した。

「Famous Chollima」と呼ばれるこの調査により、偽造された身元情報、リモートアクセスツール、AIを活用した作業フロー、VPNやVPS（仮想専用サーバー）を用いた通信基盤の実態が明らかになった。

採用前の選考段階に現れる「レッドフラグ」

調査結果によると、不正な労働者を見分ける手がかりは、単一の決定的な証拠ではなく、採用プロセスの各段階に見られる細かな不整合として現れることが多いという。

セキュリティ担当者や人事チームが注視すべき主な警告サイン（レッドフラグ）として、以下の点が挙げられている。

• 身元情報の不整合：住所、居住州、提出書類、銀行口座情報の間で内容が矛盾している。
• 書類改ざんの兆候：身分証明書のメタデータ（付帯情報）の異常、視覚的な不自然さ、AIツールで加工された痕跡が見られる。
• 面接時の不自然な挙動：オンライン面接中に視線を頻繁に画面外へ外す、質問に対する不自然な応答の遅れ、リアルタイム翻訳やAIツールへの過度な依存が見られる。
• 位置情報と通信の不一致：候補者が申告した居住・勤務地と、実際のネットワーク接続元の地理的位置が一致しない。

これらは単独で悪意を証明するものではないが、複数が重なった場合は、アクセス権を付与する前により詳細な身元確認を行うべきシグナルとなる。

重要システムを守るための多角的な身元検証

研究チームの観測結果を踏まえ、組織のセキュリティ責任者が工作員の雇用を防ぐための対策が提示されている。

第一に、提出された身分証明書が精巧に見える場合でも、書類の確認だけで審査を終わらせてはならない点である。実際の調査でも、改ざんされた身分証、盗難された個人情報、矛盾する経歴、本人と一致しない財務情報などが確認されている。

特に、ソースコードやクラウドインフラ、本番稼働システム、財務資産へアクセスする重要なリモート職種では、初期段階から高いレベルの精査が必要とされる。候補者の提出書類、所在地、面接時の挙動、雇用履歴、財務情報といった複数の独立したシグナルを突き合わせ、一貫性が確認されるまでアクセス権の付与を保留することが推奨されている。

また、セキュリティチームが実際の社内システムを危険に晒すことなく、疑わしい活動を安全に検証できるサンドボックス環境の活用も有効な手段として挙げられている。