北朝鮮の不正就労スキームがITから医療・営業分野へ拡大、AIやリモート機器を駆使した手口が判明

要点

• 北朝鮮に関連する脅威アクターが、従来のIT分野にとどまらず、医療や営業・マーケティング分野の企業へ不正に就労する手口を広げている。

• セキュリティ企業Huntressの調査により、豪州ヘルスケア企業や金融企業における身元偽装や遠隔操作機器の悪用事例が確認された。

• 脅威グループ「PurpleDelta」は、AI生成ペルソナや自動応答ツールを用い、1,100社以上へ組織的に応募していたことが判明した。

• 攻撃者は面接時にAIチャットボットでリアルタイムに回答を生成し、採用後は正規業務を行いつつ内部情報を記録していた。

• 北朝鮮に関連する脅威アクターが、外貨獲得を目的とした不正就労の対象をIT業界から医療や営業・マーケティング職へと拡大させていることが明らかになった。米セキュリティ企業Huntressおよび米Recorded Futureの脅威インテリジェンス部門Insikt Groupが2026年8月31日までに公開した調査報告によると、攻撃者らは偽造身分証やAI技術、特殊なハードウェアを組み合わせ、Fortune 500をはじめとする世界各国の企業へ巧妙に潜入しているという。

従来のIT分野を超えて広がる不正就業の実態

北朝鮮の脅威アクターによる「ITワーカー計画（IT worker scheme）」は、韓国内外に展開する労働者ネットワークを通じて世界中の民間企業へ不正にリモート就職し、得られた報酬を核兵器や弾道ミサイル開発の資金源にする長年の活動である。この一連のキャンペーンは、Famous Chollima、Jasper Sleet、Nickel Tapestry、PurpleDelta（旧称TAG-121）、UNC5267、Wagemoleなどの名称でも追跡されている。

これまで標的は主にソフトウェア開発などのIT職種とされてきたが、近年の調査では営業・マーケティング職や医療関連の専門職にまで対象が広がっていることが確認された。Huntressの分析によれば、これらの労働者は組織のアカウント侵害や脆弱性を突いた侵入を行うのではなく、企業を騙して正規雇用させ、与えられた正規の業務を実際に遂行するため、防御側にとって検知が極めて困難であると指摘されている。

医療・金融・営業分野における具体的な潜入事例

Huntressが公表した調査結果では、複数の業界における具体的な手口が報告されている。

2026年2月には、オーストラリアのヘルスケア企業において、中国人の身元を装った北朝鮮人労働者3名が特定された。この事案では、Astrill VPNやIPRoyal Proxyといったプロキシサービス（通信経路を中継して身元を隠す仕組み）への継続的な接続、不自然に類似したパスポート情報、採用時のオンボーディング（入社手続き）で提出された電子請求書内の明らかな単語の異常などから偽装が発覚した。Huntressは、偽造されたパスポートや身分証であっても、盗難や借用によって入手された実在の人物情報や写真が含まれている可能性があると説明している。

また2026年8月には、ある金融サービス企業（社名非公開）において、社内端末に「PiKVM」が導入されているのが発見された。PiKVMは小型PCを利用して端末を遠隔からキーボード・ビデオ・マウス単位で操作可能にするハードウェア機器であり、ノートPCファーム（大量のPCを設置・管理する拠点）を経由して遠隔操作を行う手口として知られている。さらにこの従業員は、ファイル共有サービス「SendGB」経由で正規のGitHubプロフィールを加工した画像をダウンロードし、社内コミュニケーションツールのアイコンに設定していた。加えて、その数日後には「Guermok USB」キャプチャカードが接続され、Web会議ツール「Zoom」上でWebカメラ映像として外部ストリーミングを送信できるよう設定されていた。機器単体の利用自体は不正ではないものの、PiKVMの導入直後にキャプチャ機器が接続された点が重大な異常兆候として扱われた。

同月に調査された別の事例では、営業・マーケティング職として採用されてから13日目の人物が、実在する人物の身元情報を盗用または借用して潜入していたことが判明した。これは、法執行機関が逮捕後にオンライン公開した容疑者の顔写真（マグショット）、氏名、生年月日、居住地などの情報を悪用し、顔写真部分のみを北朝鮮人労働者のものに差し替えて応募した手口であった。

1,100社以上へ組織的にアプローチする「PurpleDelta」のAI悪用手口

個別事例にとどまらず、より大規模かつ組織的な活動も確認されている。Recorded FutureのInsikt Groupによると、「PurpleDelta」と呼ばれるクラスタが、2024年後半から2025年初頭にかけて1,100社以上の企業に対して求人応募を行っていたという。応募先はソフトウェア・技術分野を中心に、人材紹介・コンサルティング、ヘルスケア・バイオテクノロジー分野にまで及んでいた。

中国を拠点とする複数のオペレーターで構成されているとみられるこのグループは、不正な身分証作成サービス「TrustID Card（trustidcard[.]com）」や人工知能（AI）による合成技術を用いて、22種類の架空ペルソナ（人物像）を作成・運用していたとされる。高い活動頻度を維持しており、10箇所の求人プラットフォームを通じて1日あたり少なくとも60件の応募を送信していた。活動の管理には、複数アカウント管理用ブラウザやGoogle Chromeの個別プロファイル、応募状況を網羅した追跡用スプレッドシートが使用されていた。

さらに面接プロセスの突破においても最新技術が悪用されていた。候補者は面接中、画面録画ソフトウェアとAI文字起こしツール、チャットボットを連動させてリアルタイムに回答を生成し、ChatGPTが生成した文章をそのまま復唱して受け答えを行っていたという。そして採用後は、被害組織の社内ミーティングを録画するなどの活動を行っていたことが明らかになっている。

採用選考時における確認の重要性

こうした不正就職への対策について、Huntressは選考の初期段階からの対応が重要であると指摘している。リスクの軽減は面接段階から始まり、入社前の厳格なバックグラウンドチェック（身元調査）を実施することが不可欠だという。疑わしい点がある場合には、標準的な身元確認に加え、オンライン上での人物検索や職歴の照会を行うことで、選考プロセスの早い段階で北朝鮮人労働者を排除することが可能であると説明している。