偽の暗号資産スタートアップでおとり採用、セキュリティ研究者が北朝鮮IT労働者の潜入実態を解明

要点

• セキュリティ研究チームが架空のDeFi企業を設立し、北朝鮮の工作員と疑われるIT労働者3名を採用して実態を調査した。
• 提出された身元確認書類からは、Google Geminiによる加工痕跡や「SynthID」の電子透かしなどが検出された。
• 採用された労働者は正規の選考を経てアクセス権を取得後、環境調査やAI就職支援ツールの利用、2段階認証コードの共有などを行っていた。
• 研究チームは米ラスベガスで開催された「DEF CON 34」で調査結果を発表し、定期的な本人確認や特定VPNの遮断といった対策を促した。

---

セキュリティ研究チームが架空の暗号資産スタートアップを設立し、北朝鮮の工作員とみられるIT労働者3名を実際に雇用してその活動手口を記録・分析した調査結果を、2026年8月に米ラスベガスで開催されたセキュリティカンファレンス「DEF CON 34」で発表しました。

この調査は、BCA LTDのMauro Eldritch氏、NorthScanのHeiner García氏、そして脅威インテリジェンスを提供するANY.RUNによる共同プロジェクトです。研究者らは支給した仮想マシン（VM）上の全操作を記録可能な状態にし、正規の採用プロセスを通じて社内システムへ侵入する手法や、業務中の挙動を詳細に追跡しました。

おとり企業「Ballena Azul」を設立して採用を実施

研究チームは、DeFi（分散型金融：ブロックチェーン上で中央管理者を介さず金融サービスを提供する仕組み）のプロトコルを開発する架空の企業「Ballena Azul」を立ち上げ、開発者向けの求人を出しました。

GitHub上で協力者を探していたリクルーターを通じて最初の開発者が採用され、その開発者の紹介によって2人目、さらにその紹介で3人目の候補者が繋がる形で採用が進みました。3名とも正規の採用プロセスと面接を通過し、業務委託契約を締結した上で作業用仮想マシンへのアクセス権を付与されました。不正な脆弱性攻撃などは一切行われず、正当な権限を持つ従業員として社内環境に入り込んでいたことが特徴です。

提出書類に見られた身元偽造とAI加工の痕跡

採用時のオンボーディング手続きにおいて、候補者らが提出した書類には不審な点が複数確認されました。

1人目の採用者はテキサス州パサデナ在住を主張したものの、カリフォルニア州の運転免許証とニューヨーク州の銀行口座を提出しました。研究チームによると、免許証画像のメタデータにはGoogleのAI「Gemini」で処理された痕跡が残されていたほか、GoogleがAI生成・編集画像に埋め込む不可視の電子透かし「SynthID」も検出されたといいます。

2人目はテキサス州の運転免許証と有効な社会保障番号（SSN）、ミズーリ州カンザスシティの銀行口座を提出しました。3人目は他人の名義であるニューヨーク州の免許証を提出しており、写真自体は実物のiPhone 15で撮影されたものでしたが、位置情報（GPS座標）が意図的に削除されていました。

採用初日の偵察行動と使用されたツール群

仮想マシンの利用開始初日、3名全員が環境プロファイリングを目的に「dxdiag」「systeminfo」「wmic」といったコマンドを実行し、マシンスペックや自らの接続元がどの国に見えているかを確認していました。

そのうち1名は仮想環境内に「Chrome Remote Desktop」を導入し、個人のGoogleアカウントを同期させました。これにより、閲覧履歴や保存されたパスワード、ブラウザ拡張機能、GitHubへのログイン情報などが記録される結果となりました。

また、ブラウザには「AIApply」「Final Round AI」「Simplify Copilot」といった求職・面接支援用のAI拡張機能や、ChatGPT向けの保存済みプロンプトツールが導入されていました。さらに、2段階認証コードの受け渡しには「2fa.cn」というサービスが使われていたほか、メールサービスにはOutlook.comが確認されています。インフラにはVultrやGorilla Serversが使われ、通信には「AstrillVPN」の出口ノードが一貫して利用されていました。

背景と組織への帰属、推奨される対策

北朝鮮のIT労働者は、給与を母国の機関へ送金する目的で海外企業の案件を獲得しようとする傾向があり、雇用主に対して画像編集ソフトなどで偽造・加工された書類への警戒が呼びかけられています。過去の別件では、盗難された80件以上の身元を使って100社以上の米国企業に労働者を送り込み、500万ドル以上を北朝鮮側へ送金させたとして、2名の米国人協力者が有罪判決を受けています。

今回の3名について、研究チームは北朝鮮のサイバー部隊「Lazarus（ラザルス）」傘下のIT労働者グループ「Famous Chollima」の工作員であると推測しています。一方で、各国政府のアラートなどでは特定の脅威アクター名までは名指しされておらず、3名の背後にある実名は特定されていません。また、架空企業が運用された正確な期間は公表されていません。

研究チームは雇用側の防衛策として、採用時の一度きりではなく定期的な身元確認を行うこと、完全リモート企業であっても対面での本人確認を取り入れること、リクルーターへの教育、そしてAstrillVPNからのアクセスを遮断することを挙げています。