北朝鮮ハッカー新手法：月500ドルで面接代行を雇い、本人が成り代わり入職

オリジナル｜Odaily News（@OdailyChina）

著者｜Wenser（@wenser 2010）

MetaMaskウォレットにアウトソーシング経由で侵入した北朝鮮ハッカーを覚えているだろうか？

偽のDeFi企業におとり捜査で引っかかり、身元を晒された北朝鮮ハッカーも？

おとり捜査を仕掛けるセキュリティ企業と同様に、北朝鮮ハッカーたちも「攻撃手法」を進化させている。当初の技術的脆弱性から、その後のソーシャルエンジニアリング攻撃、さらにアウトソーシングプロジェクトへの参加や暗号資産プロジェクトへのリモート入職へと移行してきた。最近では、その侵入手法に新たな手口が加わった。まず人を雇って暗号資産企業の面接を通過させ、その後自分が成り代わって入職し、潜伏して機会をうかがい、最終的に内部技術攻撃によって暗号資産や機密情報を窃取するというものだ。

1か月ぶりに、セキュリティ企業と北朝鮮ハッカーたちの戦いに新たな進展があり、新型の詐欺手口も浮上した。

「曲線救国」：ハッカーが面接代行を雇って職を乗っ取り、最終目的は「祖国への貢献」

まず北朝鮮ハッカーの「戦績」を見てみよう。セキュリティ企業CrowdStrikeのデータによると、2025年に北朝鮮国家関連ハッカーおよび脅威アクターによる暗号資産の損失は20億ドルを超え、前年比51%増加した。韓国銀行の推計では、世界的な共同制裁を受けているにもかかわらず、北朝鮮の2025年の国内総生産（GDP）成長率は3.5%に達したという。

現時点で確実なのは、北朝鮮ハッカーが「国家代表チーム」として同国の経済成長に重要な貢献をしているということだ。

今年7月31日、米国務省とFBIは、日本、韓国、オーストラリア、カナダ、フランス、ドイツ、イタリア、オランダ、ニュージーランド、英国の11か国と共同で、「北朝鮮IT労働者に関する警告」と題するセキュリティ報告書を発表した。

報告書には多くの情報が含まれており、主な内容は以下の通りだ。

第一に、北朝鮮は国内外に展開する技術開発者ネットワークに依存して対外活動を行っており、これらの技術者を派遣して偽の身分を取得させ、リモートワークで収入を得させ、最終的に給与を北朝鮮政府機関の口座に送金している。関連資金は最終的に北朝鮮の核兵器および弾道ミサイル計画の開発と推進に使用されている。

第二に、北朝鮮ハッカーの具体的な業務内容を見ると、これらの技術開発者は通常、他国の国民の身分を詐称し、海外の民間企業が運営するオンライン求人・調達・請負プラットフォームで仕事とそれに対応する給与収入を得ている。

第三に、これに加えて、北朝鮮の技術サービス要員は通常の従業員給与を得るだけでなく、入職先企業の商業情報や商業資産に対して極めて高い内部脅威をもたらしている。かなりの数の者がこれを機にデータ情報の窃取、暗号資産の窃取、機密情報の窃取に関与している。

最後に、具体的な実施方法の面では、北朝鮮ハッカーの準備活動および操作手口はますます複雑化しており、その中にはAIモデルやアプリケーションなどのツールを利用して偽の身分を作成し、世界的に違法活動を行うことも含まれている。

特筆すべきは、この報告書で言及されている最も重要な情報の一つが、従来の「本人面接」に加えて、北朝鮮ハッカーたちが最近「ワークフロー」をアップグレードしたことだ——

• 現在の彼らは、事前にLinkedInなどの求人サイトを通じて第三国の技術労働者（イラン、レバノンなど）を募集することが多い。
• その後、北朝鮮ハッカーは一部の技術開発者に「面接アシスタント」としての副業を依頼し、月額500ドルの暗号資産報酬と引き換えに、ターゲット企業への入職を支援させる。
• 最後に、北朝鮮ハッカー自身が成り代わってターゲット企業に入り、チームの一員となることで技術的浸透を実現し、対応する職位の給与報酬を得ながら、機密情報やデータ、暗号資産、技術コードなどの商業資産を窃取する機会をうかがう。

間違いなく、絶え間なくエスカレートするセキュリティ攻防戦の中で、北朝鮮ハッカーたちも自らの「SOP（ワークフロー）」を徐々にアップグレードしており、その最終目的は当然、資金を本国に送金することだ。

北朝鮮ハッカー浸透率セルフチェックリスト：従業員の個人情報から日常的な表現習慣まで

現時点では、北朝鮮ハッカーの手口は防ぎようがないが、それでも痕跡をたどることは可能だ。以下は、企業が警戒し自己点検すべきシグナル指標の一部である。

オンラインプラットフォームを運営する企業は、特に以下の点に注意する必要がある。

• 従業員が登録情報（アカウント名、連絡先、給与受取銀行口座など）を頻繁に変更する。
• 従業員の身分証明書の名義人と登録支払い口座の名義が一致しない。
• 同一の身分証明書を使用して複数の受取口座を作成する。
• 本人確認書類が偽造、または画像編集ソフトやAI画像生成ツールで生成・改ざんされた疑いがある。
• 複数の技術アカウントが同一IPアドレスからアクセスリクエストを送信する。
• 単一のアカウントが短時間に複数のIPアドレスからアクセスリクエストを送信する。
• アカウントが異常に長時間ログイン状態を維持する。
• 累計労働時間や関連する作業指標が異常（オンライン時間が長すぎる、作業効率が高すぎる、作業量が多すぎるなど）。
• 求人サイトのユーザーが自分の評価を捏造してサイトの評価を上げるなど。

従業員の採用や面接、アウトソーシングの雇用を行う企業は、以下の詳細に注意することで北朝鮮ハッカーの内部浸透を適時に回避できる。

• 面接者の個人プロフィールに誤りや不自然な表現（機械翻訳の疑い）があり、自身の身分情報にある母国語に堪能でないと主張する（AI翻訳サービスの普及を考慮すると、言語表現の面から注意を払うしかない）。
• ビデオ会議で偽造の詳細が露呈する。例えば、写真と身分情報が一致しない、会議の映像がAI生成または第三者の協力によるもので、言語表現や動作・表情が不自然である。
• 面接対象者がビデオ会議への参加を拒否し、顔出しを拒否する。
• 労務報酬の提示額が通常の市場価格より低い。
• 個人の技術アカウントが複数人で操作されている形跡がある（通常、この種のハッカー活動はチームで行われ、実際の対話相手が時間とともに変化する可能性があることを示す）。
• 報酬の支払いを暗号資産で要求し、完全な銀行口座および支払い口座情報の提供を拒否する。