多くのセキュリティチームにとって、企業ネットワークへの侵入は、フィッシングメールや脆弱性の悪用から始まるものと想定されています。しかし、これとは異なる手口として、採用プロセス自体を悪用し、正規のアクセス権を手に入れる手法が存在します。
2026年7月、米国務省は警告を発表し、北朝鮮のITワーカーが他国の国民になりすまして就労機会を得ようとしていると注意を呼びかけました。こうしたワーカーは雇用されると、得た給与を北朝鮮の関連機関に送金します。
FBIも警告を発しており、不正なワーカーがアクセス権を悪用してソースコードリポジトリを複製したり、独自情報を持ち出したり、他のサイバー犯罪活動を支援したりする可能性があると指摘しています。発覚したり解雇されたりした後、盗んだコードやデータの公開をちらつかせて雇用主を脅迫するケースも確認されています。
こうした手口は、「身元を確認すること」と「実際にそのアカウントを使っている人物を証明すること」の間にあるギャップを浮き彫りにします。たとえば履歴書がいかにも本物らしく見えても、また支給されたノートパソコンが国内の住所に届いたとしても、それだけでは面接を受けた本人が端末を受け取った本人であり、最終的にログインする本人であるとは証明できません。
サービスデスクの担当者にとっての課題は、アクセスを要求している人物が実在し、なおかつ正規の新規採用者であることをどう確認するかという点にあります。
偽装リモートワーカーが採用管理をかいくぐる手口
国籍や身元を偽る:これは北朝鮮のITワーカーが用いる主要な手口の一つで、オンラインプラットフォームへの登録時に虚偽の情報を申告します。身分証明書を偽造したり、他人になりすましたり、代理人を使ってアカウントを登録したりする場合もあります。
AIを使って偽のプロフィールを作成する:身元に信憑性を持たせるため、偽のワーカーはプロフェッショナルなプロフィールやSNSアカウントを作成することもあります。その際にAIを活用し、実在のITプロフェッショナルと同じ口調や言葉遣いに合わせています。
変則的な支払い方法:偽のワーカーは口座への直接振込による支払いを避け、送金サービスや暗号資産による支払いを好む傾向があります。北朝鮮のワーカーが第三者を利用して給与を受け取り、その口座使用の対価を第三者に支払っている事例も確認されています。
所在地を偽装する:VPNやリモートデスクトップソフトなどのツールを使い、海外から作業していることを隠している場合があります。
海外の仲介者を利用する:一部の偽ワーカーは、端末の受け取りや使用に代理人を使います。雇用主から支給されたパソコンは、ワーカーが居住していると称する国の住所に配送されます。仲介者はその端末を常に電源が入った状態でネットワークに接続しておき、海外にいるワーカーが遠隔操作できるようにしています。
雇用時の確認だけでは、誰がそのノートパソコンを使っているかを証明できない理由
身元調査、就労資格の確認、本人確認スクリーニングは、候補者が提出した情報が信頼できるものであることを確認するために設計されています。しかし、偽装リモートワーカーによる不正行為は、こうした複数の確認手段の間にあるギャップを突いてきます。
企業はある身元が実在すること、その人物に就労資格があること、そしてノートパソコンが承認済みの住所に届いたことを確認できたとしても、最終的には別の人物が管理するアカウントに認証情報を発行してしまう可能性があります。
北朝鮮のITワーカーによる不正行為のような手口は、それぞれ特定の管理プロセスを突破するように設計されています。
- 盗まれた、あるいは代理人が提供した書類が、身元確認の要件を満たしてしまいます。
- 捏造された履歴書が、採用担当者による最初の審査を通過してしまいます。
- 代理人や熟練したワーカーが、面接パネルの審査を突破してしまいます。
- 仲介者の住所が、機器配送プロセスの要件を満たしてしまいます。
- 「ラップトップファーム」が、所在地や端末に関する想定条件を満たしてしまいます。
- 第三者の口座が、給与支払いプロセスの要件を満たしてしまいます。
偽装リモートワーカーの警戒すべき兆候
ある応募者が偽装ワーカーによる不正行為に関与しているかどうかを、単独の指標だけで証明することはできません。しかし、米国務省が挙げているように、注意すべき警戒サインはいくつか存在します。
- 登録情報が頻繁に変更される。
- アカウント名義人の氏名と、登録された支払い口座の名義が一致しない。
- 同一の身分証明書を使って複数のアカウントが作成されている。
- 同一のIPアドレスから複数のアカウントにアクセスされている、または単一のアカウントが短期間に複数のIPアドレスからアクセスされている。
- ログイン時間が異常に長い。
偽装採用からオンボーディングプロセスを守る
企業は、フリーランスやリモート採用者を対象とした強固な審査プロセスを整備し、偽装ワーカーのリスクを軽減する必要があります。Specops Secure Onboardingのようなソリューションを使えば、政府発行の身分証明書スキャンと生体認証によるライブネス検知をオンボーディングプロセスに組み込むことで、重要な局面で本人確認を行えるようになります。
書類確認によって身分証明書が本物であることを確かめる一方で、生体認証チェックでは、オンボーディングを行っている本人とその書類上の写真とを照合します。
さらにライブネス検知によって、カメラに映っているのが写真や録画映像、あるいは加工された映像ではなく、実在する人物がその場に物理的に存在していることを確認します。
有効な身分証明書であっても、盗まれたものであったり第三者から提供されたものであったりする可能性は残ります。同様に、アップロードされた画像と一致するように見える顔であっても、リプレイ攻撃やディープフェイクによって作り出されたものかもしれません。書類の検証と生体認証によるライブネス検知を組み合わせることで、どちらか一方だけでは得られない、より強固な証拠を提供できます。
Specops Secure Onboardingは16,000種類を超える書類形式に対応しており、リモート採用や国際採用に関わる幅広いシナリオでこのプロセスを適用できます。
本人確認をアクセス制御の一部に組み込む
偽装リモートワーカーによる不正行為から得られる最大の教訓は、本人確認を採用時の一回限りの記録として扱うべきではないという点です。
企業は、承認された身元情報が実際にアクセス権を得る本人と一致していることを確認する必要があり、さらにアクセス権の復旧や変更が行われる際にも、その確認を繰り返し行える信頼性の高い仕組みを備えておく必要があります。
Specops Secure Onboardingは、初日に政府発行書類の検証と生体認証によるライブネス検知を組み合わせ、その後もサービスデスク担当者が対応する前に本人確認を求めることで、最も狙われやすい局面において信頼できる本人確認のチェックポイントを提供します。
今すぐお問い合わせいただき、Specopsのソリューションがどのように高度化する本人確認攻撃からサービスデスクを守れるかをご確認ください。
