北朝鮮のITワーカーによる不正行為は巧妙化を続けていますが、いくつかの兆候に注意を払うことで、組織は先手を打って対策できます。
Huntressが公開した新しいブログ記事では、同社が2026年を通じて実施した複数の調査の詳細が明らかにされました。具体的には、Huntressは今年、複数の組織が「自社が正当な労働者を装った北朝鮮国籍者を雇用してしまったのではないか」という疑念を検証する支援を行いました。
近年、朝鮮民主主義人民共和国(DPRK)の工作員たちは、偽造または盗用した身分を使ってITワーカーを装い、各企業への就職に成功してきたことで悪名を馳せています。雇用されると、これらの従業員は得た賃金を北朝鮮政権に送金し、政府の意向次第ではマルウェアを仕込んだりデータを窃取したりすることもあります。ブログ記事の執筆者であるJai Minton氏とJames Maclachlan氏は、こうした工作員が「過去数年間で活動を大幅に高度化・活発化させている」と記しています。
さらに、これらの工作員は業務スキルにも長けており、そうでなければ企業のIT環境に何ら違和感なく溶け込んでしまいます。
この傾向は複数の点で憂慮すべきものです。潤沢な資源を持つ外国政府によって組織された内部脅威であるという点に加え、これらのリモートワーカーは他の従業員と同様に正規の採用プロセスを経て雇用されるため、従来型のデータ侵害やアカウント侵害とは異なる形態を取ります。加えて、これらの従業員は所在地を隠すためにVPNやプロキシサービスを利用しており、こうした不正の発見は容易ではありません。
Huntressのブログでは、調査事例を3件に分けて紹介しています。1件は2月に医療業界で発生したもの、残る2件は8月に金融サービス業界の組織で発生したものです。
DPRKのITワーカー不正をめぐる3つの調査事例
2月、オーストラリアの医療業界企業がHuntressに接触してきました。3人の従業員が、中国人になりすました北朝鮮の工作員ではないかという疑いがあったためです。この疑念は、これらの従業員が過去にDPRKワーカーによる不正と関連付けられてきたAstrill VPNなど、特定のインフラを利用していたことから生じました。
同社は過去6カ月分の関連ログ、認証記録、活動状況を分析し、これらの従業員がそれ自体は正規の商用プロキシサービスであるIPRoyal Proxyに加え、「オランダの財政情報・調査局(FIOD)による強制捜査を受けたとみられる」バレットプルーフホスティングサービスWorkTitans B.V.も利用していたことを突き止めました。
VPNやプロキシサービスはいずれも正当な利用目的があるため、1人のユーザーの端末で片方が見つかっただけではさほど異常とは言えません。しかしMinton氏とMaclachlan氏が説明するように、「3つのアカウントすべてにわたる広範なVPN・プロキシインフラの利用は、一般的なエンドユーザーの行動パターンから逸脱しており、各人物が実際の所在地を隠そうとしていたことをうかがわせます」。
Huntressはまた、2人の従業員のパスポートに、同一人物が偽造した可能性を示唆する類似点があることや、中国の電気料金請求書に、Arizona Public Serviceのウェブサイトへのリンクを含め、まったく同じ箇所に誤りが存在することも確認しました。
ブログ記事には「これらのアカウントをDPRK関連の活動と結びつける可能性のあるさまざまな手がかりがあったため、我々は調査結果をパートナー組織に報告し、インシデント対応サービスの利用を強く推奨しました」と記されています。
8月に発生した2件の詳細な調査事例のうち1件目では、サードパーティ製セキュリティベンダーからのアラートをきっかけに、パートナー企業がHuntressに対し、自社環境内に北朝鮮の工作員が潜んでいる可能性を報告しました。
分析の結果、Huntressはこの従業員がコンピューターのハードウェアレベルでのリモート制御を可能にするPiKVMデバイスを利用していたことを発見しました。こうしたデバイスは企業環境では珍しく、過去にもDPRKの手口と関連付けられてきました。同社はさらに、正規のGitHubアカウントから盗用・改変されたプロフィール写真の使用も確認しました。
Minton氏とMaclachlan氏は「我々は、この人物の身元に疑わしい点があるとの評価を、影響を受けた組織に提供しました」と記しています。「調査の結果、パートナー企業はこの従業員に対する疑念を裏付けました。当該従業員が自分のいる部屋を見せることを拒否し、カメラに映ることも渋っていたことが根拠として挙げられています」
この事案の後、Huntressの検知エンジニアリング・脅威ハンティング(DE&TH)チームは、DPRKワーカーによる不正の兆候を能動的に調査し、別のパートナー企業でも同様の疑いが強い事例を発見しました。この事例では、2週間前に入社したばかりの営業・マーケティング担当の従業員が対象でした。
2件目の事例と同様、この従業員もPiKVMおよびGuermok USBデバイスを接続していたことが判明し、Huntressはさらに、実在の人物の写真を別人の画像に差し替えるかたちで、正規の身分証明書がデジタル改変されていた証拠を発見しました。同社はまた、英語翻訳・音声/動画録音・英語発音補助に使われるChrome拡張機能、DPRKのITワーカーがよく利用するマイク・音声テストサイト、そしてコード共有サイト上に公開されていたZoomミーティングのリンクも発見しています。
偽装ITワーカーを見抜く方法
Huntressは、ITワーカーによる不正を警戒する組織や、従業員が北朝鮮の工作活動と関連している疑いを持つ組織に向けて、いくつかの提言を行っています。
同社はまず、PiKVMおよびGuermokデバイスについてアラートを設定すること、特に両方が同一のユーザーアカウントで使用されている場合は注意することを推奨しています。またHuntressは、画面・音声・動画の録画、マイクテスト、翻訳、ファイル共有に関連するウェブサービスやブラウザ拡張機能への警戒、従業員が定例会議のリンクを公開のテキスト共有サイトに投稿していないかの確認、通常とは異なる地理的条件と組み合わさったVPN・プロキシインフラの利用、特に通常の勤務時間外に長期間にわたって続く身元関連の異常な活動の有無、そして身分証明書にまつわる不自然な点の確認を推奨しています。
Minton氏とMaclachlan氏は次のように記しています。「偽造身分証明書は肉眼で見抜くのが非常に難しい場合がありますが、メタデータを確認し、特に最近発行されたものに注意を払うことで、写真がいつ・どこで撮影されたのか、あるいは改変されているのかどうかについて疑問を投げかける異常が浮かび上がることがあります。新入社員の身分証明書について、公証を義務付けることも検討してください」
ブログ記事は最後に、不正な工作員を排除する取り組みは面接段階から始まり、入社前の厳格な身元調査によって継続されるべきだと強調しています。「疑わしい点がある場合は、標準的な身元調査を実施し、対象者をオンラインで検索し、職歴を確認することが、採用面接プロセスの早い段階でDPRKの工作員を排除する助けになります」
翻訳元: https://www.darkreading.com/insider-threats/red-flags-expose-fake-north-korean-it-workers
