Huntressによると、北朝鮮(DPRK)の遠隔労働者たちは求職活動をIT分野以外にも広げているということです。最近の調査では、営業・マーケティング職や医療職に就いているとみられるDPRK労働者が確認されています。
「DPRK労働者は、防御側にとって特有の検知の難しさをもたらします。アカウントを乗っ取ったり組織環境の隙を突いて侵入したりするのではなく、企業をだまして自分たちを遠隔雇用させ、しかも多くの場合、実際に雇用された正当な業務をこなしてしまうからです」とHuntressは述べています。
「さらに、DPRK労働者は盗んだ身分証明書やVPN、プロキシサービスを使って自分の正体や所在地を偽装することが多いため、従業員が本人の名乗る通りの人物かどうかを確認するには、別の手法を用いる必要があります」と同社は付け加えています。
同一テンプレートから作られた偽造パスポート
オーストラリアの医療機関のケースでは、Huntressが半年分のログイン記録を調べたところ、3つのアカウントがAstrill VPNとIPRoyal Proxyを繰り返し経由して接続していたことが判明しました。通常の業務時間内に発生した活動は全体の50%未満で、最も活動が活発だった時間帯は北朝鮮時間の午前9時と一致していました。
労働者のうち2人は、本人確認のために住民IDカード、パスポート、電気料金請求書をアップロードしていました。パスポートは同じ都市で1日違いで発行されていました。IDカードには同一の有効期限と同一の発行警察署が記載されていました。写真は似た角度から、同じ機種の携帯電話で、数分の差で撮影されていました。
「両者ともに住民IDカードの裏面を写した独自の写真を提出していましたが、両方の写真に共通して見られる損傷の痕跡から判断すると、どうやら両者が誤って同一の住民IDカード裏面の写真を使用してしまった可能性が高いようです」
電気料金請求書には同じ誤字が含まれており、ネット上で入手可能なテンプレートを基にしたものとみられます。研究者らは、この誤りが光学式文字認識(OCR)を使って画像を編集可能なテンプレートに変換した際の翻訳上の問題に起因した可能性があると指摘しています。
電気料金請求書に見られる単語の異常(出典:Huntress)
「パスポートや住民IDカードが偽造されている可能性は高いものの、これらの書類に、身元情報を盗まれたり借用されたりした別人の正当な情報や写真が使われていた可能性も依然として残ります」と同社は指摘しています。
他人にノートパソコンを操作させるハードウェア
2件目の事例は金融サービス企業で発生したもので、書類ではなくデバイスが関わっていました。調査担当者は、Raspberry Piをベースとしたオープンソースのネットワーク経由KVM機器「PiKVM」がパソコンに接続され、遠隔操作を可能にしている状態を発見しました。この機器は、新規採用者のノートパソコンが自宅住所に届いてから数時間以内に接続されていました。
Windowsのログを見ると、この端末はマネージドサービスプロバイダーのネットワークからトラベルルーターへ、さらに「Pickle_Rick」という名前の自宅Wi-Fiネットワークへと移動し、最終的に固定のイーサネット接続に落ち着いていました。調査によれば、この一連の流れは、このノートパソコンが「ラップトップファーム」の一部と化していたことを示唆している可能性があります。
同じノートパソコンにはGuermok製のUSBキャプチャーカードも接続されていました。
「この機器は端末上でウェブカメラとして認識され、そこを通じて流れる映像を、Zoomなどのウェブ会議アプリケーションでウェブカメラ入力として送信できるようにしていました。Guermok製の機器自体は、単独ではDPRKの関与を示す証拠とはなりませんが、それを裏付ける付随的なハードウェア上の異常です。ただし、本件および他の複数の事案でPiKVMと同時に確認されたという点で重要な意味を持ちます」と研究者らは指摘しています。
この労働者はまた、別人のGitHubプロフィールから取得して加工した写真をダウンロードしており、社内コミュニケーションツールでの使用を意図していた可能性があります。
企業側が労働者に対し、作業をしている部屋を見せるよう求めたところ、この労働者は拒否し、カメラに映ることにも消極的でした。調査の結果、この人物の身元は「疑わしい」ものとされました。
写真をすり替えた身分証明書
別の提携組織では、13日前に採用されたばかりの営業・マーケティング職の新入社員が、他人の身元情報を写真だけすり替えて使用していたとみられる事例がありました。
調査担当者は、身分証明書に記載された氏名、生年月日、居住地と一致する人物の警察のマグショット(逮捕時写真)を発見しました。このマグショットに写る人物は、提出されたIDに貼付された写真とは一致していませんでした。識別番号は検証チェックを通過しており、これらの書類には実在する人物の情報が使われた上で、デジタル的に改ざんされていたことがうかがえます。
「DPRKの遠隔労働者がもたらす脅威は、こうした種類の脅威を実際に検知することの難しさもあって、なくなる気配がありません」
「不正な労働者によるリスクを軽減するには、まず面接の段階から取り組み、採用前に新規採用者の厳格な身元調査を実施し続けることが重要です。疑わしい場合には、標準的な身元調査を実施し、対象者をネット上で検索し、職歴を確認することが、面接プロセスの早い段階でDPRK労働者をふるい落とす助けになります」と研究者らは結論付けています。
翻訳元: https://www.helpnetsecurity.com/2026/08/28/north-korean-remote-workers-jobs-sales-and-marketing/
