- Huntressの報告によると、北朝鮮の求職者はIT分野にとどまらず、医療・営業・マーケティング分野にも進出しています
- 北朝鮮の工作員は盗んだ身元情報、偽造書類、AIツール、プロキシを駆使して検知を回避しています
- 「ITワーカー工作」と呼ばれるこの活動は依然として継続しており、制裁違反のリスクと独特の検知の難しさをもたらしています
欧米企業への就職を狙う北朝鮮の工作員は、もはやテック企業だけを標的にしているわけではありません。セキュリティ研究者集団Huntressによると、彼らは医療、営業、マーケティング分野の職にも応募し始めているとのことです。
米国企業にとって、北朝鮮国籍者を雇用することは米国の制裁措置により禁止されており、米政府はDPRK(北朝鮮)出身のITワーカーを雇用しないよう特に警告しています。そのため、これらの工作員は採用担当者を欺いて採用を勝ち取るために、あらゆる不正行為に手を染めています。
その手口には、他人の身元情報の窃取、書類の偽造、そして通話や面接の際に事前録画あるいはAI生成の映像を使用することなどが含まれます。また、ChatGPTを使って質問への回答を作成し、怪しまれることなくやり取りを行っています。さらに、プロキシやVPNを展開し、多くの場合は中国にある「ハードウェアファーム」内のコンピューターに接続し、個人名義の非居住者向け銀行口座で報酬を受け取っています。
ITワーカー工作
Huntressは分析の中で、次のように述べています。「DPRKの工作員は、防御側にとって独特の検知の難しさをもたらします。アカウントを侵害したり、組織の環境の隙間から侵入したりするのではなく、企業をだましてリモートで自分たちを雇わせ、多くの場合は実際に雇用された正規の業務をこなしてしまうのです」
この工作は何年も前から続いています。研究者たちはこれを「ITワーカー工作」と呼んでおり、一部では工作員が得た給与が北朝鮮の兵器開発計画の資金源になっていると主張する声もありますが、それを裏付ける証拠はありません。分かっていることとしては、彼らは本当に仕事に困窮しているだけなのかもしれません。ただ、リモートでの就労を認められていないだけなのです。
Huntressは最新のレポートで、オーストラリアの医療企業に在籍していた3人が、実は中国人になりすました北朝鮮人だったケースを確認したと述べています。また、身元非公開のある金融サービス企業では、従業員がラップトップファームでホストされた端末を通じてリモートで作業できるソフトウェアを使用していたケースも確認されています。
さらに、盗んだ身元情報を使用していた営業・マーケティング担当従業員の事例も調査しました。この工作員は、法執行機関がある人物を逮捕した際にネット上で公開された、その正規の人物の個人情報（氏名、生年月日、居住地)を悪用していたとされています。一方で、採用プロセスでは自分自身の顔を使用していました。
