不正採用者の大半、発覚前に認証情報を取得済み

HYPRの新たなレポートによると、不正な採用者の大半は発覚前に企業の認証情報や社内ネットワークへのアクセス権を取得しているということです。

不正な候補者は42%のケースで採用前のスクリーニングを突破し、実際に職務に就いています。そのうち、正式採用と同日に不正が発覚するのはわずか3%にとどまります。

約3分の1(32%)は1日から3日以内に発覚し、45%は4日から6日以内、そして20%は最長3週間にわたって発覚しないままとなっています。つまり、不正採用者が監視されないまま企業ネットワークにアクセスできる期間は平均5.73日に及び、組織にとって重大なデータセキュリティリスクとなっています。

本調査の対象となった米国のHR幹部500名のうち、ほぼ全員(98%)が候補者による不正行為を実際に経験したと回答しており、また89%が過去2年間で採用不正への懸念が高まったと答えています。

HYPRのCEO兼共同創業者であるBojan Simic氏は、次のように警告しています。「攻撃者はもはやネットワークに侵入する必要すらありません。リモート面接を突破し、IT部門から正規の認証情報を直接受け取ればよいのです」

採用プロセス中に発覚した不正な候補者のうち、68%は人間の直感によって見抜かれています。

採用前の不正発覚のタイミングとして最も多いのはスクリーニング(52%)と面接(45%)で、それに続いて技術評価(41%)、オンボーディング(42%)となっています。

HYPRは9月15日付の調査の中で、次のように述べています。「各段階で不正を捕捉するプロセスというのは、実質的にはセキュリティのファネルとして機能しているわけではありません。それはむしろ、サイロ化された状態で個別に運用されている一連のチェックの集合体です。単一の段階だけで候補者の不正を確実に防げるわけではないため、前の段階を通過したからといって身元の確からしさが保証されるわけではないのです」

同レポートはまた、採用前における候補者の不正発見の責任の所在について、大きな認識のずれがあることも浮き彫りにしています。調査対象となったHR幹部の約半数(53%)は、内定承諾前の採用に関わる身元リスクについて自らが責任を負うと回答した一方で、19%は採用担当チームが責任を負うと回答し、コンプライアンス・法務担当が10%、セキュリティ担当が10%、IT担当が7%という結果になっています。

HYPRによれば、この結果は多くの組織が「IT部門とセキュリティ部門は採用後の候補者の身元リスクについてのみ責任を負う」という前提で運用していることを示唆しているといいます。

採用不正が生む重大なインサイダーリスク

9月15日に公開された本レポートの調査結果は、2026年の「National Insider Threat Awareness Month」の時期に合わせて発表されたものです。

9月9日、米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、インサイダー脅威緩和ガイドの更新版を公開しました。この中では、悪意ある攻撃者がさまざまなAIツールを悪用し、リモートIT職への応募・採用を通じて企業への特権的アクセスを獲得している実態が強調されています。

これは近年、北朝鮮の関与するアクターが西側企業への就職を果たす手口として広く用いてきた手法であり、データ窃取や、その後の恐喝といった目的のために悪用されています。

こうした脅威が広く周知されているにもかかわらず、HYPRのレポートによると、身元確認や多要素認証にかかる予算の約60%は、セキュリティ侵害が発生した後になって初めて事後的に承認されているのが実情だといいます。