Material Securityは、北朝鮮の偽IT労働者とみられる人物が、同社の監視対象組織の採用プロセスをどう進んでいくかを追跡しました。その結果、1年間でオンボーディングにまで到達した偽装人物（ペルソナ）は27件に上ったといいます。直近1カ月でペルソナがそこまで到達したある企業では、社会保障番号（SSN）を含む約27万7,000件のファイルが、全社または公開リンクで共有されていました。
ペルソナは、履歴書や顔写真まで備えた架空の求職者で、リモート勤務のエンジニア職に応募します。この1年間で2,429件が接触し、1,100件が面接以降の段階に進みました。さらに27件がオンボーディング、つまり内定通知書、身元調査、機器の手配、初日のIT環境設定のいずれかにまで到達しています。割合にすれば約90件に1件と小さな数字です。しかし、認証情報を手にした27件のいずれもが、信頼された状態で権限を付与され、初日から敵対的な存在として入り込んだことになります。
複数の企業に現れる同じ顔
研究者らは、ペルソナの41%が複数の組織に現れていることを確認しました。15件は10社以上に、1件は19社に登場しています。オンボーディングに到達した27件のうち18件は、同時に他社の選考も進めていました。ある1件は、1社で入社手続きを終えようとしながら、ほかの7社にも応募していました。
新規アカウントが到達できた範囲
過去30日間に、232件のペルソナ疑いの人物が99組織に接触しました。うち42組織では少なくとも1件が面接またはオファーの段階に進み、4組織ではペルソナがオンボーディングに到達しました。Materialは、この4社の機密ファイルを棚卸ししました。
1社目は、約1,500万件のソースコードファイルと、銀行口座番号やルーティング番号を含む13万件のファイルを保有していました。これらは所有者以外にはほとんど共有されていませんでした。2社目は、SSNを含むファイルが約40万件、銀行口座番号やルーティング番号を含むファイルが34万5,000件ありました。SSNファイルの68%、銀行関連ファイルの71%は、社内のどのアカウントからでも、あるいはリンクを知る誰でも閲覧できる状態でした。ここでは新入社員にとって、ログインできれば十分だったことになります。3社目は約1,400万件のソースコードファイルを保有しており、そのうち約1,900件はURLを知っていれば誰でも読める状態でした。4社目は最も小規模で、約150万件のソースコードファイルと秘密暗号鍵を含むファイルを保有していました。財務ファイルの21%、クレジットカード関連ファイルの17%が、所有者以外にも共有されていました。
企業が取るべき対策
Materialは、採用時の統制とアクセス制御を組み合わせるよう勧めています。北朝鮮の人物が採用をすり抜けた場合、その人物は正規の認証情報を持つことになるためです。
- ペルソナを早期に検知する。採用・オンボーディングの兆候を脅威インテリジェンスと結び付け、偽の身元が認証情報を得る前に食い止めます。
- 身元を入念に確認する。身元調査は、架空のペルソナを見抜く機会です。辻褄の合わない点があれば、必ず追跡調査します。
- 段階に応じて優先度を判断する。オンボーディング中のウォッチリスト該当は、最初の接触時よりも緊急度が高くなります。身元と証拠を確認したうえで、アカウントや機器がすでに発行されていないかを調べます。
- オンボーディング後も調査を続ける。アカウントが存在する場合は、権限、アプリへの許可、アクティビティを確認します。
- 必要になる前にアクセス範囲を把握する。各職務がアクセスできるファイル、メッセージ、認証情報、連携アプリを把握しておけば、対応担当者はまず何を調べるべきかが分かります。
翻訳元: https://www.helpnetsecurity.com/2026/11/13/north-korean-it-workers-onboarding/
