北朝鮮の偽技術者がヨーロッパの雇用主をターゲットに

北朝鮮の詐欺、窃盗、AI 悪用を行う偽 IT 労働者が、ヨーロッパの雇用主をますます狙うようになっている。

隠遁国家（北朝鮮）は、遠隔地での技術職に応募し、採用されればその報酬を金正恩の金庫に流す工作員集団を擁している。中には、企業のコンピューターにマルウェアを仕掛け、雇用主のデータを盗み出し、身代金を要求する者もいる。多くの工作員は、複数の雇用主のために同時に悪質な仕事をすることで、複数の雇用主から報酬を得ている。

労働者は魅力的な履歴書を提出し、面接に通うことができれば、アクセントや外見を隠そうとします。ウェブカメラが壊れていて面接に出られないと主張するのが常套手段です。生成AIを使って肖像画や面接での受け答えを作成するのも同様です。

偽装労働者は就職後に、会社のノートパソコンを応募書類に記載した住所とは異なる住所に送るよう要求するなど、うっかりミスをすることがあります。これは、ノートパソコンを電力網やインターネットに接続し続ける現地の仲介人を雇っている兆候かもしれません。北朝鮮の労働者はVPNを使って雇用主から支給されたノートパソコンに接続し、適切な現地時間で働いているか、あるいは働いているように見せかけます。仲介人はまた、給与を平壌に送金する手伝いもしています。

この詐欺は巧妙で、情報セキュリティ企業でさえ北朝鮮の技術者を面接し、雇用している。

Googleの脅威インテリジェンスグループの主任顧問ジェイミー・コリアー氏が火曜日に投稿した記事では、そのような工作員による「ヨーロッパでの活発な活動の増加」が報告されている。

「北朝鮮のIT労働者は複数の国で活動しており、今や世界的な脅威となっている」と投稿は述べている。「米国は依然として主要な標的となっているものの、過去数ヶ月にわたり、北朝鮮のIT労働者は国内での雇用の獲得と維持に困難に直面している。これは、公的機関による報道、米国司法省による起訴、そして就労権の検証における課題を通じて、脅威への意識が高まったことが原因と考えられる」と投稿は述べている。

「これらの要因により、ITワーカーの業務は世界的に拡大しており、特にヨーロッパが注目されている」とコリアー氏は付け加えた。

• FBI、15億ドル規模のBybit暗号資産窃盗事件で北朝鮮を正式に指名
• 北朝鮮、NPMサプライチェーン攻撃で暗号資産開発者を標的に
• 北朝鮮はオープンソースプロジェクトのクローンを作成し、バックドアを仕掛けて認証情報を盗む
• 「ベイン」と改名した北朝鮮の開発者、IT労働者の詐欺容疑で告発される

グーグルと匿名のパートナーは、「ドイツとポルトガルで職を探している」北朝鮮のIT労働者を発見し、「欧州の求人サイトや人材管理プラットフォームのユーザーアカウントのログイン認証情報」も発見した。

捜査官らはまた、「セルビアのベオグラード大学の学位やスロバキアの住居を記載した履歴書、および欧州の求人サイトを閲覧するための指示を含む、偽造された人物名」を発見した。

「ある文書には、通信中にセルビアの時間帯を使用することなど、セルビアでの就職活動に関する具体的なガイドラインが記載されていました。

偽造パスポートの入手方法に関する情報も発見された。おそらく偽の技術者が、就労権や銀行口座開設の権利を確立できる資格情報を提供できるようにするためだと思われる。

北朝鮮工作員たちは、Upwork、Telegram、Freelancerなどのプラットフォームで仕事を探した。中には、暗号通貨やTransferWise、Payoneerなどのサービスで報酬を求める者もいた。

Google 社はまた、英国で巧妙な仲介者がいる証拠を発見したと考えている。

「ある事件では、北朝鮮のIT担当者が米国と英国の両方に拠点を置く仲介業者を利用していた。特に注目すべきは、表向きはニューヨークでの使用を想定していた企業用ラップトップがロンドンでも動作していたことが判明し、複雑な物流網の存在を示唆している」とコリアー氏は記している。

グーグル社員は、偽装労働者が現在、BYOD（Bring Your Own Device：私的デバイス持ち込み）ポリシーを導入している企業を標的にしていると考えている。なぜなら、従業員が自分のハードウェアを使えるのであれば、企業の管理ツールがそれを操作する可能性は低いからだ。また、BYODでは雇用主が従業員にノートパソコンを送る必要がないため、万が一事態が悪化した場合でも、捜査官が従業員の住所情報を使って調査を開始できるわけではない。

グーグルは、北朝鮮の偽造者が大企業をターゲットにしたり、恐喝を試みるケースが増えていることも確認しているため、調査が必要になると考えている。

「これらの事件では、最近解雇されたIT労働者が、元雇用主の機密データを漏洩するか、競合他社に提供すると脅迫していた。これらのデータには、社内プロジェクトの専有データやソースコードが含まれていた」とコリアー氏は記し、恐喝の増加は、不正に得た収入を維持しようと躍起になっている偽装労働者に対する米国の措置強化と関連している可能性があると示唆した。

この詐欺を回避するのは容易ではありません。犯人は高度な技術を持っているからです。しかし、FBIは偽の北朝鮮技術者を見分ける方法に関するガイドラインを発表しました。具体的な兆候としては、対面での面談を避ける、フリーランスの仕事プラットフォームでの支払い方法を変更する、オンラインプロフィールに写真を掲載しないなどが挙げられます。®