知らないうちに北朝鮮のIT労働者を雇ってしまう？ リモート採用の死角と実態
面接はビデオ会議で行い、PCは自宅へ郵送する。入社後はオンラインでやり取りし、仕事の成果を受け取る。リモート採用では、こうした流れの中で一緒に働く相手を知っていきます。しかし、面接に現れた応募者と、実際に端末を操作している人物が同じとは限りません。
近年、北朝鮮（朝鮮民主主義人民共和国）のIT労働者が、盗用・偽造した身元情報を使って米国などの企業に就職し、獲得した報酬を本国へ送金するスキームが相次いで発覚しています。米司法省の2025年6月の発表によれば、100社を超える米国企業への不正就職が報告されています。
この問題が厄介なのは、履歴書を送り、面接を受け、採用されるという通常の手続きを通じて組織の内部に入り込む点にあります。Mandiantの調査（2024年9月）でも、同社が対応した現場では、労働者が職務の範囲内で通常の業務をこなす様子が主に観測されています。米司法省やFBIの摘発、セキュリティ企業の調査報告、関係各国による注意喚起から、その手口と企業が確認すべき点を整理します。
なぜ正規の選考をすり抜けられるのか
北朝鮮のIT労働者による外貨獲得の手口は、以前から知られていました。米国務省・財務省・FBIは、2022年5月16日の共同アドバイザリー（本文1〜3ページ）の時点で、他国の国民になりすまして世界中からIT案件を受注する手口に警鐘を鳴らしていました。同資料は、個人で年間30万ドルを超える場合があり、チームでは年間300万ドルを超える収入を得ることもあると説明しています。
では、採用側はどこで見誤るのでしょうか。公表資料にある手口を、応募・面接・端末の受け取りという流れに沿って見ていきます。
リモート職への大量応募
Mandiantが「UNC5267」として追跡する活動では、完全リモートを前提とした職種が集中的に狙われていました。民間インテリジェンス企業Nisosの調査報告（2026年6月16日公表）によると、同社が調査したセルで、応募先として追求した職種の7割以上がソフトウェア開発やデータ関連業務でした。
同社が把握した活動（最大22人規模と推定）だけでも、少なくとも166,893件の応募と21,645回を超える面接が行われ、2024年12月〜2025年9月にかけて少なくとも76件の内定を獲得していたといいます。さらにMandiantの報告にあるように、1人の労働者が複数社に同時就職し、並行して業務をこなすケースも確認されています。
書類や面接を支える生成AI
応募書類の作成や面接の突破には、生成AIが悪用されています。Okta Threat Intelligence（2025年4月24日）の分析によれば、履歴書や応募書類の作成、模擬面接、翻訳、会話の要約などにAIが使われています。採用後に複数の仕事を続けるための支援にも使われているといいます。
偽装は、書類だけで完結するものでもありません。Nisosの調査では、架空の身元や書類に加え、面接中の回答を生成するAIや、面接・入社手続を支援する米国内の仲介者の存在も報告されています。
PCを受け取る国内の協力者
会社支給の端末をどこで誰が受け取っているかも、見落とされやすい盲点です。米司法省（2025年6月30日発表）が明らかにした構造では、米国内の協力者（ファシリテーター）が自宅などで企業支給のPCを受け取り、KVM（キーボード・ビデオ・マウス切替）機器やリモート管理ツールを組み合わせて「ラップトップ・ファーム」と呼ばれる遠隔操作拠点を構築していました。
実際の労働者は中国、ロシア、東南アジア、アフリカ諸国、あるいは北朝鮮国内などに滞在し、VPNやリモートデスクトップ経由で米国内のPCへアクセスします（2026年7月の共同注意喚起・和文3ページ）。会社支給PCが米国内にあることと、働いている本人が米国内にいることは別です。配送先や端末の所在地だけを確認しても、実際の操作者の身元と居場所までは確かめられません。
実際に何が起きているのか：摘発と発覚の事例
企業が採用後に偽装へ気づいた事例もあれば、国内の協力者が摘発され、有罪判決を受けた事例もあります。
セキュリティ啓発企業KnowBe4での採用事例（2024年7月）
セキュリティ意識向上トレーニングを提供する米KnowBe4は、社内ITのAIチーム向けに応募してきた人物を採用しました。同社は経歴照会、バックグラウンドチェック、計4回のビデオ面接を実施した上で業務用Macを発送しましたが、端末を受け取った直後にマルウェアの読み込みが始まったといいます。
導入されていたEDRがこれを検知し、MandiantおよびFBIと連携して調査を進めた結果、盗用された身元とAI加工されたストックフォトを用いた北朝鮮IT労働者による潜入であったことが判明しました。同社の説明によると、社内データへの不正アクセスや情報流出には至らず、同社は再発防止に向けた選考見直しと経緯の詳細を公式ブログで公表しています。
309社への不正就職を支えた拠点（2025年7月）
2025年7月24日、米司法省はアリゾナ州在住のChristina Marie Chapmanに対し、禁錮102か月（約8年半）の量刑判決が言い渡されたと発表しました。司法省が「起訴した北朝鮮IT労働者詐欺スキームの中で最大級の一つ」と位置づける本件では、次の規模が報告されています。
- 影響企業: 米国企業309社、海外企業2社（Fortune 500企業を含む）
- 悪用された身元: 68人分
- 不正収益: 1,700万ドル超
- 押収物: 2023年10月の家宅捜索時に自宅から90台超の社給PCを押収。これとは別に、米企業から送られたノートPCなど49台を海外へ発送していた。
2025年6月の一斉摘発と相次ぐ判決
米司法省が2025年6月30日に発表した全米一斉作戦では、16州にわたる29か所のラップトップ・ファーム（疑いを含む拠点）が捜索を受け、合計約200台の端末が押収されました。
この摘発には、ニュージャージー州のKejia WangおよびZhenxing Wangらの事件も含まれます。両名は2021年から2024年にかけて80人以上の盗用身元を使い、100社を超える米企業への不正就職を仲介して本国側へ500万ドル以上の収益をもたらしたとされ、防衛関連企業の機微な技術データへの不正アクセスも報告されました。
両名はペーパーカンパニーや口座の開設、KVM機器を用いたラップトップ・ファームの管理を担っていました。米司法省は2026年4月15日の発表で、Kejia Wangに禁錮108か月、Zhenxing Wangに禁錮92か月の判決が下されたと報告しています。
さらに2026年5月6日には、それぞれ別の拠点運営事件で、合わせて約70社に影響を及ぼし、120万ドル超の収益に関与したとされるMatthew KnootおよびErick Princeに対し、それぞれ禁錮18か月の判決が発表されました。
観測される被害規模と収益の推計
被害の全体像を捉える上では、「調査会社が観測した件数」と「収益全体の推計」を混同しないことが大切です。
- 企業への侵入: CrowdStrikeは2025年版脅威ハンティングレポートの発表において、北朝鮮関連の脅威主体が生成AIを用いて320社以上に侵入したと報告しています。これは同社が観測した範囲の数値であり、世界全体の網羅的な統計ではありません。
- 収益の推計値: 戦略国際問題研究所（CSIS）の2026年3月24日付の分析報告では、2024年時点における北朝鮮IT労働者の年間総収益を3.5億〜8億ドルと推計する試算が紹介されています。これらは推計値であり、刑事摘発で確定した金額を積み上げた総計とは性質が異なります。
- 国際的な監視体制: 2024年1月〜2025年9月を主対象とする多国間制裁監視チーム（MSMT）の第2回報告書でも、暗号資産の窃取や資金洗浄と並び、IT労働者による外貨獲得と情報窃取の実態が詳しく整理されています（外務省公表資料：2025年10月22日）。
潜入調査とサンドボックスが捉えた現場の挙動
民間企業の調査からは、応募や遠隔勤務の裏側をより具体的に知ることができます。
前述のNisosは、リモートのAIアーキテクト職への不審な応募をきっかけに、法執行機関と連携して調査を始めました。同社によると、2025年の管理された調査で米国内のラップトップ・ファームを把握し、その後、先に紹介した活動セルの組織構造や応募規模の解明へとつながっています。
BCA LTD、NorthScan、およびANY.RUNによる共同調査（ANY.RUNブログ：2025年12月4日）では、物理PCの代わりに長時間稼働するサンドボックス環境を「貸与PC」として支給し、不正労働者が接続した後の操作ログをリアルタイムで記録・分析しました。その結果、AnyDeskやGoogle Remote Desktopなどの遠隔操作ソフト、面接を補助するAIブラウザ拡張機能、Astrill VPNといったツールの利用が確認されています。
給与はどこへ流れるのか
給与の受け取りや送金にも、仲介者が関わります。米司法省が公表したWangらの事件では、協力者が設けた口座で企業からの支払いを受け取り、その多くを海外の共謀者へ送金していました。Chainalysisの調査（2025年10月1日）では、ステーブルコインで報酬を受け取り、暗号資産の交換や送金、仲介者への資金集約、OTC（店頭取引）業者などによる現金化を通じて北朝鮮側へ資金を流す仕組みが報告されています。
給与の獲得自体が主目的である一方、社内システムへの正規アクセス権が悪用されるリスクも軽視できません。社内ソースコードや機密データの持ち出し、暗号資産の不正窃取によって起訴された事例（米司法省：2025年6月発表）や、盗み出したコードの公開を盾に企業を脅迫する手口（FBI・韓国当局の共同アドバイザリー）も報告されています。
日本企業への影響と警戒すべき「レッドフラッグ」
この問題は米国のテック企業に限られた話ではありません。2025年8月の日米韓共同声明や、多国間制裁監視チームによる報告（外務省：2025年10月）、そして日本・米国・韓国などが足並みを揃えて発表した2026年7月31日の多国間共同注意喚起でも、各国企業に対して強い警戒が呼びかけられています。
財務省が公開したガイダンス（財務省PDF：日英併記）では、なりすましによる業務受注、第三者名義口座への送金、VPN等による所在地偽装、AIによる身元偽装、ラップトップ・ファームの存在などが明記されており、北朝鮮のIT労働者と契約を交わして対価を支払う行為が、日本・米国・韓国等の国内法に違反し、法的責任や罰金につながるおそれがあると警告されています。
企業はどのような兆候に注意すべきでしょうか。各公的機関や調査機関の報告書から、確認すべき「レッドフラッグ（危険兆候）」をまとめました。単一の事象で即座に判断するのではなく、複数の要素を組み合わせて検証することが求められます。
- 所在地と物流の不整合: 履歴書に記載された現住所と、会社貸与PCの発送先住所や端末の位置情報が食い違っている（Mandiant）。
- 面接時の不自然な挙動: ビデオ会議への参加を拒む、身分証明書の写真と画面に映る人物の外見が一致しない、映像が加工・生成されたように見える（共同注意喚起・和文4ページ）。
- 職歴・身元の齟齬: 提出された職歴書とオンライン上のプロフィール情報に明らかな矛盾がある。また、VoIP電話番号の使用も、追加確認の手がかりとして挙げられています（FBI・韓国当局、Mandiant）。
- 端末運用の異常: PC到着直後から未承認のリモートデスクトップソフトウェアが複数インストールされたり、KVM機器等による外部操作の形跡が確認されたりする（Mandiant）。
- 報酬支払い先の指定: 給与や業務委託費の振込先として第三者名義の銀行口座が指定されたり、暗号資産での支払いを求めたりする（共同注意喚起・和文2〜4ページ）。
- 勤務パターンの不審点: ログインや累計作業時間が異常に長い、短時間に複数のIPアドレスから接続される、時間帯によって応対する人物が変わる（共同注意喚起・和文3〜4ページ）。
採用時の確認を、就業後までつなげる
KnowBe4では、4回のビデオ面接と経歴の確認を経ても、身元の偽装を見抜けませんでした。その後、EDRの通知を受けて担当者が調査と封じ込めを行っています。採用時の確認に加え、就業開始後の監視と対応も重要だったことが分かります（KnowBe4公式ブログ）。
採用、端末配送、リモート業務、給与振込。ここまで見てきた手口は、企業が日々行っている業務の隙間を利用しています。それぞれの担当者には自然に見える手続きでも、身元、配送先、実際のアクセスをつなげて確認すると、食い違いが見つかるかもしれません。
対抗するためには、人事・採用部門だけで身元確認を完結させず、IT・セキュリティチームと緊密に連携することが欠かせません。PCの送付先住所とアクセス元ログの突合、端末上での未承認リモート管理ツールの実行制限、入社直後の挙動監視など、Mandiantの対策提言が示すように、「選考時」と「入社後」の防御線をひとつなぎに設計することが防御の鍵となります。