偽のDeFi企業に北朝鮮ITワーカー3人を「採用」— 潜入調査が暴いた偽造書類とAI活用の手口（ANY.RUN・BCA・NorthScan）

2026年8月、米ラスベガスで開かれたセキュリティカンファレンス DEF CON 34 で、ひとつの潜入調査が発表された。セキュリティ研究者らが**偽の暗号資産（DeFi）企業を立ち上げ、北朝鮮のITワーカー工作員とみられる3人を実際に「採用」**し、その行動を丸ごと記録したという内容だ。

調査は、脅威インテリジェンス企業 BCA LTD（Mauro Eldritch氏）、NorthScan（Heiner García氏）、マルウェア解析サービス ANY.RUN の共同チームによるもの。2025年12月に発表した第1弾（工作員を支援する「ファシリテーター」役に潜入した調査）の続編で、今回は「雇用主」側に立って行われた。

ちょうど同じ時期、日本を含む11か国・地域の当局は2026年7月31日、北朝鮮ITワーカーに関する共同警告を発表している。偽装採用は一国だけの問題ではなく、世界中のリモート採用企業が直面するリスクだ。

北朝鮮ITワーカー工作「Famous Chollima」とは

北朝鮮は、高度なITスキルを持つ人材を国内外に配置し、偽装した身元で外国企業にリモート就職させている。目的は2つ。得た給与を北朝鮮の関連機関に送金して核・弾道ミサイル開発の資金にすることと、企業内部への長期的なアクセスを確保することだ。

このITワーカー工作を、セキュリティ企業CrowdStrikeは 「Famous Chollima」 と呼ぶ。北朝鮮のサイバー攻撃グループ群 Lazarus（ラザルス） の傘下に位置づけられる。

特徴は「侵入」ではなく「採用されること」だ。マルウェア攻撃と違い、社員は「そこにいるのが当然」と見なされる。採用後は数か月から数年にわたり、ソースコード、社内システム、知的財産への正規アクセスを得て、コードレビューや承認プロセスなど信頼に基づく業務そのものを徐々に掌握していく可能性がある。研究者らは、これは「採用リスク」にとどまらない問題だと警告する。

作り込まれた偽企業「Ballena Azul LTD」

研究チームが用意したのは、「Ballena Azul LTD」（英語名 Blue Whale LTD） という偽のDeFi企業だ。DeFi（分散型金融）とは、銀行などを介さずブロックチェーン上で金融サービスを提供する仕組みのこと。設定上の事業は「複数のブロックチェーン上の大口暗号資産保有者（クジラ）と協力するDeFiプロトコル」で、開発者を募集していた。

企業サイトやブランド、技術文書まで本物らしく作り込まれ、NFTマーケットプレイスOpenSeaにも出品していた。英国の企業登記（Companies House）に既存の同名企業があることも、偽装の信頼性を高める材料に利用されたという（この既存企業は調査とは無関係だとしている）。

研究者らはCEO役・共同創業者役などの偽の人物を演じて採用の窓口を担当。面接の場では、QRコードを読み取らせて「Canary Token」（アクセス記録を残す仕掛け）を踏ませることで、応募者のIPアドレスなどの情報を収集した。

「採用」された3人と、偽造された書類

こうして3人の開発者が「入社」した。

人物（偽名）	担当	提出された書類
Angelo Espree	スマートコントラクト開発	カリフォルニア州の免許証＋ニューヨークの銀行口座。AI加工の痕跡あり
Jack Anderson	フロントエンド開発	テキサス州（オースティン）の免許証＋有効なSSN＋カンザスシティの銀行口座
Lucas Theo	バックエンド開発	他人名義のニューヨーク州免許証（実在人物の写真を流用）＋Wiseの口座

中でも際立つのが、Angeloが提出した書類の偽造品質だ。彼は「テキサス州パサデナ在住」と申告しながらカリフォルニア州の免許証を提出。研究者らが画像のメタデータ（EXIF）を調べると、Google Geminiによる画像処理の記録と、GoogleのAI生成画像に埋め込まれる「SynthID」透かしが検出されたという（下図）。

別の1人（Lucas）が提出した免許証は、実在する人物が本人確認手続き（KYC）用に撮影した写真の流出品とみられる。iPhone 15で撮影された正真正銘の写真で、GPS情報だけが削除されていた。個人情報が一度漏えいすると、こうした「なりすまし用素材」に転用され得ることを示している。

「入社初日」から始まった工作活動

3人には、研究チームが用意した仮想デスクトップ（VDI）環境が貸し与えられた。その正体はANY.RUNの**サンドボックス（隔離実行環境）**で、開いたファイル、通信先、クリックの1つ1つが全て記録された。

「入社初日」から、工作員たちは偵察行動を開始した。

• システム情報の収集 — dxdiag、systeminfo、wmicなどの標準コマンドで端末の構成を調査
• 所在地の確認 — IPアドレス確認サイト（ip8.com）で、自分の接続元がどこの国に見えるかをチェック
• 遠隔操作ツールの導入 — 1人はChrome Remote Desktopをインストールし、個人のGoogleアカウントを業務端末に同期。ブラウザ履歴、保存済みパスワード、インストール済み拡張機能が一括で記録側の手に渡った

さらに、工作員が中継に使うサーバー（VPS）の実体も浮かび上がった。工作員たちは自前のサーバーを踏み台にしてVDIに接続しており、研究者らはそこから北朝鮮側の運用インフラの一部を特定できたとしている。こうした中継サーバーは長期間運用され、複数のマルウェアファミリーが同居することもあるため、脅威インテリジェンス上の価値が高いという。

進化するツールセット: AIを使いこなす工作員

今回観測されたツールには、前回（2025年12月）の調査から変化が見られた。

• VPN — AstrillVPNの出口ノード（exit node）が随所に確認された。AstrillVPNは北朝鮮の工作で定番のVPNとして知られる
• 2要素認証コードの共有 — 作業者間でワンタイムパスワードを共有するサービスとして 2fa.cn を使用（前回はauthenticator.ccやotp.eeだった）
• AI面接支援ツール — AIApply、Final Round AI、Simplify Copilotなど、就職活動・面接をAIで支援するブラウザ拡張機能を導入。応募書類の作成や面接対策に使っているとみられる
• 生成AIの活用 — ChatGPT（コーディング）と Google Gemini（書類偽造） を使い分け
• メール — 前回はGmailのみだったが、今回はOutlook.comも使用
• 暗号資産ウォレット — MetaMask、Bitget Wallet

インフラとしてはVultrとGorilla ServersのVPSが使われていた。研究者らは、こうした工作員の常套手段を把握しておくことが防御の第一歩だと指摘する。

11か国・地域の共同警告 — 日本も署名

この調査と前後して、2026年7月31日、日本を含む11か国・地域の当局が「北朝鮮ITワーカーに関する共同警告」を発表した。米国（国務省・FBI）に加え、日本（外務省、内閣サイバーセキュリティセンター（NISC）、警察庁、財務省、経済産業省）、韓国、オーストラリア、カナダ、フランス、ドイツ、イタリア、オランダ、ニュージーランドなどが名を連ねる。

警告は、北朝鮮ITワーカーが偽造・変造した身分証明書やAIを活用した偽装で企業に侵入し、給与を北朝鮮の関連機関に送金していると指摘する。採用時に注意すべき兆候として、次のような項目を挙げている。

• 画像編集ソフトで加工された疑いのある身分証明書
• 機械翻訳らしき不自然な表現を含むプロフィール
• 同一アカウントが短時間に複数のIPアドレスからアクセスされる
• ビデオ会議を拒否する、または顔写真と本人が一致しない
• 相場より大幅に低い報酬を提示する
• 暗号資産での支払いを希望する

さらに国連安保理決議2397は、加盟国に対し、自国領域内で収入を得ている北朝鮮国民を北朝鮮に送還する義務を課している。北朝鮮ITワーカーへの報酬支払いは、日本を含む多くの国の国内法に違反する可能性もあり、法的なリスクも伴うとされる。

今、何をすべきか

研究者らは、採用プロセスの見直しとして次の4点を挙げている。

1. 身元確認を「採用時1回」にしない — リモート主体の企業では定期的な再確認と、可能な限りの対面確認を行う
2. リクルーターを教育する — 偽造書類や不自然な面接対応に気づけるよう、採用担当者への訓練が第一線の防御になる
3. AstrillVPNを遮断する — 業務端末やネットワークで、AstrillVPNなど捜査・調査に協力しないサービスの利用を遮断する
4. 疑わしい応募者を共有する — 工作員の顔や情報を記録し、情報共有コミュニティや当局に報告する

11か国・地域の共同警告も、企業に対し、本人確認手続きの厳格化（身分証明書の厳重な審査、対面面接の実施など）と、不審アカウントを検知する仕組みの導入を求めている。

偽装採用は、マルウェアと違い「警報」が鳴らない。採用プロセスそのものがサイバー防御の最前線だ。

出典: ANY.RUN — Smile, You’re on Camera! Part 2: Hiring Lazarus APT’s IT Workers in a Fake DeFi Startup（2026年8月10日） / 米国務省 — Alert to Countries, Companies, and Other Entities Regarding North Korean IT Workers（2026年7月31日） / IC3 — 共同警告の全文（PDF）