2025年9月、Okta Threat Intelligenceは、朝鮮民主主義人民共和国（DPRK）のIT労働者（ITW）が行う不正な雇用スキームについて、大規模な分析調査の結果を公開しました。
この調査では、130を超える関係者からデータを収集し、500社を対象に6,500回以上のインタビューを実施しました。
本稿では特に、2人の個人のペルソナによる活動に焦点を当てます。今回取り上げる2つの事例は、現在も追跡を続けている多数の攻撃者の中から、DPRKのITW攻撃者が用いる典型的なツール、手法、手順（TTP）を示す例として選定しました。また、それぞれに新たな観測結果が含まれており、こうした攻撃への対策を講じる防御側にとって有益な情報となります。
この2人の攻撃者からは、DPRKの攻撃者が就職するために用いる興味深い2つのTTPが明らかになりました。1つは、リファレンスチェックを通過するために正規のLinkedInプロフィールを悪用する手法、もう1つは、盗んだ身元情報を悪用する手法です。
#1 - 「JJ」の人物像
これから説明する2人の攻撃者のうち、1人目を「JJ」と呼ぶことにします。この攻撃者は2年間にわたり、複数の業種で精力的に求人面接を受けており、特にAIやヘルスケア分野の職種への応募が目立ちます。
この攻撃者が使用していたメールアカウントは、他のDPRK関連アクターが使用するものと似た構成になっています。フリーのWebメールサービスを利用し、アカウント名にはソフトウェア開発に関連する言葉とランダムな英数字が含まれています。この攻撃者が使用していたメールアドレスについてOpen Source Intelligence（OSINT）による調査を行ったところ、DPRKのITW攻撃者に典型的なオンラインサービスのアカウントが多数見つかりました。これらのアカウントはすべて、求人への応募やそれに関連する作業にのみ使用されています。
求人サイトおよび採用プラットフォーム
採用担当者がよく利用するスケジュール管理プラットフォーム
AIアシスタンスによるドキュメント整理ワークスペース
ダイナミックDNSサービス
オンラインコーディングプラットフォーム
今回の攻撃者によるものではありませんが、Okta Threat IntelligenceではOSINTの手法を用いて、DPRKの攻撃者が使用するメールアドレスが以下のサービスに登録されていることも確認しています。
フリーランサー向け就業プラットフォーム
記事の執筆・公開プラットフォーム
文書の作成・管理サービス
言語学習プラットフォーム
オンラインコミュニケーション
ソフトウェア開発ソーシャルプラットフォーム
オンラインPDFプラットフォーム
コーディング評価プラットフォーム
北朝鮮の攻撃者は、こうしたオンラインアカウントと偽の履歴書を使い、人工的な「ペルソナ」を効果的に作り出します。こうしたペルソナは、職務に応募する専門家に求められるオンライン上のプレゼンスは備えているものの、個人的なインターネットサービスの利用履歴が一切なく、まるで「何もないところから」現れたかのように見えます。こうした特定のサービスのみを利用していること、そして個人のオンラインフットプリントが一切ないことを組み合わせると、人工的なペルソナであることを強く示唆するパターンが生まれます。
こうした攻撃者によく見られるその他の「癖」は、彼らが提供するPDF形式の履歴書のドキュメントプロパティに見られることがあります。Okta Threat Intelligenceでは、こうした検知方法に関する詳細情報をお客様に提供しています。詳しくは、貴社担当のアカウントマネージャーまでお問い合わせください。
JJになる
確認された2年間の活動期間中、攻撃者のJJは複数のペルソナを作成しては放棄していました。
最近まで、JJは採用担当者にLinkedInのプロフィールは持っていないと伝えていました。Okta Threat Intelligenceでは、DPRKのITW攻撃者がペルソナ用のメールアドレスを使って作成したLinkedInプロフィールを確認することがあります。こうしたプロフィールは、つながり、投稿、推薦、その他のコンテンツやアクティビティが少ないため、信頼性に欠けると見抜く手がかりになります。また、DPRKのITW攻撃者が提示したLinkedInプロフィールが、LinkedInのセキュリティチームによる検知と対策の結果、無効化されていることが判明するケースも少なくありません。
2025年9月、JJが初めて、有効なLinkedInプロフィールを採用担当者に提示していることが確認されました。このLinkedInプロフィールには、当時JJが求人への応募に使用していた偽名と一致しており、プロフィール写真は設定されていませんでした。一見すると、このLinkedInプロフィールは充実していて現実味があり、DPRKのIT労働者が不正な就職活動のために作成するLinkedInプロフィールの大半とは異なっていました。たとえば、このプロフィールには次のような特徴がありました。
200人近くのつながり
現実的な内容が掲載されたGitHubアカウントへのリンク（現実味のないGitHubアカウントの例については、後述します）
複数の「スキル」が記載されており、その多くは複数の第三者によって推薦されています。推薦に使用されたLinkedInアカウントは、本物であるように見えました。
図1：JJが名乗っていたLinkedInプロフィール
結果的に判明した「誤検知」
調査の結果、LinkedInのプロフィールに記載されている人物は、最近まで記載された組織に実際に在籍していた従業員であることが判明しました。
私たちは、この攻撃者が実在する人物のLinkedInプロフィールを自分のものと偽って使用し、雇用条件に合うように、架空のペルソナの名前を実在する人物に合わせて変更したものと判断しています。この判断には、DPRKの攻撃者が使用していたメールアドレスが、正規のLinkedInプロフィールで使用されていたメールアドレスとは異なっていたことも根拠となっています。これは、就職の可能性を高めるために考案された「経歴詐称」の一種でした。
本人確認における課題
実在する人物の身元情報を基にペルソナを作成するこの手法は、雇用形態を問わず、採用する前に厳格な本人確認を行う必要性を改めて示しています。雇用主は、職務経歴を確認する際にLinkedInプロフィールだけを根拠にすべきではありません。現在の雇用主や直近の雇用主に確認を依頼し、LinkedInに記載されている期間に、その名前の人物がその職務に就いていたかどうかを問い合わせるだけでは、不正を見抜くことはできません。攻撃者にとって、この手法を使うことは難しくありません。また、乗っ取ったLinkedInプロフィールをオンラインの履歴書作成サービスや、公開プロフィールを入力として利用できるAI拡張システムに読み込ませ、履歴書を直接作成するのはたやすいことです。攻撃者は、改ざんしたメールアドレスと電話番号を作成するだけで、人事担当者による審査をはるかに困難なものにできます。
採用を検討している企業は、モバイル運転免許証による本人確認などのアイデンティティ検証技術を導入すべきです。知識要素に依存する場合、検証者は、部分的に墨消しされた国民ID番号や、その役職における直近のマネージャーの名前など、明確に非公開の情報にのみ基づいて評価を行う必要があります。生年月日は公開データや人物検索サービスで簡単に入手できるため、雇用主は確実な本人確認のために生年月日に頼ることはできません。
#2 「EM」が採用される
2人目の攻撃者を「EM」と呼ぶことにします。EMによる雇用詐欺の活動は1年以上前にさかのぼり、さまざまな業種で数百件の面接を受けていましたが、特にAI関連の職種や組織を狙っていました。Okta Threat Intelligenceでは、民間航空、通信事業者、インターネットサービスプロバイダー、投票技術企業、情報機関や防衛関連の契約社員など、重要な国家インフラ（CNI）に関わる組織でEMが面接を受けていたことも確認しています。
EMは、統計的に初回面接の通過率が高く、個々の組織で複数回の面接に進む傾向があります。また、複数の組織でソフトウェア開発職として採用される可能性が高いです。
EMの成功の秘訣を探りました。
EMが使用した不正なペルソナは、実在の人物のオンライン写真をもとに作成されたようです。残念ながら、この人物は、北朝鮮（およびその他の攻撃者）がそのアイデンティティを不正に利用できるほどの情報をオンラインで公開していました。
本物のEMと身元情報の問題
EMは、就労資格について尋ねられると米国市民であると主張し、非常に精巧な身分証明書を提示します。この攻撃者が使用した名前について調査したところ、その特徴的な名前を持つ実在の人物は1人しかいないことが分かりました。さらに、その人物が身分証明書を手に持っている写真も見つかりました。その身分証明書は、攻撃者が自分のものとして提示したものとほぼ同一でしたが、写真と署名は異なっていました。
図2：Facebookで流出した身元情報（加工済み）
DPRKのEM
EMが主張する居住歴や職歴は、身元情報を悪用された実在の人物のものとは大きく異なっています。Okta Threat Intelligenceでは、EMが2つの異なる連絡先電話番号を提示していたことを確認しています。どちらもDPRKの攻撃者がよく利用するVoIP電話であり、そのうち1つは、発信者番号表示の所在地が、EMが主張する経歴と矛盾していました。履歴書に記載されていたLinkedInプロフィールは、その後、LinkedInのチームによって削除されています。
lookup cname = SEATTLE WA lookup cname = WESTPORT WA
北朝鮮のITワーカーは、採用面接で自身の技術力を裏付けるために、見栄えのするGitHubアカウントを作成することがよくあります。EMも例外ではありません。
図3：見栄えのするGitHubアカウント
EMが使用するGitHubアカウントには、表向きは2011年にまで遡る数千件のコントリビューションがあります。
図4. 古いコミットを誤って表示しているGitHubのヒートマップ
図5：GitHub上で最も古いものとして表示されているコミット
しかし、EMはコミット日時の大部分を偽装したと考えられます。
このアカウントにおけるEMの実際のコントリビューションで最も古い日付は、GitHub APIを使用して確認できます（以下のリクエストとレスポンスを参照）。APIから返された日付は2011年ではなく、2024年12月でした。
➜ ~ curl -s https://api.github.com/repos/em███████/D██████-W██████ | jq -r '.created_at'
2024-12-14T██:██:00Z
この攻撃者は、署名されていないコミットの日付の年を2024年から2011年に変更しただけでした。
EMが持つさまざまな（AIによる）顔
さまざまなオンラインプロフィールに掲載されたEMの顔写真は一致していません。どの写真も、EMが偽造した身分証明書に使用されている画像とはまったく似ていません。
図6、7：AIで生成されたプロフィール写真
人間の目にはAIが作成したもののように見え、複数のオンラインAI検出ツールでプロフィール写真がAIによって生成されたものかどうかを調べたところ、確信度はまちまちながらも高い評価が下されました。
図 8：オンラインAIチェッカー（出典：writehuman.ai）。
3枚目のプロフィール写真は、現在は削除されているLinkedInアカウントから取得されたものとみられますが、解像度が低いため、AIによって生成されたものかどうかを正確に判断することはできません。これも、偽造した身分証明書に使用されている画像や、この攻撃者が使用した他のAI生成画像とは明らかに異なっています。
図9：EMの別の顔
もう一方のDPRK EMとは？
Okta Threat Intelligenceは調査の過程で、経歴やプロフィール写真が明らかに異なる2つの職業プロフィールについても調査しました。使用したツールによると、これらのプロフィール写真はAIで生成されたものではない可能性が高いと判断されました。
図10：EMに使用されたDPRKの別のプロフィール
図11：EMに使用されたDPRKの3つ目のプロフィール
以下の表に示すように、2つのプロフィールからはまったく異なる経歴が浮かび上がります。これは、同じ身元情報を利用している別のDPRKのITW攻撃者によるものか、あるいはEMが作り上げた架空の経歴の初期バージョンである可能性があります。
|
当初のEMの経歴 |
2つ目のEMの経歴 |
|
|---|---|---|
現在地 |
シアトル |
マイアミ |
教育 |
日本の大学で学位を取得 |
フロリダ大学卒業 |
職歴 |
|
|
現在地
シアトル
教育
日本の大学で学位を取得
職歴
- シアトルで複数のテクノロジー関連の職務を経験し、現在はフリーランスとして活動中
- ボストンを拠点とする賭博関連企業の職務
- ニューヨークを拠点とする金融機関での職務
- スペインと日本での職務経験
現在地
マイアミ
教育
フロリダ大学卒業
職歴
- ソフトウェア開発会社のソフトウェアエンジニア
- 大手コンサルティング会社の開発者
- 別のコンサルティング会社のソフトウェアエンジニア
貴社が新たに採用する（DPRK）人材
調査の過程で、北朝鮮のITワーカーが特定の職務に採用されたかどうかを評価することがよくあります。この場合、EMが採用されたことはほぼ確実と言えます。新しい雇用主がLinkedInに、新たに採用した社員を歓迎する投稿をしているためです。
図12：新しい（DPRKの）従業員を迎える
この投稿で使用されている写真は、私たちが分析した他のどの写真よりも、AIによって生成されたものであることが一層明白です。
Oktaが確認した内容を伝えるため、この組織に連絡するための措置を講じました。
おわりに
正規の求職者と同様に、北朝鮮の協力者やエージェントとの面接の大半は、二次面接や採用には至りません。
しかし、一部の攻撃者はペルソナの作成や審査面接の通過に長けているようです。そのスキルは、採用される可能性のある雇用主に好印象を与える能力だけにとどまらず、DPRKのITワーカーが実際の身元を隠そうとする際に使用するツールやテクニックにも及んでいます。
膨大な数の求人応募や面接が行われていることを考えると、IT労働者スキームに関わるさまざまな実行者が「失敗から学んで」いることは明らかです。多くの場合、ある応募でうまくいったアプローチ（履歴書の構成や要素、LinkedInプロフィールの作成方法、面接支援テクノロジーなど）を別の応募にも取り入れています。IT労働者をめぐって、一種の自然淘汰が起きているのです。最も成功している攻撃者は非常に活発で、それぞれ数百件の面接を組んでいました。こうした攻撃者は、就職に成功した後その職務を別のDPRKのITW攻撃者に引き継ぐ目的で、「面接ブローカー」として活動している可能性が高いと考えられます。
第三者団体の契約社員のリスク
調査の結果、多数の北朝鮮のITワーカーが、第三者機関に雇われるソフトウェア開発者として、一時的な契約業務を求めていることが明らかになりました。こうした企業は、直接雇用の従業員に対して契約先の企業が行うような厳格な身元調査を、短期のタスク型従業員に対しては実施しない可能性が高いと当社は評価しています。
このことは、直接雇用の従業員だけでなく、サードパーティのサービスプロバイダーを介して企業のリソースへのアクセスを許可されたすべての個人に対しても、こうしたチェックを実施することの重要性を浮き彫りにしています。
バックグラウンドチェックは決して省略できない
本稿では、実在する人物の身元情報と職歴を意図的に悪用した事例を取り上げました。このような身元の偽装を見抜くには、厳格なバックグラウンドチェックと雇用履歴の確認が必要です。一方で、検索エンジンでざっと調べるだけでも架空の身元だと見破れるような攻撃者が採用されていたケースも確認しています。
DPRKの攻撃者をそれと知らずに雇用した組織は、制裁義務に事実上違反し、法的責任を問われるリスクがあります。不正な採用が1件発生するたびに、DPRKに次のような機会を与える可能性があります。
直接的な金銭的利益（政権に転用される給与）
機密性の高いシステム、データ、ネットワークへの特権付き内部アクセス
ランサムウェア、恐喝、さらなるサイバー攻撃を行うための足掛かり
企業の機密性の高い営業秘密の流出
将来の攻撃活動を支援するための戦略的な情報収集やアクセス
そのため、組織は多層的な防御策を講じる必要があります。採用時の厳格な本人確認、リモート勤務者のアクセス状況や行動パターンの継続的な監視、内部脅威やサプライチェーンの脅威に対処するための明確なインシデント対応計画などが含まれます。高い信頼性や広範なアクセス権限が必要な職種を採用する場合、組織が負うリスクを考えれば、対面で本人確認や書類確認を行い、機器やアクセストークンの支給・回収を直接行うためにかかるコストは比較的小さいと言えます。リモート勤務者、特に第三者団体の契約社員のアクセス権は、職務の遂行に必要な最小限の範囲に厳しく制限する必要があります。
この脅威に対抗するための手順
Okta Threat Intelligenceは、あらゆる業種の組織、特にリモートワークや契約社員の求人を出している組織は、採用、オンボーディング、内部脅威の監視に対して、多層的かつプロアクティブなアプローチを採用すべきであると評価しています。Oktaは、組織が以下のことを行うよう推奨しています：
1. 応募者の本人確認を強化する
採用や雇用のさまざまな段階で、検証可能な政府発行の身分証明書による本人確認を義務付けます。
申告された場所と、IPアドレス（VPNの使用検知を含む）、タイムゾーンの挙動、給与振込先の銀行情報、ハードウェアの配送先住所を照合します。
認定を受けた第三者サービスを利用して、身分証明書、過去の雇用履歴、学歴・資格を確認します。
2. 採用および審査プロセスを強化する
人事担当者や採用担当者に、不審な兆候を見分けるためのトレーニングを実施します。面接の途中で別の人物に入れ替わっていないか確認できるようなプロセスを導入します。本人が居住していると主張する地域についての知識が乏しい、対面での面会を拒否する、面接中にカメラをオンにしたり背景フィルターを解除したりすることを拒否する、非常に通信状態の悪いインターネット接続で面接を行うといった行動上の兆候を見分けられるようにします。重複した履歴書、経歴の時系列の不整合、タイムゾーンの不一致、確認できない推薦状を特定します。応募者のオンライン上の足跡やソーシャルメディア上の存在が、応募時に提供された情報と一致しているか確認します。過去の実績として成果物が提示された場合は、実在するユーザープロフィールのリポジトリから単に複製されたプロジェクトではないか調査します。
履歴書やPDFの編集履歴を、文書メタデータや、複製・再利用に関連するその他の技術的な「手がかり」から確認します。
採用担当者の監督下で行われるライブコーディングや文章作成など、体系的な技術検証と行動検証を追加します。
推薦状にはフリーのWebメールではなく企業のメールアドレスを使用するよう求め、推薦元の組織の代表電話番号に電話をかけて確認します。推薦内容には、公開されているLinkedInプロフィールなどから分かる情報以外の要素（直近の上司の名前など）を含めるようにします。
3. ロールベースの分離されたアクセス制御を適用する
新規ワーカーや臨時ワーカーには、デフォルトで最小権限のプロファイルを設定し、試用期間のチェックが完了したら追加のアクセス権を付与します。
開発環境、テスト環境、本番環境を分離し、コードのマージやデプロイには、ピアレビューと承認のワークフローを必須とします。
異常なアクセスパターン（大量のデータ取得、想定外の地域やVPNからの時間外ログイン、認証情報の共有）を監視します。
アクセス認定キャンペーンを使用して、継続的なアクセスを管理します。
4. 契約社員とサードパーティのサービスプロバイダーを監視する
可能な場合は、継続的なアイデンティティ検証の標準、身元調査、強力な認証ポリシー、デバイスセキュリティのベースライン、および監査権を契約で義務付けます。
名前付きユーザーアカウント（可能な限り、共有ログインや内部サービスアカウントは使用しない）と、クライアント環境ごとに個別のテナント/プロジェクトアクセスを要求します。
5. 内部脅威対策プログラムとセキュリティ意識向上プログラムを導入する
人事、法務、セキュリティ、ITの各部門にまたがる専門のインサイダーリスク対策部門、または少なくともワーキンググループを設置する。
採用担当者、採用マネージャー、テクニカルリードを対象に、ITWの技術やスクリーニング管理に関する的を絞ったトレーニングを提供します。
採用責任者や従業員が、同僚の身元、目的、所在地について疑念を抱くような不審な行動に気づいた場合に、それを報告できるよう教育し、必要な権限を与えます。
不審な行動や応募者に関する懸念事項について、より安全に報告できる窓口を設けます。
6. 法執行機関や業界内の他の組織と連携する
侵害の兆候や不審な候補パターンを、各国のサイバー犯罪対策部門やISAC/ISAOグループと共有します。
「インサイダーリスク」グループがインジケーター（メールアドレス、IPアドレス、VPNプロバイダー、ドキュメント作成、行動インジケーター）を受信して対応するための方法を開発し、関連する調査結果を「共有」できるように準備します。
情報共有フォーラムに積極的に参加し、進化するITWの戦術やツールを追跡する。
7. 定期的なリスク評価とレッドチーム演習を実施する
内部関係者や悪意のある契約業者による攻撃経路を想定し、事業への潜在的な影響を定量化します。
採用プロセスを対象としたレッドチーム演習（DPRKからの応募や面接を想定したシミュレーション）を実施し、本人確認プロセスを評価します。
悪意のあるインサイダー、侵害された契約社員、迅速なアクセス権の取り消しといったシナリオを盛り込むように、インシデント対応計画を更新してください。
Okta Threat Intelligenceは、この記事の調査にご協力いただいたEpieosに感謝いたします。
