米国連邦捜査局(FBI)は2026年10月13日(米国時間)、北朝鮮IT労働者の採用工作への対策指針を更新しました。本人の代わりに面接へ出る協力者や、別の場所に置いた業務端末の遠隔操作を使う手口を指摘しています。採用時だけでなく、雇用期間を通じて本人確認とアクセス制御を重ねるよう求めています。
面接の相手と、実際に働く人が違う可能性
FBIによると、北朝鮮は国家管理下の数千人の遠隔IT労働者を西側企業に潜入させています。検知や摘発を避けるため、有償の協力者の活用を拡大しているといいます。
協力者は、本人に代わって面接や会議に参加します。長年の利用履歴があるSNSや職業人向けアカウントを求人への応募に使う例もあります。応募先へ示す氏名や住所の大半は、盗まれた個人情報に基づくとしています。採用時の身元調査を通るか、事前に確認する手口もあるため、アカウントの利用歴や身元調査の結果だけでは判断できません。
業務端末は協力者の自宅に置き、遠隔操作で所在地を隠しています。接続にはAnyDeskやTeamViewerなどの遠隔操作ソフトに加え、TinyPilotやPiKVMなどの外部機器も使われています。FBIは、保管拠点を増やし、各拠点の端末台数を減らして、障害リスクを分散する動きも指摘しました。
また、採用後の仕事を南アジアや西アフリカの第三者へ、給与の一部で再委託する例もあるとしています。採用時の本人確認と、入社後に誰が端末や情報へアクセスしているかの確認は、分けて考える必要があります。
入社後の持ち出しと、解雇後の脅迫にも注意
FBIによると、多くの北朝鮮IT労働者は日々の業務画面の録画を義務付けられ、ほぼ常にデータを持ち出しています。勤務先から持ち出した個人情報を、次の採用工作へ再利用する手口も指摘しています。
解雇後に追加の支払いを要求し、元上司やその家族への殺害予告を行った例もあります。企業の機密情報を公開すると脅して、多額の一括払いを求める行為も報告しています。
対策としてFBIが推奨するのは「Identity in Depth」です。雇用期間を通じて、本人確認やアクセス制御を重ねる考え方です。単独では問題に見えない行動も、複数組み合わせて評価し、IT・人事・セキュリティー・管理部門の情報を持ち寄るよう求めています。
一方、単一の指標だけでは確実に見分けられません。名前の禁止リストだけに頼ると、適格な応募者や身元盗用の被害者を排除しかねないとも警告しています。遠隔操作ソフトの利用など、一つの事実だけで不正と断定しないことが重要です。
影響する会社・しない会社
- 影響する: 遠隔勤務のIT人材を採用する会社です。FBIが示した手口には、代理面接、盗まれた個人情報での応募、協力者宅に置いた端末の操作が含まれます。
- 影響する: 従業員に業務端末や機密情報へのアクセスを認めている会社です。今回の指針は、採用時だけでなく入社後の確認も対象にしています。
- 影響しない: 特定の製品・プランを使っていない会社が対象外になる、という条件は発表には書かれていません。遠隔操作ソフトの有無だけで、自社は無関係と判断できません。
発表は西側企業への潜入を扱っていますが、日本企業に対する対象範囲や、日本向けの提供・対応窓口は発表には書かれていません。
情シスが今日やること
以下は、FBIの指針を社内点検につなげるための手順です。発表に具体的な管理画面や実施期限は示されていないため、自社の運用に合わせて進めてください。
- 今日、人事と確認事項をそろえます。 採用時の本人確認記録と、入社後の端末利用状況を誰が照合するか決めます。面接に出た人、雇用した人、実際に業務を行う人の確認が、どこで途切れるかを洗い出します。
- 端末管理の記録を点検します。 自社で使っている端末管理画面や台帳で、利用者、保管場所、導入済みの遠隔操作ソフトを確認します。ソフトの一覧だけでは外部機器による操作を確認できないため、端末の設置状況を確かめる方法も担当者と決めます。
- アクセス権と持ち出しの確認を組み合わせます。 アカウント管理画面で付与権限を確認し、取得している操作記録と照合します。疑わしい事象は一つずつ断定せず、人事・セキュリティー・管理部門へ共有し、複数の情報で評価します。
- 次の採用判断までに、誤検知時の扱いを決めます。 名前だけの禁止リストや、遠隔操作ソフトの利用だけで排除しない基準を人事と確認します。正当な従業員を誤って疑わないよう、確認結果に応じて検知基準を継続的に見直します。
