北朝鮮の偽リモートワーカー、対象職種がIT以外にも拡大

北朝鮮の偽リモートワーカー、対象職種がIT以外にも拡大

Help Net Security – August 28, 2026

北朝鮮の偽リモートワーカーらは最近、IT部門だけでなく営業、マーケティング、医療といった分野の職種にも触手を広げるようになっているという。Huntressが2026年に観測されたいくつかの事例に基づいて報告した。

「FAMOUS CHOLLIMA」と呼ばれることもある北朝鮮の偽リモートワーカーらは、アカウントの侵害やハッキングによって組織の環境に侵入するのではなく、求職者を装って企業のリモート職種に就くことを狙う。これは正規の給与を得たり、内部情報にアクセスしたりすることを目的とする活動で、これまでは開発者などのIT部門の職種が対象になるのが一般的だった。一方で2026年にHuntressが調査をサポートした事例では、営業・マーケティング・医療分野の職種でも北朝鮮関連と思しき疑わしいリモート求職者が採用されていたという。

Huntressが紹介した1つ目のケースは、「中国人」と称するリモートワーカー3名を採用したオーストラリアの医療組織の事例。この組織は、北朝鮮グループが多用することで知られるAstrill VPNへの接続など、北朝鮮との関連を疑うべきいくつかの理由があったことから、中国人を装った北朝鮮アクターだったのではないかと疑いを持ったという。

採用者のうち2名は、身元を証明するために住民登録証、パスポート、電気料金の請求書をアップロードしていた。しかしパスポートは同じ都市で1日違いで発行されたものだった上、住民登録証に記された有効期限は同じ日付、発行警察署も同じ警察署になっていたという。加えて、顔写真は同じ機種の携帯電話によって数分間隔で、ほぼ同じ角度から撮影されていた。さらに、電気料金の請求書には同じタイプミスがあり、ネット上で入手可能なテンプレートに基づいて作成された可能性が伺えたという。

Huntressが紹介した2つ目の事例は、ある金融サービス企業に関するもの。この組織が採用したリモートワーカーの端末には、一般普及率の低い不審な物理デバイスが複数接続されていた。これらは、過去に北朝鮮アクターに関連付けられていた指標と一致していたとされる。その1つが、PiKVMというRaspberry PiベースのオープンソースKVM-over-IPデバイス。これは、PCに接続することで遠隔操作が可能になるデバイスとされる。

加えて、GuermokのUSBキャプチャーカードが接続されたことも判明。このデバイスはPC上で「Webカメラ」として登録され、このデバイスを通じて行われる動画ストリーミングをZoomなどのWeb会議アプリケーションへ送付することができる。Huntressによれば、Guermokデバイス単体では北朝鮮の関与を決定づける証拠にはならないものの、PiKVMと組み合わせて使用されていたことから、重大な指標になっているという。

またこのリモートワーカーは、GitHubから他人のプロフィール写真をダウンロードし、これを修正して自ら再利用したり、企業側から「仕事部屋を見せろ」と頼まれても拒否するなど、疑わしい点が複数あったと荒れる。

これとはまた別の、同様にPiKVMとGuermokデバイスの接続が確認できた組織においては、営業・マーケティング部門に採用されたリモートワーカーが他人の身元情報を流用し、写真を差し替えていたものとみられている。Huntressの調査では、この新人ワーカーと氏名・生年月日・居住地がすべて一致した身分証明書を持つ人物の写真が、警察のマグショット（逮捕時に撮影される容疑者の写真）記録から見つかっているという。しかしマグショットに映る人物とリモートワーカーが提出した写真の人物は別人であり、このワーカーが実在する人間の情報を転用していたことが示唆されている。

このように巧妙なソーシャルエンジニアリング手口が多用されることから、北朝鮮の偽リモートワーカーは検出が困難な脅威となっている。したがってこの脅威は引き続き残存しているとしつつ、Huntressはリスク軽減策は面接の段階で始まり、厳格なバックグラウンドチェックでも引き続き実施されることになるとコメント。加えて、疑念が残る場合には、標準的なバックグラウンドチェックに加えて、ネット上で該当人物を検索したり、職歴の裏付けをとったりすることが脅威検出の手掛かりに繋がる場合があると述べた。