この記事の要点
- 北朝鮮のIT労働者は、別の国の人物になりすまして採用され、正規のアカウントと会社のパソコンで社内に入ります。認証では止まりません。
- 北朝鮮のIT労働者は、会社のパソコンを協力者の家に置き、国外から遠隔で操作します。接続元を隠すのに Astrill VPN が使われていました。
- 手がかりは接続元・端末・ログインの履歴に出ます。1回では見抜けないので、食い違いを時間をまたいで重ねて見ます。
読む人別の次の一歩
Spur社、Google（Mandiant、GTIG）、Unit 42、KnowBe4社、FBI、米司法省の公表資料、日本政府の注意喚起と、弊社がSpur社のデータを集計した結果をもとに書いています。
なりすまし就労とは
なりすまし就労は、別人や架空の人物になりすまして、リモートで働く社員や業務委託として採用される手口です。北朝鮮のIT労働者は、北朝鮮以外の国籍を装って各国の企業に雇われ、その収入を政権の資金にしています（Mandiant）。
採用されたあとは正規のアカウントと会社のパソコンを使うため、手がかりは接続元のIPアドレス、貸与PC、ログインの履歴に出ます。
日本も対象です。IT労働者が偽った国籍には日本も含まれ（Google、2025年4月）、財務省・外務省・警察庁・経済産業省も2024年3月から企業に注意を呼びかけています。2026年7月の注意喚起は、米国・韓国などとの連名です（和文の仮訳）。
ねらいは給与だけではない
北朝鮮のIT労働者は、採用されたあとも長く社内にとどまります。
給与を政権の収入にする
米国の協力者が関わった1件だけで、米国企業309社が被害を受け、1,700万ドル以上が北朝鮮の収入になりました（米司法省、2025年7月）
社内のデータとシステムに入る
採用されたあとの正規の権限で、データを盗み、サイバー攻撃の足がかりを作ります（Google、2025年3月）
発覚したら脅す
解雇されたあと、盗んだデータやソースコードを人質に金銭を要求し、実際に公開した例もあります（FBI、2025年1月）
長く気づかれない
北朝鮮のIT労働者の事案では、見つかるまでの期間の中央値が122日でした（2025年の調査）（Mandiant、2026年3月）
手口は採用の段階に合わせて組まれる
手口は、応募から就労まで、採用の段階ごとに組み立てられています。
応募：盗んだ身元や、作った身元を使う
実在の人物の身元を使えば、書類は本物です。顔写真はAIで加工され（Mandiant）、面接でAIによる顔の入れ替えを使った例もあります（FBI）。画像の加工の経験がない研究者でも、5年前のパソコンで面接用の偽の人物を70分で作れました（Unit 42）
面接：VPNやプロキシで、つなぎ元を隠す
面接から入社手続きまで、常時VPNで申告した国からつないでいるように見せます。家庭の回線を経由して一般の利用者の通信に見せるレジデンシャルプロキシや、携帯回線のプロキシも使われます（Spur社）
パソコンの受け取り：協力者の家に置く
会社が送ったパソコンを協力者が受け取り、リモート管理ツールやネットワーク経由のKVM（キーボード・画面・マウスを遠隔で操作する機器）をつないで、国外から操作させます（Mandiant）。この形を「ラップトップファーム」と呼びます。上の1,700万ドルの件では協力者の自宅から90台以上のパソコンが押収され、2025年6月には米国の16州で29か所が捜索されました（米司法省、米司法省）
就労：勤務時間を合わせる
北朝鮮や中国から夜通し働き、米国の日中に働いているように見せます（KnowBe4社）
本人確認や認証だけでは見抜けない理由
なりすまし就労では、採用の手続きも社内の認証も、ほとんどがそのまま通ります。食い違いが見える場面は、確認の種類ごとに違います。
| 確認 | 通ってしまう理由 | 食い違いが見える場面 |
|---|---|---|
| 認証 | 会社が発行したアカウントと会社のパソコンを使う。盗んだパスワードのログインではない | パソコンの配布直後：遠隔操作の道具が入る（Mandiant） |
| 身元の確認 | 盗んだ実在の人物の身元なら、書類は本物。KnowBe4社が採用しかけた人物は、4回のビデオ面接と身元調査を通った | パソコンが届いた直後：マルウェアを読み込み始め、セキュリティの監視で見つかった（KnowBe4社） |
| IPアドレスの位置 | VPNの出口は、申告した国のものを選べる。レジデンシャルプロキシなら、その国の家庭の回線に見える | どの匿名化サービスの出口か、背後の端末がどこに集中しているか（Spur社） |
| 1回の確認 | 面接のときだけ整えれば通る | 採用後のログ：短い時間に、別々の国のIPアドレスから同じアカウントにログインする（FBI） |
| VPNの禁止 | 正規の社員も、プライバシーや社内への接続のためにVPNを使う。止めると正規の社員の仕事も止まる | VPNの利用そのものではなく、どのサービスか（Spur社） |
家庭の回線が出口になる仕組みと、VPNの「国」の表示の確かさは、次の記事で解説しています。
関連記事レジデンシャルプロキシとは ─ 仕組みと悪用のリスク、検知の考え方家庭の回線が他人の通信の出口として売られる仕組みと、日本のレジデンシャルプロキシを5年分のデータで見た結果をまとめています。国内のIPアドレスからの接続でも安心できない理由と、どのデータで判断するかを解説しています。
関連記事そのVPNの「国」表示は本当か ─ 20社を実測した調査と、IPデータの読み方VPNサービスが表示する国名は、事業者の自己申告です。20社・約15万件の出口IPアドレスを実測した調査と、IPデータが同じ誤りを引き継ぐ理由、自分で確かめる方法をまとめています。
接続元・端末・ログインで確かめること
1回の確認で見抜こうとせず、見る場所ごとに確かめ、時間をまたいで食い違いを重ねて見ます。1つの項目が当てはまるだけでは決め手になりません。
- ✓応募や面接の接続元を記録し、匿名化サービスからでないかを見る
- ✓申告した住所の国・地域と、接続元の位置が合うかを見る。VPN・プロキシの出口なら、背後の端末が集中する場所も見る
- ✓届いてすぐに、リモート管理ツールが入れられていないか
- ✓ネットワーク経由のKVMがつながっていないか
- ✓届いた直後の不審なソフトの読み込みを、端末の監視で見る
- ✓短い時間に、別々の国のIPアドレスから同じアカウントにログインしていないか
- ✓同じIPアドレスから、複数のアカウントにアクセスしていないか
- ✓Web会議、チャット、ソースコードの管理、認証のログにIPアドレスの情報を付け、時間をまたいで追う
- ✓社内への接続が、Astrill VPN のような、企業ではまれなVPNサービスから来ていないか
- ✓同じVPNサービスや同じプロキシ網が、面接から就労後まで繰り返し出ていないか
各社・各機関の公開資料をもとに、弊社が整理しました。
人事と連携して確かめること
面接や入社手続きの場面は、人事の担当者に確かめてもらいます。
- ✓面接ではカメラをオンにし、背景のぼかしを切ってもらう。顔の前に手をかざす、横を向くなど、偽の映像が乱れやすい動きも頼む
- ✓周りで同じような作業をしている物音がしないか。ビデオ会議を断ったり、やり取りの相手が時間帯で変わったりしないか
- ✓電話番号がIP電話（VoIP）の番号でないか
- ✓申告した住所とパソコンの送り先が同じか。採用後に送り先を変えていないか
- ✓パソコンは対面か、身分証の確認が必要な場所で受け取ってもらう
- ✓暗号資産での支払いを求めていないか
- ✓就労後も、抜き打ちでカメラをオンにした確認をする
各社・各機関の公開資料をもとに、弊社が整理しました。日本政府の注意喚起も、複数の特徴が当てはまる場合に不正な就労の可能性があるとしています。1つだけでは判断しません。
IPアドレスで見る3つの点
IPアドレスでは、VPNを使っているかどうかより、どのサービスかと、時間をまたいだ重なりを見ます。
| 見る点 | 何を見るか | 手がかりの強さ |
|---|---|---|
| どの匿名化サービスか | 「VPNを使っている」だけでなく、サービスの名前まで見る（Spur社） | 強い手がかりAstrill VPN のように、企業のIT部門が使うことがまれなサービスの出口の場合 |
| 本人が言う場所と合うか | 申告した住所の国・地域と、接続元の位置。VPN・プロキシの出口なら、背後の端末が集中する場所も見る | 単独では決め手にならない位置の判定が正しくても、本人がそこにいるとは限らない |
| 時間をまたいで同じパターンが出るか | 面接、入社手続き、就労後のログに、同じVPNサービスや同じプロキシ網が繰り返し出るか（Spur社） | 重なれば根拠1回だけなら見送る程度の手がかりでも |
Spurは、IPアドレス1件の照会で、どの匿名化サービスの出口か、背後の端末がどこに集中しているかまで返します。過去のログをまとめて見直すには、データフィードが向いています。
捜査・調査でのIPアドレスの扱い方は、次の記事で解説しています。
Astrill VPN のIPリストの使い方
Astrill VPN は、中国でもよくつながる商用VPNです（Unit 42）。北朝鮮のIT労働者が会社のパソコンのリモート管理ツールにつなぐとき、接続は主に Astrill VPN のIPアドレスから来ていました（Mandiant、2024年9月）。
Spur社は2024年12月、Astrill VPN の出口のIPアドレス約2,400件のリストを無償で公開しました。その後も、Astrill VPN から来る不正なリモートワーカーの活動が、顧客から報告され続けていたためです。Spur社は、Astrill VPN を身元を隠すためのサービスに分類しています。
Astrill VPN のIPアドレスのリスト（2024年12月時点）を開く
リストは、公開した日のSpur社のデータの出口2,403件とそのまま一致し、その後は更新されていません。2026年10月の出口は51か国にあり、6割が米国、日本にも38件あります。
2024年12月前後のログの見直しに使える
当時の面接、入社手続き、社内への接続の記録と照らし合わせます
今日の接続の判定には足りない
今の出口の45%しか含まないため、判定にはその時点のデータを使います
まとめ
なりすまし就労は、1回の確認では見抜けません。面接、入社手続き、パソコンの配布、就労後の場面ごとに確かめ、IPアドレスはサービス名と背後の端末まで見て、時間をまたいだ重なりで判断します。
Spurの導入のご相談やお見積もりは、お気軽にお問合せください。
