Spur社が Astrill VPN のIPリストを無償で公開
この記事は、Spur社、Google（Mandiant、Google Threat Intelligence Group）、Palo Alto Networks の Unit 42、KnowBe4社、米連邦捜査局（FBI）、米司法省が公開している報告と、アンカーテクノロジーズがSpur社のデータで確かめた結果をもとに書いています。各社の報告を引いた箇所には、出典へのリンクを付けています。
北朝鮮のIT労働者が、別の国の人物になりすまして各国の企業にリモートで雇われ、その給与を北朝鮮の政権の収入にしています。こうした人物がつなぎ元を隠すのに使っていたのが、商用VPNの Astrill VPN です。GoogleのMandiantは2024年9月、会社のパソコンに入れられたリモート管理ツールへの接続が、主に Astrill VPN のIPアドレスから来ていたと報告しました。同じ年の11月には Unit 42 が、北朝鮮のIT労働者は中国でよくつながる Astrill VPN のようなVPNに頼っている、と書いています。
Spur社は2024年12月、Astrill VPN の出口のIPアドレス約2,400件のリストを無償で公開しました。これらの報告から数か月たっても、Astrill VPN のIPアドレスから来る不正なリモートワーカーの活動が、Spur社の顧客から報告され続けていたためです。リストは次のURLから取得できます。
Astrill VPN のIPアドレスのリスト（2024年12月時点）
Spur社のデータでは、Astrill VPN は、利用者の身元を隠すことを目的としたサービスに分類されています。
このリストは、公開した日のSpur社のデータで Astrill VPN の出口として観測されていた2,403件と、そのまま一致します。その後、リストは更新されていません。アンカーテクノロジーズが2026年10月のSpur社のデータフィードと照らし合わせると、リストのうち2,002件（83%）は、今も Astrill VPN の出口でした。一方で、その日の Astrill VPN の出口は4,430件に増えていて、リストに載っているのはその半分以下です。出口は51か国にあり、6割が米国、日本にも38件あります。
リストは、2024年12月前後のログを見直すのには使えます。今日の接続を判定するには、その時点のデータが必要です。
なりすまし就労とは
なりすまし就労は、別人や架空の人物になりすまして、リモートで働く社員や業務委託として採用される手口です。北朝鮮のIT労働者の場合、ねらいは給与だけではありません。
- 給与を政権の収入にする：米国の協力者が関わった1件だけで、米国企業309社が被害を受け、1,700万ドル以上が北朝鮮の収入になりました（米司法省、2025年7月）
- 社内のデータとシステムに入る：採用されたあとの正規の権限で、データを盗み、サイバー攻撃の足がかりを作ります（Google、2025年3月）
- 発覚したら脅す：解雇されたあと、盗んだデータやソースコードを人質に金銭を要求し、実際に公開した例もあります（FBI、2025年1月）
手口は、採用の各段階に合わせて組み立てられています。
- 盗んだ身元や、作った身元で応募する：実在の人物の身元を使えば、書類は本物です。顔写真はAIで加工され（Mandiant）、面接でAIによる顔の入れ替えを使った例も報告されています（FBI）。Unit 42 は、画像の加工の経験がない研究者が、5年前のパソコンで面接用の偽の人物を70分で作れることを示しました
- VPNやプロキシで、つなぎ元を隠す：面接から入社手続きまで、常時VPNで申告した国からつないでいるように見せます。家庭の回線を経由して一般の利用者の通信に見せるレジデンシャルプロキシや、携帯回線のプロキシも使われます（Spur社）
- 会社のパソコンを協力者の家に置く：「ラップトップファーム」と呼ばれる形です。会社が送ったパソコンを協力者が受け取り、リモート管理ツールやネットワーク経由のKVM（キーボード・画面・マウスを遠隔で操作する機器）をつないで、国外から操作させます（Mandiant）。上の1,700万ドルの件では、協力者の自宅から90台以上のパソコンが押収されました。2025年6月には、米国の16州で29か所のラップトップファームが捜索されています（米司法省）
- 勤務時間を合わせる：北朝鮮や中国から夜通し働き、米国の日中に働いているように見せます（KnowBe4社）
日本も無関係ではありません。Googleは2025年4月、活動が米国から欧州へ広がっていることを報告し、IT労働者が偽った国籍の中には日本も含まれていました。
本人確認や認証だけでは見抜けない理由
なりすまし就労では、採用の手続きも、社内の認証も、ほとんどがそのまま通ります。理由は5つあります。
- アカウントと端末は正規のもの：採用されれば、会社が発行したアカウントと会社のパソコンを使います。盗んだパスワードによるログインではないので、認証の仕組みは止めません
- 身元の確認は、働く場所を確かめない：KnowBe4社が採用しかけた人物は、4回のビデオ面接と身元調査を通過していました。盗んだ実在の米国人の身元だったためです。会社のパソコンが届いた直後にマルウェアを読み込み始め、セキュリティの監視で見つかりました
- IPアドレスの位置だけでは分からない：VPNの出口は、申告した国のものを選べます。レジデンシャルプロキシを使えば、その国の家庭の回線から来た通信に見えます。位置の判定は正しくても、本人がそこにいるとは限りません
- 1回の確認では食い違いが見えない：面接のときだけ整えておけば通ります。食い違いが出るのは、採用後のログを時間をまたいで見たときです。たとえば、短い時間に、別々の国のIPアドレスから同じアカウントに何度もログインする形です（FBI）
- VPNの利用そのものは不正ではない：正規の社員も、プライバシーや社内への接続のためにVPNを使います（Spur社）。VPNの利用をすべて止めると、正規の社員の仕事を止めることになります
家庭の回線がどのように出口として売られ、国内のIPアドレスからの接続でもなぜ安心できないのかは、レジデンシャルプロキシの記事で解説しています。
採用から就労後まで、どこで何を確かめるか
1回の確認で見抜こうとせず、場面ごとに確かめ、時間をまたいで食い違いを重ねて見ることが推奨されます。各社の報告にある対策を、場面ごとにまとめると次のようになります。
| 場面 | 確かめること |
|---|---|
| 応募・面接 | |
| 内定・入社手続き | |
| パソコンの配布直後 | |
| 就労後 |
このうち、IPアドレスについて見るのは次の3点です。
- どの匿名化サービスか：「VPNを使っている」だけでは決め手になりません。Astrill VPN のように、企業のIT部門が使うことがまれなサービスの出口であれば、強い手がかりになります（Spur社）
- 本人が言う場所と合うか：申告した住所の国や地域と、接続元の位置が合うかを見ます。VPNやプロキシの出口であれば、その背後の端末が実際にどこに集中しているかも見ます
- 時間をまたいで同じパターンが出るか：面接、入社手続き、就労後のログで、同じVPNサービスや同じプロキシ網が繰り返し出てくるかを見ます。1回だけなら見送る程度の手がかりでも、重なれば根拠になります
Spurは、IPアドレス1件の照会で、どの匿名化サービスの出口か、背後の端末がどこに集中しているかまで返します。過去のログをまとめて見直すには、データフィードが向いています。
Spurの導入のご相談やお見積もりは、お気軽にお問い合わせください。
