画面の向こうの応募者は「その人」か――警察庁公表が問うリモート採用と外注の本人確認

3つの話が一本の線でつながった

警察庁とNCO、米国、豪州、ドイツの機関が、2026年9月18日にともに公表した資料（以下、発表資料）は、北朝鮮を背景とするサイバー攻撃グループの攻撃手口や、北朝鮮IT労働者による外貨獲得活動および採用応募活動の実態に関する、注意喚起の資料である。この資料は、これまで別々に語られてきた3つの話――①偽の求人で技術者をだます手口、②身分を偽って企業の仕事を請け負う手口、そして③日本国内の協力者の存在――を一本の線でつなげている。

①偽の求人

警察庁が「WaterPlum（ウォータープラム）」と呼ぶ攻撃グループは、AI企業や暗号資産企業、人材紹介サービスになりすまし、世界中のソフトウェア開発者やIT技術者に魅力的な仕事を持ちかける。そして「オンライン面接」や「技術課題」と称して、不正なプログラムを相手のパソコンに仕込む。

発表資料によれば、2025年12月頃から2026年7月にかけて、日本を含む100以上の国と地域で3万台以上とみられるパソコンに不正なプログラムが仕込まれ、暗号資産（いわゆる仮想通貨）の財布にあたる情報が7,000件以上盗まれた。攻撃グループが管理する財布には、少なくとも約17億円相当が送金されていたという。

②北朝鮮IT労働者

こちらは盗むのではなく、働くのだ。身分を偽り、インターネット上で仕事を仲介するサービス（クラウドソーシング）を通じて仕事を受注し、実際に開発作業をこなして報酬を得る。作業者は北朝鮮国内のほか、中国やロシアなどに拠点を持つとされる。

③日本国内の協力者

日本に住む協力者が自宅にパソコンを置き、それを北朝鮮IT労働者が海外から遠隔操作する。「ラップトップ・ファーム」と呼ばれるこの仕組みを、警察は国内で初めて把握し、解体したとしている。関連捜査で判明した分を含め、数億円相当が海外へ送金されていた。

そして重要なのは、この3つで使われていたIPアドレス（通信上の住所）が一致した点である。警察庁と米連邦捜査局（FBI）は、いずれも北朝鮮の同じ組織が中心的な役割を果たしていると評価している。だます、働く、名義を借りる。別々に見えていたものは、実は同じ事業基盤だったということになる。

社員が受けた「偽の面接」で、会社の合鍵が盗まれる

上記の①を読んで「うちは暗号資産など扱っていないから関係ない」と思われた方も多いだろう。だが、狙われているのは暗号資産だけではない。発表資料が示す手口を元に、「架空の偽求人の手口」を考えてみた。流れを追ってみよう。

ある会社で働く技術者のAさんに、SNSを通じてスカウトの連絡が届く。相手は海外のAI企業の採用担当者を名乗り、条件も魅力的だ。何度かやりとりした後、こう言われる。「面接の前に、簡単な技術課題をお願いします。このプログラムをダウンロードして、動かしてみてください」。Aさんは自宅のパソコンで、言われたとおりにする。課題を提出して、その日は終わる。

画面上は何も起きないが、この瞬間にAさんのパソコンには不正なプログラムが仕込まれている。盗まれるのは、ブラウザに保存されたさまざまなログイン情報、キーボードで打った内容、画面の写し、そして運転免許証やパスポートの画像などである。例えるなら、Aさんが持ち歩いている「鍵束」を、丸ごと複製されたようなものだ。

問題は、その鍵束の中に、勤め先の鍵が混じっていることである。在宅勤務で会社のシステムに入るためのログイン情報が、同じパソコンに保存されていたらどうなるか。攻撃者は、盗んだログイン情報を使って被害者の勤め先のネットワークに侵入し、情報を盗み、社内で侵入範囲を広げることが可能になる。会社の側から見れば、Aさんがいつもどおり仕事を始めたようにしか見えない。

つまり、会社は一度も攻撃されていないのに、合鍵を持った他人が正面玄関から入ってくる。これが、この手口の怖さである。副業やフリーランスが当たり前になり、一台のパソコンで複数の会社の仕事をする人も増えている現在、一人の鍵束に何社分もの鍵がぶら下がっていることも珍しくはない。つまりは、そういう技術者が狙われているとも言える。

さらに、盗まれた身分証の画像は、②の北朝鮮IT労働者が被害者になりすますためにも使われ得るという。Aさんの免許証が、どこかの会社への「なりすまし応募」にもなるわけだ。

念のために言えば、これは転職活動や副業を責める話ではない。相手は面接の段取りまで本物らしく整えてくる。個人の注意力だけではなかなか防ぎきれる相手ではない、という前提に立つべきだろう。

豊富な経歴を装った応募者の、不自然なオンライン面接

前章で触れた「なりすまし」について、今度は②北朝鮮IT労働者の手口になぞらえて、応募を受け取る側、仕事を頼む側から見てみよう。

発表資料は、国内の暗号資産取引所であるbitFlyer社の実例を紹介している。2025年5月、同社のエンジニア職に対する他人への成りすましが疑われる応募があった。職務経歴書には、プログラミング言語やクラウドサービスなどについてそれぞれ10種類以上の経験、欧州の大学の卒業歴、世界各地での職歴が並んでいた。

ところがオンライン面接では、経歴のわりに英会話のレベルが高いとは言えず、技術的な質問には抽象的な答えに終始する場面があった。ほかにも、日本への転居を拒むか「半年先なら」と答える、給与を暗号資産で受け取ることにこだわる、しきりに別の画面を見て読み上げているような様子がある、背後で他人の話し声がする、映像が途切れる、といった特徴が見られたという。同社は不審点に気づいて適切に対応し、採用にも被害にも至らなかった。

もう一つ、見逃せないことがある。彼らは、AIで顔を別人に入れ替えるソフトを面接に使うが、使うのは数分だけにして、あとは回線の状態を口実に映像を切るよう助言し合っていたという。採用側の「カメラはオフでも構いませんよ」という気遣いが、彼らの抜け道になっている可能性もある。

さらに、「日本語ができなければ日本企業には入れないだろう」という安心感も、もう当てにならない。発表資料では、WaterPlumメンバーは音声読み上げソフトで日本語の発音を勉強し、機械翻訳や生成AIを多用していたとある。

社員ではなく外注として取引する場合は、さらに厄介である。報酬の支払いをめぐってもめた際、北朝鮮IT労働者が担当していたプログラムの中身をインターネットに公開された例や、制作に関わったWebサイトが後に改ざんされた例も報告されている。

ちなみに、北朝鮮IT労働者に仕事を発注して報酬を支払うと、国内法令や対北朝鮮制裁の違反に問われるおそれがあると発表資料は警告している。被害者であると同時に、資金源に加担した側に立たされかねないのである。

見落とされやすい論点――「国内からの接続だから安心」が崩れた

今回、私が最も重いと感じたのは、③のラップトップ・ファーム（協力者のパソコンを北朝鮮IT労働者が海外から遠隔操作する仕組み）が日本国内で見つかったことである。

防御する会社の側から見ると、この攻撃は国内の一般家庭のパソコンから、普通に仕事をしている人がいるようにしか見えない。ここからは私の見立てだが、「海外からの不審な接続を止める」という従来の見張り方だけでは、この手口は見抜けないことになる。

国内の協力者に関して発表資料では、「海外からだと制約があって仕事がしにくい」と頼まれてパソコンの設置を引き受けるケースや、仲介役が事情を説明せずに依頼してくるケース、また身分証の画像や銀行口座を提供するケースが想定されている。軽い気持ちで引き受けた結果、犯罪に加担してしまう。私には、いわゆる闇バイトの一種と映る。

さらに発表資料は、発注先の提携先や再委託先に北朝鮮IT労働者が関与している可能性を考慮するよう求めている。しかし日本では、元請けから二次、三次へと仕事が流れる構造も多い中で、最後に手を動かしているのが誰なのか、発注者からは見えにくくなっている。現実的にどのようにするかは課題も多いと推測する。

本人確認は「人事の手続き」ではなく「鍵を渡す判断」

では、この発表を受けて経営者は何を見直せばよいか。3つに絞りたい。

第1に、入口での確かめ方である。発表資料が勧める対策は、どれも特別な道具を必要としない。経歴に書かれた技術を面接で具体的に説明してもらう。出身地や天候、趣味といった個人的な話題を振る。資格は認定番号まで確認する。書かれた電話番号に実際にかけてみる。リモート勤務や暗号資産での支払い、本人名義でない海外口座への送金にこだわる相手には特に注意する。私はこれに加え、フルリモートの採用であっても、一度は対面での面接を行い、公的な身分証による本人確認の機会を設けることを提案したい。

第2に、渡す鍵を最小にし、すぐ取り上げられるようにしておくことである。発表資料は、相手が誰であるかにかかわらず、外注先に渡す情報やアクセスできる範囲を必要最小限にし、疑いが生じたら速やかにアカウントを無効にするよう求めている。契約では、再委託の禁止など条件を明確にしておく。

第3に、社員を守る仕組みである。業務で使うパソコンで、第三者から渡されたプログラムをむやみに動かさない。どうしても必要なら、壊れてもよい隔離された環境で動かす。おかしいと思ったらネットワークから切り離し、すぐ相談する。ここで大切なのは、偽の求人の被害にあった社員が「転職活動中にやられたとは言い出せない」という空気をつくらないことだ。言い出せない一日が、被害を広げる。

かつて、採用や取引の始まりには「会う」という行為があった。会うことは、それ自体が強力な本人確認だった。リモート化によってその手間が省けたが、確かめる工程がどこかへ消えてはいないか。

最後に、社内で一度、数えてみてほしい。いま自社で働いている人、仕事を頼んでいる人のうち、一度も直接会ったことのない人がいるのか。そしてその人たちに、どこまでの鍵を渡しているか。