北朝鮮の就職面接なりすまし工作、月500ドルを暗号資産で支払い――Bitcoin(BTC)窃取の波が深刻化

面接テーブルに座る「第三国の代理受験者」

北朝鮮が偽装就職の仕組みをさらに拡大している。米国務省・司法省など複数の政府機関やサイバーセキュリティ研究者の情報整理によれば、北朝鮮はイラン、レバノン、シリア、南アフリカ、サウジアラビアといった第三国でリモートIT労働者を募集し、北朝鮮の工作員に代わって米国企業のビデオ面接を受験させる手法を用いている。外国人の「代理受験者」が契約を獲得すると、その後の実際の業務は北朝鮮工作員が密かに引き継ぐ構造だ。数千人規模の北朝鮮系労働者が米国の数百社に応募したと推計されており、米側の身元審査が厳格化するほど、この手口は巧妙化を重ねてきた。リクルートの様式自体はいたって「普通」である点が特徴だ。LinkedInで候補者をスカウトし、欧米の採用慣行をそのまま模倣したうえ、一部の採用候補者には、オンボーディングを通じて偽の身元を維持するための訓練まで施すという。とりわけ注目すべきは報酬の実態だ。脅威インテリジェンス企業Flareによる北朝鮮内部文書のリーク分析では、パートタイムの「面接アソシエイト」に月500ドル前後が提示され、その支払いは暗号資産でウォレットアドレス宛てに送られていたことが確認されている。Flareの追跡では、2024年以降、北朝鮮のITセルに直接リクルートされたイラン人は少なくとも14人に上り、うち少なくとも2人は代理として面接に合格し、米雇用主からの正式なオファーまで受けている。リークされた北朝鮮の管理文書には、ある工作員が50人以上のイラン人エンジニアに接触した記録も残る。Flareの研究者Chris Dion氏は、イランがリクルートの温床になりやすい理由として、国際制裁により現地住民の多くが高収入の海外就労から締め出されている一方、高い教育を受けたSTEM系人材は豊富に供給されるという構造を挙げている。

20億ドルの暗号資産被害と政府警告

この工作の資金的な痕跡はもはや無視できない規模に達している。7月に米国務省・司法省が複数の外国機関と共同で発出した合同勧告は、北朝鮮のIT労働者が「給与を本国の北朝鮮機関に送金する目的で契約を獲得しにくる」と警告し、データ持ち出し、暗号資産窃取、機微情報の盗難といったインサイダー脅威も併せて指摘した。リモートワーク浸透型のこの侵入手口は、新型コロナ禍で分散型採用が一般化したのち加速した。国連の推計では、北朝鮮がこうした活動から得る年間収入は最大6億ドル、米国主導の制裁監視評価では2024年の流入は最大8億ドルに達したとされる。これらの資金は制裁回避や大量破壊兵器・弾道ミサイル計画の財源になっているとみられる。暗号資産側の被害も数値として計測できている。サイバーセキュリティ企業CrowdStrikeのデータによれば、2025年には北朝鮮系のハッカーおよび脅威アクターが関与したデジタル資産の損失が20億ドルを超え、前年比51%の増加となった。北朝鮮経済自体がこの収益を吸収している様子もうかがえる。韓国銀行の推計では、世界的な制裁下にもかかわらず北朝鮮のGDPは2025年に3.5%成長した。 市場をリアルタイムで追いたい読者は、Binanceで現物・先物価格をライブで確認できる。

弱点はプロトコルではなく採用フロー

私たちの見立てでは、このキャンペーンはチェーン層のエクスプロイトではない。リプレイアタックや署名方式の欠陥は関与しておらず、SegWitのようなプロトコル強化は、正当なシステム権限を持つ「偽社員」に対しては何の防御にもならない。取引所側の防御策、すなわちカストディ管理、注文タイプ、出金審査も同様で、そもそも実在の候補者ではなかったインサイダーを検知することはできない。7月の合同勧告はこの核心的なリスクを明示している。採用された工作員がペリメーター(防衛線)の内側から給与を送金し、データを持ち出すという構図だ。2025年の北朝鮮系アクター関与の暗号資産損失が20億ドルを超える状況において、COINOTAGの分析では、市場で最深の流動性プールを持つBitcoin(BTC)が盗み出された価値の中核的な受け皿であり続けると判断される。だからこそ、業界にとって最も過小評価されているセキュリティ対策は、採用段階での身元確認なのである。