北朝鮮系『IT労働者』スキームが医療・営業職へ拡大 — HuntressとRecorded Futureが手口とAI悪用を報告

Huntressは2026年8月26日、北朝鮮（DPRK）と関連するリモートワーカーが情報技術（IT）職以外の職種で雇用されていた事例を確認したと公表した。報告を執筆したのは同社の研究者Jai Minton氏とJames Maclachlan氏らで、医療や営業・マーケティング職を含む5件の調査を詳述した。Recorded FutureのInsikt Groupも同時期に、PurpleDeltaと呼ぶ同スキームのクラスターが2024年後半から2025年初頭に22の架空ペルソナで1,100社以上に応募していたと分析した。両社は、この活動が北朝鮮の制裁回避による外貨獲得を目的とし、AIを悪用して採用プロセスを欺いていると指摘している。

何が起きたか — IT以外へ広がる雇用詐欺

北朝鮮系のIT労働者スキームは、これまでソフトウェア開発などのIT職を中心に報告されてきた。Huntressによると、2026年に入って同社が支援した5件の調査では、対象者の職種がITに加えて営業・マーケティングや医療にまで拡大していた。攻撃者は盗難・偽造した身分証、VPNやプロキシで真の所在を隠し、企業に正規のリモート従業員として採用されたうえで給与を北朝鮮へ送金する。Huntressは、攻撃者がアカウントを侵害するのではなく「企業側が自ら採用してしまう」ため検出が難しいと説明している。

HuntressとRecorded Futureは、この活動をFamous Chollima、Jasper Sleet、UNC5267、Wagemoleなど複数の呼称で追跡される同一系統のものと位置づけ、Recorded FutureはPurpleDeltaという呼称を用いている。両社とも、活動拠点が中国に置かれている可能性が高いと分析している。

Huntressが確認した3つの事例

オーストラリア医療企業 — 3人が中国人を偽装

2026年2月、オーストラリアのある医療企業で、3人の従業員が中国人を装う北朝鮮系ワーカーとして旗が立った。Huntressがパートナーから相談を受けて6か月分のMicrosoft 365統合監査ログ（Exchange、SharePoint、サインインなど）を分析したところ、3人は繰り返しAstrill VPNとIPRoyal Proxy経由で認証していたことが判明した。Astrill VPNは過去にも同スキームでの使用が公開情報で指摘されている。

さらに、Huntressが入手した身分証6点は、偽造とみられる兆候を示した。2人のパスポート写真に類似性があったほか、居住証明として提出された電子請求書に不自然な文言の異常があった。Huntressは、パスポートや住民IDが偽造であっても、盗まれた他人の顔写真や情報が含まれている可能性があると述べ、身元確認の難しさを指摘している。

金融サービス企業 — PiKVMとGuermokで遠隔操作

2026年8月に調査した別の金融サービス企業では、従業員の端末にPiKVMが設置されていた。PiKVMやTinyPilotといったKVM over IP機器は、北朝鮮系スキームで「ラップトップファーム」上の端末へ遠隔接続するために悪用されることが知られている。Huntressによると、当該端末ではPiKVM設置の数日後にGuermok製USBキャプチャカードも接続され、Zoomなどのウェブ会議で映像入力として配信できる状態だった。単独では不審でない機器も、PiKVMとGuermokが連続して設置されたことは警戒すべき兆候だったとHuntressは説明している。

同従業員は、ファイル共有サービスSendGB経由で正規GitHubプロファイルの改変版をダウンロードしていた。社内チャットツールのプロフィール写真として流用する目的だったとみられるとHuntressは分析している。

営業・マーケティング職 — 逮捕者の顔写真を流用

3件目としてHuntressが2026年8月に調査した営業・マーケティング職の採用者は、入社13日後に不審が持たれた。調査の結果、この人物は法執行機関が逮捕後に氏名・生年月日・所在地と顔写真を公開した正規人物の身元を流用し、顔だけを北朝鮮系ワーカーのものに差し替えていたとみられるとHuntressは指摘している。

Recorded Futureが追ったPurpleDelta — 1,100社に22ペルソナ

Recorded FutureのInsikt Groupは、PurpleDeltaの複数クラスターが2024年後半から2025年初頭に1,100社以上に応募していたと報告した。標的の業種はソフトウェア・技術が約41%、人材・コンサルが約26%、医療・バイオが約10%で、約80%が北米企業だったが世界中に及んでいた。Insikt Groupは、22の架空ペルソナが米国フロリダ州などを拠点とする人物を装い、IndeedやUpworkなど少なくとも8つの求人プラットフォームで1日あたり60件以上に応募していたと分析した。

同グループは、Waveboxなどの多重アカウント管理ブラウザやGoogle Chromeのプロファイル分離、詳細なスプレッドシートで応募を管理していた。身分証はTrustID Card（trustidcard[.]com）という有料のID生成サービスで調達し、顔写真はinsertFace.comなどAIによる顔交換サービスで生成していた。パスワード文字列「skdmldjajsl」が韓国語キーボードで「나의어머니（私の母）」と入力されることや、「cjsflak」が「천리마（千里馬＝Chollima）」になること、平壌の現在時刻を確認する挙動から、Insikt Groupは関与者が朝鮮語話者であると評価している。

面接時には、画面録画ソフトとAI文字起こし、ChatGPTのカスタムアシスタントを併用し、AIの回答を逐語的に繰り返す事例も確認された。採用後は内部会議を録画し、Google翻訳で事前作成した言い訳文面を用いて個人端末や個人口座の使用を正当化していた。Insikt Groupによると、 operatorsはTelegramやSlackで連携し、AnyDeskやChrome Remote Desktopでファシリテーターが管理する会社支給端末へ接続していた。少なくとも2人のファシリテーターが端末の調達・維持を担っていたという。

Insikt Groupは、PurpleDeltaの活動が現在も高いテンポで継続しており、採用認知が高まるにつれて手口の洗練が進むと評価している。

共通する手口と日本企業への示唆

両報告に共通する手口は、盗難・合成身元の利用、Astrill VPNやIPRoyal/Proxy-Sellerなどのプロキシ、AnyDeskなどの遠隔操作、AIによる面接支援と文書偽造、そしてラップトップファームによる物理的な所在隠蔽である。採用後は正規業務を実際にこなしながら、賃金の送金や将来的なデータ窃取・マルウェア展開の足場となり得る点が、通常の外部侵入とは異なるとHuntressは強調している。

Huntressは、対策は面接段階から始まり、厳格な身元確認、オンラインでの人物検索、職歴の裏取りが必要だと提言している。Recorded Futureも、Appendix Aに記載した兆候に該当する従業員がいる場合は、潜在的な内部侵害として雇用履歴とアクセス権限の見直しを検討すべきだと呼びかけている。

日本企業にとっても、リモート採用が一般化する中で同様のリスクは無関係ではない。特にITや医療、営業職で海外在住者をリモートで採用する場合、Huntressが指摘するAstrill VPNの利用やKVM機器の設置、身分証や請求書の不整合、GitHubなど外部プロフィールの流用といった兆候に注意し、採用プロセスで複数経路の本人確認と入社後の端末・アクセス監視を組み合わせることが求められる。

出典

• Huntress「Insights into Suspected DPRK Workers: Red Flags to Look Out For」（2026年8月26日） https://www.huntress.com/blog/huntress-dprk-remote-worker-investigation
• Recorded Future Insikt Group「PurpleDelta’s Fraudulent Employment Operations」（2026年8月） https://www.recordedfuture.com/research/purpledelta-fraudulent-employment-operations