北朝鮮ハッカーがAIを使って人事部を欺く！エンジニアに偽装し潜伏、28億円を盗む全過程が明らかに

セキュリティ研究者のBCA LTD、NorthScan、ANY.RUNは、Lazarus Group（千里馬師）をハニーポットに誘導し、偽装した開発者ノートPCで北朝鮮ハッカーの犯行過程を全編録画しました。映像では、北朝鮮の工作員がAIツールを使い完璧な面接回答を生成し、位置情報を隠蔽、固定PINのGoogleリモートデスクトップで長期的なコントロールを確保、即時攻撃ではなく模範的な従業員像の構築に注力していることが示されています。

28億ドルのサイバー犯罪が北朝鮮経済の柱に

この事件はより大きな産業システムの一部に過ぎず、就業詐欺は制裁下の北朝鮮政権にとって主要な収入源となっています。多国間制裁監視チームによると、平壌と関係する組織は2024年から2025年9月までに約28.3億ドル相当のデジタル資産を窃取しました。この数字は北朝鮮の外貨収入の約3分の1を占め、サイバー窃盗が主権国家の経済戦略になっていることを示しています。

28.3億ドルという規模は、多くの小国の年間GDPに匹敵します。この資金は北朝鮮の核兵器・弾道ミサイル計画の支援に使われており、北朝鮮ハッカー対策はサイバーセキュリティだけでなく国際安全保障上の重要課題です。米財務省、FBI、多国の法執行機関は北朝鮮のサイバー犯罪追跡・阻止を優先事項としています。

国際制裁で正常な貿易ルートが断たれた後、サイバー犯罪は北朝鮮の外貨獲得手段の最重要となりました。従来の武器密輸や薬物取引と異なり、サイバー犯罪はコストが低くリスクも小さく、利益は莫大です。訓練された北朝鮮ハッカーチームは、PCとネット接続さえあれば世界中どこからでも数百万ドルを盗み出せます。

このような国家規模の産業化は、北朝鮮がサイバー犯罪を戦略資源とみなしていることを示しています。Lazarus Groupや千里馬師は単なる個人集団ではなく、国家の訓練を受け、政府から給与を支給され、明確な任務目標を与えられた正規部隊です。標的選定、身分偽装、技術手法、資金洗浄まで、全ての段階で専門的な分業体制が敷かれています。

北朝鮮サイバー犯罪産業化の4大特徴

国家的訓練システム：中学からハッカー人材を選抜し、専門技術・語学訓練を提供

グローバル分散配置：北朝鮮ハッカーは中国、東南アジア、ロシアなどに分散し追跡リスクを低減

組織的分業：侵入・攻撃・資金洗浄など各段階を別グループが担当し効率化

ミッション重視管理：各グループに年間窃盗目標が設定され、達成者は報酬を獲得

2025年2月、大手CEX（中央集権型取引所）が攻撃され、「人的要因」攻撃手法の有効性が証明されました。この事件では、TraderTraitor組織とされる北朝鮮ハッカーが盗まれた内部認証情報を利用し、外部送金を内部資産移動に偽装、最終的にコールドウォレットのスマートコントラクトを制御しました。このCEXは14億ドル超の損失を被り、暗号資産史上最大級の単独窃盗事件となりました。

AIツールの兵器化：生産性から攻撃力への致命的転換

（出典：BCA LTD）

北朝鮮ハッカーによるAI生産性ツールの兵器化は、今回のハニーポット作戦で最も不穏な発見です。彼らはSimplify CopilotやAiApplyなどの合法的な求職自動化ソフトを用い、完璧な面接回答や応募書類を大量生成しています。これらツールは本来求職者の効率向上のために設計されていますが、今や北朝鮮工作員が人事のスクリーニングをすり抜ける武器となっています。

Simplify Copilotは求人内容に応じてカスタマイズした応募書類や履歴書を自動生成し、AiApplyは人間のような技術面接回答をシミュレートします。北朝鮮ハッカーはこれらツールと盗んだ米国エンジニアの本物の身分情報を組み合わせ、ほぼ完璧な応募申請を作り出します。人事部が見るのは完璧な履歴書、流暢な面接、リアルな身分背景で、疑う余地がありません。

こうした西洋の生産性ツールの利用は、不穏な高度化のトレンドを浮き彫りにし、国家主体が企業採用工程を単純化するAI技術を逆手に取っていることを示します。また、AI技術の両刃性も明らかにします：同じツールが生産性向上にも攻撃兵器にもなり得ます。企業はAI採用ツール導入時、その悪用リスクも考慮しなければなりません。

調査によると、北朝鮮ハッカーはトラフィックルーティングで位置情報を隠し、ブラウザベースのサービスで盗んだ身分に関連する二要素認証コードを処理しています。この技術スタックの組み合わせは、西洋企業のセキュリティ対策への深い理解を示しています。地理的チェックの迂回、ブラウザサービスでの2FA処理、盗用身分による正当な背景資料の組み合わせが、完全な偽装体制を作り上げています。

最終目標は即時攻撃ではなく長期的なコントロールです。実行担当者はPowerShellで固定PIN付きのGoogleリモートデスクトップを設定し、ホストが権限を取り消そうとしても標的マシンを制御し続けられるようにしています。このバックドア機構は北朝鮮ハッカーの忍耐力と長期計画能力を示し、数ヶ月かけて信頼を築き、決定的な瞬間に完全なシステム支配権を得ることを狙っています。

ハニーポット実録が明かす完全な攻撃チェーンと対策

（出典：NorthScan）

セキュリティ研究者は北朝鮮の工作員を「開発者ノートPC」に誘き寄せ、カメラでその行動を撮影しました。BCA LTD、NorthScan、悪質ソフト分析プラットフォームANY.RUNの研究者は、国家支援型サイバー犯罪の進化をリアルタイムで捉えました。このようなハニーポット作戦は、北朝鮮ハッカーの完全な攻撃チェーンの理解に前例のない視点を提供します。

作戦は研究者が開発者の身分を作成し、「Aaron」と名乗るリクルーターからの面接招待を受け入れるところから始まります。このリクルーターは標準的なマルウェアを仕掛けず、Web3業界で一般的なリモートワーク体制を案内しました。研究者がノートPCへのアクセス権を与えても、北朝鮮の工作員はコードの脆弱性を突こうとせず、模範的社員イメージの構築に集中していました。

この映像は、業界に北朝鮮部隊、特に有名な千里馬師（Chollima）がどのように標的国の人事部門で直接雇用され、従来のファイアウォールを回避するかを最も明確に示すものとなりました。千里馬師は北朝鮮サイバー部隊の精鋭で、朝鮮神話の千里馬に由来し、迅速さと高効率の象徴です。この部隊は金融機関や暗号通貨企業への浸透を専門としています。

本質的に彼らは即座にウォレットを侵害しようとするのではなく、自らを信頼できる内部者に仕立て上げ、内部リポジトリやクラウドダッシュボードへのアクセス権を獲得しようとします。システム診断プログラムでハードウェアを確認し、通常の開発業務をこなし、チームミーティングにも参加し、まるで熱心なリモート社員のように振る舞います。この忍耐力と偽装力こそが最も恐ろしい点であり、企業が初期段階で脅威を特定することをほぼ不可能にしています。

北朝鮮ハッカーの完全な攻撃チェーン6段階

身分準備：本物の米国エンジニアの身分証やLinkedInアカウントを盗用・購入

AI活用の求職活動：Simplify CopilotやAiApplyで完璧な応募・面接回答を生成

面接通過：本物の技術力と流暢な英語力を発揮

信頼構築：初期は積極的かつ専門的に振る舞い、割り当てられた開発業務を完遂

バックドア設置：Googleリモートデスクトップなどで永続的なコントロール手段を導入

機会待機：重要なシステム権限やウォレットアクセスを得るまで忍耐強く潜伏

KYCからKYEへ：企業防御パラダイムの根本的転換

ソーシャルエンジニアリングの台頭は、デジタル資産業界に深刻な責任危機をもたらしています。今年初め、HuntressやSilent Pushなどのセキュリティ企業は、BlockNovasやSoftGlideといったカバーカンパニーのネットワークを記録しました。これらの企業は米国法人登録・信頼できるLinkedInプロフィールを備え、技術評価を装って開発者に悪質スクリプトをインストールさせることに成功しました。

コンプライアンス責任者やCISOにとって、課題はすでに変化しています。従来の「顧客を知る」（KYC）手法は顧客に焦点を当てていましたが、Lazarusのワークフローには厳格な「従業員を知る」（KYE）基準が必要です。このパラダイムシフトは、企業に採用および従業員管理プロセスの全面的な見直しを要求します。

司法省はすでにこれらIT詐欺活動の摘発を開始し、関連する774万ドルを押収しましたが、検出は大きく後れを取っています。774万ドルは28.3億ドルの総被害規模に比べれば氷山の一角であり、法執行の効果が限定的であることを示しています。北朝鮮ハッカーネットワークは世界中に分散し、暗号通貨の匿名性と越境性を利用して追跡・訴追を極めて困難にしています。

BCA LTDのフィッシング捜査活動が示す通り、これら犯罪者を捕まえる唯一の方法は、受動的防御から能動的欺瞞へと転換し、制御可能な環境で脅威アクターに資金へのアクセス前に犯罪技術を晒させることかもしれません。この能動防御戦略は、壁を築く守りから罠を仕掛ける攻めへの大きな転換を意味します。

暗号企業のKYEプロセス5つの重要施策

複数回のビデオ面接：カメラONを義務付け、面接者の微表情や環境の細部を観察

技術力の即時検証：過去の実績だけでなく、ライブコーディングテストを実施

徹底したバックグラウンド調査：前職雇用主への照会、学歴の確認、SNS履歴の真実性チェック

段階的な権限付与：新入社員はまず非機密システムのみアクセス、徐々に権限拡大

異常行動監視：位置偽装ツール、不審な勤務時間、疑わしいツールのインストール検出

ハニーポット戦略の成功は、国家級サイバー脅威に対し従来の受動的防御だけでは不十分であることを示しています。企業は能動的に動き、疑似システムを設置して潜在的脅威を誘引・特定する必要があります。北朝鮮ハッカーが侵入に成功したと思い込んでいる時、実際には自らのツール・技術・手順（TTPs）を暴露し、セキュリティコミュニティに貴重な脅威インテリジェンスをもたらしています。

より広い視点で見ると、この事件はリモートワーク時代の新たなセキュリティ課題を浮き彫りにしています。チームメンバーが世界各地に分散し、顔を合わせたことがない場合、各自の身元の真実性をいかに確保するかが鍵となります。暗号業界は高価値資産とリモート文化の普及により、北朝鮮ハッカーの主要標的となっています。企業はリモートワークの柔軟性を維持しつつ、より厳格な従業員認証・監視体制を築く必要があります。