偽のDeFi企業で北朝鮮ITワーカーを実際に「採用」し内部からの活動を記録|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月14日更新日時: 2026年08月14日

セキュリティ研究者Mauro Eldritch氏（BCA LTD創業者）とHeiner García Pérez氏（NorthScan）は、ANY.RUNとの共同調査「Smile, You’re on Camera」の第2弾を、2026年8月10日にDEF CON 34での発表とあわせて公開しました。今回は、架空のDeFi企業を実際に立ち上げ、北朝鮮ラザルス・グループの一部門とみられる「Famous Chollima」の工作員を、面接を経て実際に「採用」したうえで、入社後の業務の進め方や社内リソースへのアクセスの様子を、サンドボックス環境を使って内部から観測しています。

この記事のサマリー

研究者チームは、架空のDeFiプロトコル企業「Ballena Azul LTD（Blue Whale LTD）」を実在の登記も含めて立ち上げ、GitHub経由で接触してきたFamous Chollimaのリクルーターを通じて、スマートコントラクト開発者・フロントエンド開発者・バックエンド開発者として、3人の工作員を実際に採用しました。
面接時に読み取らせたQRコードにカナリアトークンを仕込み、工作員のIPアドレス等の情報を取得。提出させた身分証明書のメタデータからは、Google Geminiで加工されSynthIDの電子透かしが埋め込まれた偽造文書や、実在の第三者から流出したとみられる本物の運転免許証画像の流用が確認されています。
業務用の端末として、実機ではなくANY.RUNのサンドボックス環境（長時間稼働する仮想デスクトップ）を3台用意し、工作員のクリック・ファイル操作・ネットワーク通信をリアルタイムで記録しました。
2025年12月公開の第1弾調査と同様、工作員がGoogleアカウントを端末に同期させてしまう「誤操作」が再現され、これによりブラウザの閲覧履歴・保存済みパスワード・拡張機能など、工作員が使用するツール一式が明らかになっています。
観測されたツールセットは第1弾から一部更新されており、2要素認証コードを工作員間で共有するサービスが「authenticator.cc」「otp.ee」から「2fa.cn」に変化していたほか、これまで確認されていなかったOutlook.comの利用も新たに確認されています。
調査の過程で、工作員がVDI環境への踏み台として使用していた、長期間稼働する「オペレーター用サーバー」のインフラも複数特定されており、IOC（侵害指標）として公開されています。

整理表

項目	内容
公表日	2026年8月10日（DEF CON 34での発表）
調査実施者	Mauro Eldritch氏（BCA LTD）、Heiner García Pérez氏（NorthScan）、ANY.RUN
対象	ラザルス・グループの一部門とみられる「Famous Chollima」
手法	架空のDeFi企業を実在の登記も含めて設立し、実際に工作員を採用・雇用
採用した工作員数	3人（スマートコントラクト開発者、フロントエンド開発者、バックエンド開発者）
業務環境	ANY.RUNのサンドボックスによる長時間稼働の仮想デスクトップ3台
身元確認で発覚した不正	QRコードのカナリアトークンによるIP特定、Google Geminiによる偽造運転免許証（SynthID透かし付き）、実在の第三者の運転免許証の流用
再現された挙動	業務端末へのGoogleアカウント同期による情報流出（第1弾と同様）
更新された観測ツール	2要素認証コード共有サービスが2fa.cnへ変化、Outlook.comの利用を新たに確認
公開されたIOC	DPRK運用とみられるVPSのIPアドレス複数、AstrillVPNの出口ノードIP複数、暗号資産ウォレットアドレス3件

何が起きたか——「採用後」に焦点を当てた第2弾調査

研究者チームは2025年12月、Famous Chollimaの採用プロセスをリクルーター側から観測する調査（第1弾）を初めて公開しており、当サイトでも北朝鮮ITワーカー、ソーシャルエンジニアリングで企業に潜り込み、給与と情報を窃取で報じています。今回の第2弾では、視点を採用する企業側に切り替え、実際に工作員を雇い入れたあと、社内でどのように業務を進め、どのようなツールを使い、社内リソースにどうアクセスしていくのかを観測することに主眼が置かれています。

研究者らは、複数の暗号資産チェーンをまたいで「クジラ（大口保有者）」ウォレットが自らの保有を任意に開示できる、架空のDeFiプロトコル企業「Ballena Azul LTD（Blue Whale LTD）」を設立しました。実在する無関係の同名企業の英国での登記情報を、信頼性を補強する材料として利用しつつ、公式サイト、企業ブランディング、NFTマーケットプレイスOpenSea上での展開まで整備しています。研究者のMauro Eldritch氏は共同創業者「Leonardo Nelson」を、Heiner García氏は第1弾から続投する「Andy Jones」（チームリード役）を、それぞれ偽名で演じました。

3人の工作員採用と、身元確認で発覚した偽造の手口

Andy（Heiner氏）がGitHub上で接触したFamous Chollimaのリクルーター「Angelo Cruz」を通じて、研究者らは3人の工作員を順次採用しています。最初に採用されたスマートコントラクト開発者の面接では、出席確認を装ってQRコードを読み取らせ、これにカナリアトークンを仕込むことで、工作員のIPアドレスやユーザーエージェント情報を取得しています。この情報は、のちの調査でより広範な工作の実態を解明する手がかりの一つになったとされています。

契約手続きの過程で、研究者らは身分証明書・住所・暗号資産ウォレット・銀行口座情報を提出させています。ある工作員は、居住地として申告した州とは異なる州の運転免許証と、無関係な都市の銀行口座情報を提出しており、画像のメタデータからは、Google Geminiで画像が加工され、SynthIDの電子透かしが埋め込まれていたことが確認されています。別の工作員は、実在する第三者名義のニューヨーク州の運転免許証を提出しており、画像自体はiPhone 15で撮影された本物の写真である一方、GPS情報が削除されていたことから、本人確認（KYC）目的で撮影された写真が何らかの形で流出し、それが流用されたものと推測されています。

サンドボックス内で観測された業務の実態

業務用の端末として、研究者らは実機の代わりに、ANY.RUNが提供する長時間稼働のサンドボックス環境（仮想デスクトップ）を3台用意しました。すべてのファイル操作・ネットワーク通信・クリック操作がリアルタイムで記録される仕組みです。

観測初日、工作員らは第1弾とほぼ同じ手順（dxdiag、systeminfo、wmicによる端末情報の確認、IPアドレス確認サイトの利用）で端末を偵察したのち、Googleアカウントへのログインとあわせて、Googleリモートデスクトップをインストールし、アカウントを端末に同期させるという操作を行いました。これは第1弾調査でも確認された挙動で、この同期により、ブラウザの閲覧履歴・検索履歴・保存済みパスワード・インストール済み拡張機能など、工作員が実際に使用しているツールセットの全容が明らかになっています。

業務の実態としては、スマートコントラクトの基本的な実装方法をインターネット検索で調べたり、MetaMaskウォレットのインポートに苦労したり、テストネット用トークンの取得に失敗してChatGPTに「もう本物のお金が必要みたいだ」とこぼしたりするなど、技術力の面では基礎的なつまずきが目立ったとされています。研究者らは意図的にネットワーク障害やマウスカーソルの消失といった不具合を発生させ、工作員らがこれに対応する様子も観測しています。あるタイミングでは、こうした障害を口実に仮想環境を強制的に破棄し、未保存の作業内容を失わせるという操作も行われています。

こうした一連の観測を通じて、研究者らは工作員がVDI環境への踏み台として利用していた、長期間稼働する複数の「オペレーター用サーバー」のインフラを特定しています。この種のサーバーは、長期間使い回されることが多く、複数のマルウェアファミリーに関連するタグが蓄積されていく傾向があるとされ、脅威インテリジェンスとしての価値が高いと説明されています。

更新されたツールセット

研究者チームが今回の調査で確認した工作員のツールセットは、次のとおりです。リモートデスクトップにはAnyDeskとGoogleリモートデスクトップ、VPNにはAstrillVPN、コーディングにはChatGPT・Cursor・Visual Studio Code・Remixが使われていました。文書偽造にはGoogle Geminiが使われ、2要素認証コードを工作員間で共有する手段としては、以前確認されていたauthenticator.ccやotp.eeに代わり、2fa.cnという新しいサービスの利用が確認されています。また、これまでの調査ではGmailの利用のみが確認されていましたが、今回はOutlook.comの利用も新たに確認されました。このほか、ブラウザ拡張機能としてSaved Prompts for GPT、Simplify Copilot、AIApply、Final Round AIといった、就職活動を支援するAIツールの利用も観測されています。

情報システム部門・採用担当者が確認すべき対策ポイント

研究者チームは、今回の調査を踏まえて次の対策を推奨しています。

身元確認（バックグラウンドチェック・KYC）を徹底し、リモート中心の採用を行う企業では、これを定期的に実施するとともに、対面での本人確認も組み込んでください。
採用担当者に対し、なりすましの兆候（不自然な経歴、画面外への視線、身分証明書の矛盾等）を見抜くための訓練を行ってください。採用担当者は、この種の侵入を防ぐ最初の防衛線です。
AstrillVPNをはじめ、削除要請や法執行機関の要請に協力しないサービスからのアクセスを、社内システムでブロックすることを検討してください。
提出された身分証明書等の画像ファイルは、メタデータ（EXIF情報、電子透かしの有無等）を確認することで、AIによる加工や不正な流用を発見できる場合があります。
業務用端末に対する私用アカウントの同期を禁止する、あるいは技術的に制限する運用を検討してください。今回の調査でも、工作員自身のGoogleアカウント同期という「誤操作」が、ツールセット全体を明らかにする決め手になっています。

北朝鮮系ハッカー集団ラザルス・グループ全般の攻撃手法や国内での被害実例については、北朝鮮のハッカー集団Lazarus（ラザルス）とは？攻撃手法や日本での被害実例もあわせてご参照ください。

国内外で相次ぐ北朝鮮系偽装ITワーカーの事案

北朝鮮系の偽装ITワーカーをめぐる問題は、今回のような海外の研究者による潜入調査にとどまらず、日本国内でも現実の事案として相次いで報告されています。当サイトではこれまで、以下のような事案・動向を継続して報じてきました。

日本国内の事案としては、日本人になりすまして就労していた実態を報じた北朝鮮のIT労働者が日本企業で偽装就労か実態とセキュリティリスクを解説、日本人2名が本人確認書類の提供という形で北朝鮮IT技術者のなりすましを支援したとして書類送検された北朝鮮IT労働者の”なりすまし就労”が現実に日本人2名が支援容疑で書類送検、日本企業への就労実態も解説を報じています。

また、今回の調査でも確認されたように、AIツールを活用して面接や業務を乗り切ろうとする手口については、北朝鮮偽装IT労働者によるAI技術の悪用事例で詳しく解説しています。実際に企業側が北朝鮮の偽装エンジニアを雇用してしまい、マルウェアの仕掛けを発見した事例としてはKnowBe4が身分偽装した北朝鮮エンジニアを雇用マルウェアを仕掛けるのを発見を、Web3・暗号資産業界への複数年にわたる潜入事例については北朝鮮ハッカーチームがWeb3-仮想通貨業界に潜入-Stabble・Elemental・Marinade等に複数年在籍を、それぞれ報じています。

政策的な対応としては、日米韓が「北朝鮮ITワーカー」対策強化を共同声明で発表で、日本政府が誤って北朝鮮ITワーカーを採用・支援・外注しないためのリスク低減策を企業向けに助言している経緯を解説しています。今回の調査で示された「採用後の実態」は、こうした一連の国内事案とも地続きの問題として捉える必要があります。