Huntress、北朝鮮ITワーカーとみられる5人を調査-医療・営業職にも偽装就労が拡大|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月01日更新日時: 2026年09月01日

米サイバーセキュリティ企業Huntressは2026年8月26日、北朝鮮（DPRK）のリモートワーカーとみられる人物を企業環境内で調査した結果を公開しました。

Huntressによると、2026年にパートナー企業から相談を受けた事案などを調査し、合計5人について北朝鮮ITワーカーである可能性が高いと評価しました。従来こうした偽装就労はソフトウェア開発などIT職を中心に確認されてきましたが、今回の調査では医療分野や営業・マーケティング職に就いていた人物も含まれています。

調査では、偽造・改変されたとみられる身分証明書、VPNやプロキシを使った所在地の隠蔽、企業支給PCを遠隔操作するためのKVM機器、他人の写真を加工したプロフィール画像など、複数の痕跡が確認されました。

ただし、Huntressの報告は各人物について政府機関が北朝鮮国籍や所属を公式認定したものではありません。本稿では、Huntressが「likely DPRK workers」と評価した事案として扱います。

Huntressの北朝鮮ITワーカー調査のサマリー

Huntressは2026年8月26日、北朝鮮ITワーカーとみられる人物に関する複数の調査結果を公開しました。
2026年に調査へ関与した事案では、合計5人が北朝鮮ITワーカーである可能性が高いと評価されています。
対象者の職種はITだけではなく、医療分野、営業・マーケティングにも広がっていました。
2026年2月の豪州の事案では、中国人を装っていたと疑われる3人を調査し、VPN・プロキシ利用、勤務時間帯、身分証明書の不自然な共通点などを確認しました。
Huntressは、3人の活動の半分未満しか想定勤務時間内に発生せず、活動のピークがUTC午前0時だったと報告しています。これは北朝鮮では午前9時に当たりますが、時間帯だけで帰属を判断できるものではありません。
2026年8月の金融サービス企業の事案では、企業支給PCにPiKVMとUSBビデオキャプチャ機器が接続されていたことを確認しました。
同事案では、正規のGitHubアカウントから取得したとみられる人物写真を加工して使用していたことも確認されています。
別の8月の事案では、入社から13日程度の営業・マーケティング担当者について、実在人物の個人情報を流用しながら顔写真を改変したとみられる身分証明書が確認されました。
Huntressは、VPNや特定機器など単一の指標だけでは北朝鮮ITワーカーと判断できず、ID、端末、クラウド、認証、ブラウザーなど複数の証跡を組み合わせる必要があるとしています。
日本を含む各国政府も2026年7月31日、北朝鮮IT労働者が偽造身分証、第三者の代理人、VPN、リモートアクセス、ラップトップファーム、AIなどを利用して身元や所在地を隠しているとして共同で注意喚起しています。
日本企業との関係では、Nisosが北朝鮮ITワーカーとみられる人物について、複数の偽名や連絡先を使い分け、日本企業で勤務していると自称していた形跡を追跡しています。

項目	内容
調査公開日	2026年8月26日
調査主体	Huntress
対象	北朝鮮ITワーカーである可能性が疑われたリモート従業員
Huntressが2026年に調査した人数	合計5人を「likely DPRK workers」と評価
確認された職種	IT、医療分野、営業・マーケティング
主な偽装・隠蔽手法	身分証明書の偽造・改変、他人の写真の加工、VPN・プロキシ、遠隔操作機器など
主な企業リスク	不正な雇用、社内システムへの正規権限でのアクセス、情報窃取、マルウェア、恐喝など
政府の注意喚起	日本、米国、韓国、英国などが2026年7月31日に多国間注意喚起を公表

北朝鮮ITワーカーは「侵入」ではなく正規採用で社内に入る

Huntressが今回の調査で強調しているのは、北朝鮮ITワーカーによる偽装就労が、一般的なサイバー攻撃とは異なる検知の難しさを持つ点です。

攻撃者が脆弱性を悪用してアカウントを奪取するのではなく、別人になりすまして求人へ応募し、面接や本人確認を通過したうえで、企業から正規のアカウントや端末を受け取ります。実際に与えられた業務をこなすケースもあるため、通常の「不正ログイン」を探すだけでは判別が難しくなります。

企業から見ると、認証に成功していること自体は異常ではありません。問題は、そのアカウントを操作している人物が、採用時に確認した本人と同一人物なのかという点です。

米FBIも2026年7月31日の多国間注意喚起で、北朝鮮IT労働者が他国の国民を装い、偽造・改変された身分証明書や第三者の代理人を使って雇用や業務委託を獲得していると警告しています。企業にとっては、サイバーセキュリティだけでなく採用・本人確認の問題でもあります。

豪州の医療分野で3人を調査　中国人を装っていた疑い

Huntressは2026年2月から、豪州のパートナー企業から相談を受け、中国人になりすましている北朝鮮ワーカーではないかと疑われた3人を調査しました。

調査では、Microsoft 365の監査ログや認証記録など約6か月分を分析しました。3人のアカウントはいずれも、北朝鮮ITワーカー関連の過去の調査で名前が挙がったVPNサービスを利用していたほか、商用プロキシやホスティングインフラを経由していました。

ただし、VPNやプロキシを使っているだけでは不正の証拠にはなりません。HuntressもVPN単独では誤検知が生じるとして、活動時間帯や地理情報、身元確認書類など複数の要素を組み合わせています。

3人の活動を分析したところ、想定される勤務時間帯に発生した活動はそれぞれ半分未満で、ピークはUTC午前0時でした。UTC午前0時は北朝鮮では午前9時に当たりますが、豪州や中国の一部の勤務時間とも重なります。このため、時間帯そのものを北朝鮮との帰属根拠にするのではなく、他の証跡と組み合わせて評価する必要があります。

身分証明書に不自然な共通点　発行日や住所、撮影情報も分析

Huntressが調査した3人のうち2人については、OneDrive上に本人確認に使用したとみられる中国の身分証、パスポート、電気料金の請求書の画像が保存されていました。

書類は一見すると正規のものに見えましたが、Huntressが比較したところ、2人分の書類に複数の不自然な共通点が見つかりました。パスポートの発行日が1日違いだったこと、身分証の有効期間と発行機関が同じだったこと、住所が同じ通りだったことなどです。

さらに、電気料金の請求書には不自然な誤字や、発行元とは関係のない米国の電力会社へのリンクが含まれていました。画像のメタデータを比較すると、使用された端末や撮影時間にも強い共通性が確認され、一部のパスポート画像はわずか数分の間隔で撮影されていました。

Huntressは、これらの書類が同一人物または同じ支援者によって作られた可能性を指摘しています。

一方、書類に記載された個人情報自体が完全な架空情報だったとは限りません。他人から窃取・借用した実在情報を偽造書類へ組み込んでいる可能性もあるため、「記載された氏名や番号が実在する」だけでは本人確認として十分ではありません。

金融サービス企業では企業PCにPiKVMを接続

2026年8月、Huntressは金融サービス業の企業から、最近採用した従業員が北朝鮮ITワーカーではないかとの相談を受けました。

端末を調査したところ、PiKVMと呼ばれるKVM-over-IP機器が接続されていた痕跡を確認しました。PiKVMはRaspberry Piを基盤とする正規のオープンソース製品で、コンピューターをネットワーク越しに遠隔操作する用途に使われます。

この機器自体が悪性というわけではありません。しかし、会社が従業員へ支給したPCに第三者が遠隔操作するための機器が取り付けられていた場合、企業からは端末が申告された所在地で本人によって操作されているように見えながら、実際には別の場所から操作される可能性があります。

Huntressのフォレンジック調査では、企業PCが住宅用ネットワークへ接続された数時間後にPiKVMが接続され、その後は有線ネットワークへ接続された状態になっていました。同社は、この端末がいわゆる「ラップトップファーム」の固定端末になった可能性を指摘しています。

ラップトップファームは、企業から支給されたPCを本人の申告住所などに置き、国外などにいる別の人物が遠隔操作する仕組みです。米司法省も、北朝鮮ITワーカーを支援するために米国内で企業支給PCを保管・運用した事例を繰り返し摘発しています。

他人のGitHub写真を加工、Web会議用の映像機器も確認

同じ端末では、USB接続のビデオキャプチャ機器も確認されました。この機器は映像をWebカメラ入力としてWeb会議アプリケーションへ渡すことができます。

Huntressは、こうした機器も単独では北朝鮮ITワーカーの証拠にならないと明記しています。ただし、PiKVMと組み合わせて確認されたことや、マイク・カメラのテストを繰り返していたことなどから、身元や所在地を隠した状態でWeb会議へ参加するために使われていた可能性を調査しました。

さらに、従業員がファイル共有サービスから取得したプロフィール画像を調べたところ、正規のGitHubアカウントで公開されていた別人の写真を流用し、顔を加工したものだったことが判明しました。

調査後、対象企業も従業員の身元に疑義があると判断しました。Huntressによると、この人物はWeb会議で自分がいる部屋を見せることを拒み、カメラへ映ることにも消極的だったとしています。

IT職だけでなく営業・マーケティング職にも拡大

Huntressは前述の調査をきっかけに、北朝鮮ITワーカーに関連する公開情報と一致する端末の特徴を基に追加の脅威ハンティングを実施しました。

その結果、別のパートナー企業でも疑わしい従業員を発見しました。対象者は入社から約13日で、職種はITエンジニアではなく営業・マーケティングでした。

身分証明書を調べると、氏名、生年月日、運転免許証の地域などは、過去に法執行機関が公開した実在人物の情報と一致していました。しかし、公開されていた本人の顔と身分証の写真は一致せず、Huntressは実在人物のID情報を流用し、顔写真を別人へ置き換えた可能性が高いと評価しました。

ブラウザー履歴からは、本人確認書類をやり取りしたとみられるファイル共有サービス、英語の発音や翻訳を補助する拡張機能、映像・音声を扱うツールなどの利用も確認されています。

この調査が示す重要な変化は、「北朝鮮ITワーカー」という名称から想像されるソフトウェアエンジニアだけを監視していては不十分になっている点です。Huntressが2026年に調査した5人には、IT以外に医療分野と営業・マーケティングの職種が含まれていました。

日本企業での偽装就労をNisosが追跡

Huntressが今回確認した「別人になりすまして採用され、正規のアカウントや端末を使う」という手口は、日本企業にとっても無関係ではありません。

セキュリティ対策Labでは2025年1月、脅威インテリジェンス企業Nisosの調査をもとに、北朝鮮ITワーカーとみられる人物が日本企業でリモートのソフトウェアエンジニアやフルスタック開発者として勤務していた可能性を取り上げました。

Nisosは、2023年1月以降に日本企業で勤務していた可能性がある人物を追跡し、「Weitao Wang」と「Osamu Odaka（小高修）」という複数のペルソナを使用していたと分析しています。

Nisosによると、「Weitao Wang」を名乗るペルソナは日本のコンサルティング会社Tenpct Inc.（10pct.株式会社）で勤務していると自称し、「Osamu Odaka」を名乗る別のペルソナは2022年から2023年に日本のソフトウェア開発会社LinkX Inc.（リンクス株式会社）で勤務していたと自称していました。

ただし、これはNisosが公開情報やGitHub、求人・フリーランスサイトなどを分析して示した調査結果です。両社が北朝鮮ITワーカーの在籍を公式に認めた事案ではありません。セキュリティ対策Labは2025年1月24日、10pct.株式会社とLinkX Inc.へ調査の有無や事実関係を問い合わせましたが、記事掲載時点で回答は得られていません。

国連報告のメールアドレスからGitHubと複数ペルソナを特定

Nisosの調査は、国連安全保障理事会の専門家パネル報告書に記載されていた、北朝鮮ITワーカーと関連するとされたメールアドレスを起点にしています。

その一つである「anacondaDev0120@gmail[.]com」から、研究者はGitHubアカウント「AnacondaDev0120」を特定しました。このアカウントでは「O_O」というユーザー名も使用されており、Nisosは「Osamu Odaka」のイニシャルと関連する可能性を指摘しています。

さらに、2024年3月のGitHubコミットから別のメールアドレスをたどると、「Huy Diep」というペルソナとの関連が確認されました。Nisosは、この人物についても日本の10pct.で勤務しているとするプロフィールを確認しています。

調査を広げると、同じGitHubアカウント「anacondadev0120」が複数のフリーランス・求人サイトで異なる人物名と結び付いていました。

プラットフォーム	確認された名称・ペルソナ
LaborX	Osamu Odaka
ProPursuit	「Link」、関連名としてCheng Kai Ming
Remote Ok	「shaowtw」、Telegramのskyhero454と関連
GitHub	AnacondaDev0120、O_O

Nisosは、これらのプロフィールが異なる氏名や連絡先を使いながら、同じGitHubアカウントや類似したスキル、画像を共有していた点を重要な手掛かりとしています。

職歴や技術アセットも別ペルソナ間で流用

Nisosの調査では、単に名前を変えるだけでなく、職歴や技術実績、プロフィール情報を別のペルソナへ流用していた形跡も確認されています。

「Weitao Wang」のプロフィールでは、顔写真や職歴が公開されていましたが、Nisosは「Osamu Odaka」のペルソナで使われていた職歴や技術アセットとの重複を確認しました。

また、「Weitao Wang」のペルソナサイトには、LinkXの従業員とみられる人物と参加したGoogle Meetの画像や、同社での業務実績を示す内容が掲載されていました。Nisosは、同一人物が「Osamu Odaka」としてLinkXで勤務していた可能性を示す材料の一つとしています。

このように、北朝鮮ITワーカーの偽装就労では、完全に独立した偽名を一つずつ作るのではなく、既存のGitHubアカウント、連絡先、職歴、技術実績を複数の人格で使い回す場合があります。企業側では、履歴書の記載内容だけでなく、GitHub、ポートフォリオ、過去の勤務歴、連絡先などを横断して整合性を確認することが重要です。

警察庁も2024年から日本企業へ注意喚起

日本政府も、北朝鮮ITワーカーが日本人になりすまして国内企業の業務を受注するリスクについて、以前から注意を呼びかけています。

警察庁、外務省、財務省、経済産業省は2024年3月26日、北朝鮮IT労働者に関する企業向け注意喚起を公表しました。そこでは、国籍や身分を偽ってオンラインプラットフォームへ登録するほか、日本にいる血縁者や知人などを代理人としてアカウント登録させ、実際の業務は北朝鮮ITワーカーが行う場合があると説明しています。

また、北朝鮮ITワーカーは中国、ロシア、東南アジアなどに居住しながら、VPNやリモートデスクトップを利用して国外から作業していることを隠す場合があるとしています。

Nisosの調査が示した複数ペルソナやGitHub・求人サイトを横断した偽装と、Huntressが今回確認したVPN、加工された写真、遠隔操作機器は、調査時期や対象は異なるものの、「採用時に確認した人物と実際に業務を行う人物が同一とは限らない」という共通の問題を示しています。

セキュリティ対策Labの過去記事では、Nisosがどのように国連報告のメールアドレスからGitHub、フリーランスサイト、職歴へ調査を広げたのかを詳しく整理しています。

北朝鮮のIT労働者が日本企業で偽装就労か実態とセキュリティリスクを解説

日本など11か国も7月31日に注意喚起

Huntressの調査公開に先立つ2026年7月31日、日本の外務省、国家サイバー統括室、警察庁、財務省、経済産業省は、米国、韓国、英国などの関係機関と共同で北朝鮮IT労働者に関する注意喚起を公表しました。

同注意喚起では、北朝鮮IT労働者が他国の国民を装い、偽造・改変した身分証明書、第三者の代理人、VPN、リモートデスクトップ、ラップトップファームなどを使って所在地や身元を隠していると説明しています。

さらに2026年版では、AIを身元偽装へ組み込む動きにも言及しています。採用担当者が見るプロフィールや外国語でのコミュニケーションを生成AIで自然に見せたり、ビデオ会議の映像を人工的に加工したりする可能性があるとして、従来の書類審査だけに依存しない確認を求めています。

Huntressが今回確認した、加工された顔写真、VPN・プロキシ、遠隔操作機器、Web会議関連の映像機器などは、政府が注意喚起している手口と重なる部分があります。

なお、日本を含む多国間注意喚起は、北朝鮮IT労働者との契約やサービスへの支払いが各国の国内法に抵触し、法的責任や金銭的な制裁につながる可能性があるとも警告しています。

企業が北朝鮮ITワーカーを採用しないための対策

今回の調査から分かるのは、対策をSOCやEDRだけに任せることができないという点です。北朝鮮ITワーカーは採用プロセスを通過して正規ユーザーとして社内へ入るため、人事、採用部門、情報システム、セキュリティ部門が共通のリスクとして扱う必要があります。

採用時には、身分証明書の記載内容だけではなく、顔写真、発行情報、経歴、住所、過去の勤務先などに矛盾がないかを確認します。オンライン面接では、事前録画された映像や代理人だけで完結させず、リアルタイムでの本人確認を組み合わせることが重要です。

企業支給PCについても、発送先と実際の利用場所が一致しているかを確認し、採用者本人以外への転送を前提とした運用を避ける必要があります。端末に会社が許可していない遠隔操作機器や映像キャプチャ機器が接続されていないかを把握できる仕組みも有効です。

入社後は、ログイン元、利用時間、VPN・プロキシ、端末、クラウド、ブラウザーなどの情報を組み合わせて異常を確認します。ただし、VPNを使っている、深夜にアクセスしている、特定のUSB機器を接続したといった単一の条件で北朝鮮ITワーカーと判断してはいけません。Huntressも、個々の指標は正規利用でも発生し得るため、複数の証拠を相関させる必要があるとしています。

また、採用直後からソースコード、顧客情報、クラウド管理権限などへ広範なアクセスを与えず、職務に必要な範囲へ権限を限定することも重要です。身元に疑義が生じた場合に、人事とセキュリティ部門が連携してアカウント、端末、認証情報、アクセス履歴を速やかに確認できる体制を整えておく必要があります。