IT業務の外注先は本当に本人か、北朝鮮IT労働者の兆候と確認方法

解説IT業務の外注先は本当に本人か、北朝鮮IT労働者の兆候と確認方法

この記事は公式の発表と公開資料をもとに、私の見解を添えて書いています。

公式の発表北朝鮮IT労働者の実態が、各国合同で公表されました

2026年9月18日、警察庁と国家サイバー統括室は、米国・豪州・ドイツとともに、北朝鮮を背景とするサイバー攻撃グループ WaterPlum（関連名称: Contagious Interview）の攻撃手口と、北朝鮮IT労働者による外貨獲得活動および採用応募活動の実態について、合同で文書を公表しました。

あわせて公表されている注意喚起には、発注する側が面談と条件の確認だけで拾える兆候が並んでいて、複数の特徴が当てはまる場合に不正に仕事を得ようとしている可能性がある、とされています。

公表資料で示されたのは、次のような内容です。

• WaterPlum は、世界各国のIT技術者に対して暗号資産の窃取を目的としたサイバー攻撃を実行しています。
• 日本を含む100以上の国と地域で、少なくとも3万台以上とみられるマルウェア感染が判明しました。
• 約7千件の暗号資産ウォレットの情報が窃取され、少なくとも約17億円相当の暗号資産が送金されたことを把握しています。
• 北朝鮮IT労働者が遠隔操作するラップトップ・ファームを国内で初めて把握し、暗号資産を含め数億円の海外送金を把握しました。
• 国内の暗号資産取引所のエンジニア職へ北朝鮮IT労働者から応募があり、同社が面接を実施して活動実態を把握しました。

中身を見ていくとなりすまして、外注の受注側に入り込む

手口は、その注意喚起のほうにもう少し具体的に書かれています。

北朝鮮IT労働者は、他国の国民になりすまして、仕事の受発注に使われるオンライン上のサービスから業務を請け負い、収入を得ているとされています。

北朝鮮IT労働者は、第三者の代理人やVPN、リモートデスクトップ・ソフトウェア（例: 手元のパソコンから離れた場所のパソコンを操作する仕組み）を使い、外国から作業している事実を伏せている場合があると書かれています。

ラップトップ・ファームと呼ばれる形では、企業から支給されたノートパソコンを海外の第三者の代理人が受け取り、北朝鮮IT労働者が遠隔でアクセスすることで、実際の所在地を隠しています。

そして、身分を隠して活動を世界的に広げるために、AIの統合を含む一層高度な手法が活用されているとも書かれています。

関係する場面外へ仕事を出している会社と、応募を受ける会社

警察庁は、IT技術者や民間事業者に対して、注意喚起の内容を参考に適切なセキュリティ対策を講じるよう求めています。

当てはまりやすいのは、次のような場面です。

• ホームページ制作やアプリ開発を、クラウドソーシングや個人のIT技術者へ発注している
• IT系の求人を出して、遠隔勤務の応募を受け付けている（国内の暗号資産取引所のエンジニア職に応募があった例が公表されています）
• 会社のノートパソコンを貸し出して、社外の人に作業してもらっている

ここに当てはまらない会社でも、会社としての備えとは別に、社内でパソコンを扱う方が個人として狙われる入口は残ります。

ホームページやアプリを外に頼む場面は、長崎の会社でも珍しくありません。

現場で感じること文面の自然さでは、もう見分けられません

注意喚起の兆候の一覧には、アカウントのプロフィールに、不正確な機械翻訳の結果とみられる誤記載や不自然な表現が含まれ、出身地とされている国の言語に堪能でないという項目があります。

ただ、同じ項目には、翻訳サービスや大規模言語モデル（例: ChatGPTのようなAI）を用いて、第二言語でも説得的なプロフィールを作成し、やり取りをする場合もあるという注記が添えられています。

つまり、AIは自分が使う道具であると同時に、相手側も同じ道具を持っている以上、文面の自然さは決め手になりません。

そのぶん、専門知識がなくても、発注前の面談と条件の確認だけで拾えるこの兆候の一覧は、実務的だと感じています。

今日できること次に外注する前に、この6つを確かめる

注意喚起のうち、雇用または業務を発注する方向けに挙げられた項目から、面談と条件の確認だけでできるものを並べます。

1. テレビ会議形式の打合せへの参加を拒否しないか。
2. ビデオ会議中に、写真付き身分証との不一致や、改ざん・人工生成されたようにみえる映像フィードなどの不整合がないか。
3. プロフィールに、機械翻訳の結果とみられる誤記載や不自然な表現がないか。
4. 一般的な相場より安価な報酬で業務を募集していないか。
5. やり取りする相手が時間帯によって変わらないか（複数人でアカウントを運用している兆候として挙げられています）。
6. 暗号資産での支払いを要求されないか。

注意喚起も、複数の特徴が当てはまる場合に不正に仕事を得ようとしている可能性があるという書き方で、1つ当てはまっただけで決めつける話ではありません。

いま契約している相手をすぐ切る必要もありません。次に新しく外注する時に、顔を合わせる打合せを1回入れてみてください。まずはそこからで十分です。

判断がつかない、調べても分からないという時は、サポート内容をご覧ください。

あわせて読む

• 困りごとのご相談・サポート内容
• ChatGPTのアカウントを一番強く守る設定と、その代償
• 事例・コラムの一覧