北朝鮮ハッカーの手口とは…現役IT工作員が証言「審査の緩い日本は米国進出の“練習台”」
世界最大級の暗号資産取引所「バイナンス」で2026年10月29日、約63億ドル（約1兆円）相当の暗号資産が盗まれる事件が起きた。
暗号資産の窃盗としては史上最大規模である。米連邦捜査局（FBI）は同31日、北朝鮮系ハッカー集団「トレーダートレイター」の犯行と発表した。
北朝鮮の金与正・朝鮮労働党総務部長は11月2日付の談話で「荒唐無稽なデマ」「政治的挑発」と反発し、関与を否定した。しかし、北朝鮮のハッカーは、どのようにして厳重な保安システムを持つ企業に侵入し、巨額の資金を盗み出すのだろうか。
切手の裏に隠された「来るな」のシグナル 北朝鮮帰国事業で日本の家族に伝えた実状
採用担当者になりすまし、「年俸2倍」で技術者に接近
サイバー犯罪に詳しい関係者によれば、攻撃の入り口となるのは、意外にも攻撃対象企業の従業員だという。
北朝鮮系ハッカーは、ビジネス向けSNSのLinkedInなどで暗号資産関連企業の技術者を探し、採用担当者になりすまして接近する。
「現在の年俸の2倍を支払う」。そんな好条件で転職を持ちかけ、何度も連絡して信頼関係を築く。やがて採用試験と称してプログラミングの課題を送りつける。
技術者が自分のパソコンで課題を実行すると、仕込まれた不正プログラムが作動する。攻撃者は端末内の情報を盗み、そこを足掛かりに社内ネットワークへ侵入する。
最初の端末から別の担当者のアカウントや権限を奪い、最終的に送金システムを狙う。
巧妙なのは、承認担当者の画面には正常な取引を表示しながら、実際には攻撃者の口座へ送金させる手口だ。暗号資産のシステム自体を破壊する必要はない。人間とコンピューターの間にある確認や承認の仕組みを悪用するのだ。
資金を盗んだ後は、追跡を逃れるため、複数の電子財布（ウォレット）へ分散し、短時間で繰り返し送金する。約25秒ごとに新たなウォレットを作成する事例も報告されている。
こうした処理はプログラムによって自動化され、資金の流れを複雑にする。
北朝鮮は国際制裁で通常の外貨獲得手段を制限されているが、国を挙げてサイバー技術者を育成し、資金調達手段として利用している。
睡眠4時間、月75万円のノルマ
北朝鮮のハッカーとは別に、一般のIT技術者として海外で働いている人もいる。
韓国のテレビ局「チャンネルA」の番組「いま会いに行きます」第765回に、中国で活動するA氏が音声で登場した。現役の北朝鮮IT労働者の証言は珍しい。
A氏によると、中国では10人前後が住宅を借りて共同生活し、居間を作業場、小部屋を寝室にしている。欧米企業の営業時間に合わせ、午後9時から翌朝5時まで働き、睡眠時間はわずか4時間程度という。
1人当たり月5000ドル（約75万円）の外貨獲得ノルマがあり、達成できなければ本国への強制送還も待っている。稼いだ金の大半は当局に上納され、本人の取り分は5～10％にすぎない。パソコンには約3秒ごとに画面を撮影する監視プログラムも組み込まれているという。
外国人として偽装就職し、内部システムにアクセス
北朝鮮人を名乗れば警戒されるため、外国人になりすまして企業から開発業務を請け負う場合が多い。
A氏によると、特に利用しやすいのが日本の大手クラウドソーシングサービスだ。外国人の身分証明書や銀行口座を借り、現地の技術者を装って仕事を受注する。
A氏はあるサービスの実名を挙げたうえで、利用者の「30～40％程度が私の仲間ではないか」とまで語った。ただし、この数字の根拠は不明だ。
日本では厳格な本人確認や映像面接なしに仕事を受注できる場合があり、日本語ができなくても機械翻訳で対応できる。まず日本で経験を積み、審査の厳しい米国のサイトに進出するという。
偽装就職した技術者は、当然企業の内部システムにアクセスできるようになる。米国では北朝鮮IT労働者が企業情報を盗み、恐喝に利用する事件も摘発されている。最初は普通のIT技術者だが、途中でハッカーに変身するということだ。
兵庫県の防災アプリにも関与
日本でも2022年5月、中国在住の北朝鮮籍技術者が兵庫県の防災アプリ「ひょうご防災ネット」の修正業務に関わっていたことが発覚した。2019年に複数の業者への再委託を経て受注していた。個人情報の流出や不正プログラムの混入は確認されなかった。
警察庁など4省庁は2024年3月、北朝鮮IT労働者による日本人へのなりすましについて注意喚起し、その後も警告を重ねている。
北朝鮮のサイバー犯罪が狙うのは「人間の心理のすき」だ。転職への期待や取引相手への信頼、業務委託先への確認不足が侵入の入り口となる。
企業側が十分な対策を取らなければ、日本は知らないうちに北朝鮮の外貨獲得を支えることになりかねない。
文/五味洋治 内外タイムス
関連記事
