北朝鮮と関連が疑われるITワーカーをだますために、ジャーナリストがベンチャーキャピタリストになりすますよう求められることは、そう頻繁にはない。だが6月、この記者は架空の企業Definitive Communicationsの投資家「Aelin Ashriver」を名乗り、Zoom通話に参加して、Ballena Azulと呼ばれる暗号資産スタートアップの開発チームと面会した。

通話に参加していたワーカーたちは、自分たちのスタートアップに対するVC資金調達の提案を行っていると思い込んでいた。実際には、彼らは数週間にわたり、手法、ツール、インフラを調べるためだけに意図的に構築された偽のクリプト企業の中で作業していた。この作戦は、サイバーセキュリティ企業BCA LTDの創設者Mauro Eldritch氏と、Telefónica Techのサイバー脅威インテリジェンス分析官でNorthScan創設者のHeiner García氏によって主導された。Cointelegraphは調査の一段階に同行した。

通話中、この記者はBallena AzulがCointelegraphで取り上げられる可能性さえあると示唆して、この偽装を後押しした。

少なくとも通話中の1人は本当のことを言っていた。

Cointelegraphが演じる架空のDefinitive Communicationsに対し、VC支援を売り込むと見られるDPRK系ITワーカー。出典: ANY.RUN

北朝鮮のITワーカーのための会社を作る

Eldritch氏とGarcía氏は、サイバーセキュリティ・プラットフォームANY.RUNが提供したインフラを使って、架空のBallena Azulを構築した。同名の無関係な英国法人が2022年に解散していた既存の登録情報も、この計画に信ぴょう性を与えた。

Eldritch氏は共同創業者「Leonardo Nelson」を名乗り、García氏は「Andy Jones」という別名で会社のチームリードを装った。

関連: 北朝鮮のサイバー工作員はもはや単なる遠隔の脅威ではない

5週間にわたる偽装で得られた最も価値の高い情報の1つは、ワーカーがBallena Azulの管理下にある仮想デスクトップへ接続する前に中継地点として使っていた外部サーバーだった。こうしたインフラは、キャンペーン間で再利用されることが多く、長期間稼働し続けることがあるため、特に重要とされた。

García氏はMagazineに対し、これらのサーバーは、認証情報、クリプトウォレットのデータ、その他の機密情報を盗む北朝鮮関連キャンペーンのマルウェア系統と結びついていたと語った。

「見つかったサーバーの一部は、過去にInvisibleFerretやBeaverTail/OtterCookieの配布に関係しており、現在も稼働していました」と彼は言う。「しかし、まったく新しく、何の情報もないものもあり、きれいで、主要なブロックリストや脅威フィードの外にありました」

さらに彼は、このインフラは複数の用途に使われ得ると補足した。過去にマルウェア配布に使われたサーバーが、コマンド＆コントロールのノードや、日常業務を行うオペレーターのプロキシとしても機能していたという。

研究者によれば、疑われるワーカーがマルウェアを展開しなくても脅威になり得る。採用されれば、企業の内部システム、ソースコード、その他の機密データに正規のアクセス権を得ることができる。検知されない期間が長いほど、彼らは給与を受け取り続けられ、その資金は最終的に北朝鮮政権の支援につながると研究者は述べている。

この作戦ではまた、彼らが技術的知識の不足を補うために人工知能ツールに依存していたことも明らかになった。ChatGPTは文章作成やコーディングに使われ、基本的な質問への回答や、自力では苦戦した課題の完了にも利用された。画像改変や文書偽造にはGoogle Geminiを好んで使っていた。

Ballena Azul作戦中、テストネットの暗号資産を得ようとする過程で協力する疑いのあるDPRK系ITワーカーとChatGPT。出典: ANY.RUN

そのほかに使用されたツールには、リモートデスクトップソフト、暗号資産ウォレット、2要素認証コードを共有するサービスが含まれていた。

北朝鮮のITワーカーは、暗号資産業界にとって拡大するサイバーセキュリティ上の脅威となっている。Consensysは7月、サードパーティのサービス提供者を通じて北朝鮮関連の開発者を雇っていたことが、脅威を特定してアクセスを遮断する前に判明したと述べた。

別の事例では、米国の検察当局が2025年、偽の身元を使ってリモートIT職を得て、米国のブロックチェーン研究開発企業を含む2社から90万ドル超の暗号資産を盗んだとして、北朝鮮国籍の4人を起訴した。

米財務省は3月、北朝鮮のITワーカー計画が2024年に約8億ドルを生み出し、平壌政権の大量破壊兵器プログラムの資金源になったと発表した。

偽の暗号資産企業Ballena Azulの内部

この作戦は、García氏がGitHub経由でリクルーターと接触したことから始まった。その人物は、北朝鮮のITワーカー運用と関係がある脅威グループFamous Chollimaにつながっていた。García氏はBallena Azulがソフトウェア開発者を必要としていると伝え、リクルーターは「Jack Anderson」「Angelo Espree」「Lucas Theo」の3人を紹介した。少なくとも2人は米国の身分証を提示していた。

3人は管理された仮想デスクトップ環境でさまざまなプログラミング課題を割り当てられ、García氏とEldritch氏は彼らの作業手順をリアルタイムで監視できた。

Angelo Espreeは、DPRK関連の運用につながるリクルーターを通じて参加した開発者の1人だった。出典: ANY.RUN

研究者たちはまた、選択的なネットワーク障害やマウスカーソルの消失などの技術的トラブルを意図的に発生させ、疑われるワーカーがどう反応し、問題発生時にどのツールへ頼るかを観察した。

「正直に言うと、最大の驚きは、かなりの部分が即興で回っていたことでした」とGarcía氏は言う。「厳格な手順書も、洗練された企業プロセスもありませんでした」

管理環境の中で何週間も過ごす間、北朝鮮と疑われる者たちは、研究者にとって豊富な情報の宝庫を残した。チャットログ、AI会話履歴、暗号資産ウォレット情報、VPNの出口ノード、そして長時間のライブ映像だ。彼らの接続によって、調査で最も重要な発見の1つとなる中継サーバーも特定された。

AIへの強い依存は、Ballena Azulの作戦でだまされたワーカーに特有のものではない。Reutersは月曜日、別の北朝鮮系ハッキンググループKimsukyが、より攻撃的な目的でAIを使っていたと報じた。同グループは、サイバー攻撃の自動化、盗んだデータの分析、より説得力のあるフィッシングキャンペーンの作成のために、AIツールをローカルで実行していたとされる。

リモートDPRK ITワーカーの進化する手口

Cointelegraphが北朝鮮と疑われるワーカーの摘発に関わったのは、これが初めてではない。2025年2月、García氏とCointelegraphは、「Motoki」と名乗る疑わしい人物との採用面接を実施した。この開発者は自分を日本人だと主張したが、母語で自己紹介するよう求められると、面接を突然打ち切った。

それでもGarcía氏は連絡を取り続けた。やがてMotokiは、遠隔でアクセスできるコンピューターを購入するための資金をGarcía氏に送ると申し出た。これにより、雇用主やフリーランス・プラットフォームの制限を回避するためにVPNで接続する代わりに、ローカル端末を通じて作業できるようにする狙いだった。

関連: ソニーからBybitまで: Lazarus Groupはいかにして暗号資産界の悪役になったのか

García氏はその後、本人確認済みアカウント、身元情報、コンピューターへの遠隔アクセスを提供するためにフリーランサーを勧誘する北朝鮮の工作員について記録した。この手口の一形態では、工作員は米国内に物理的にある端末を使い、雇用主やフリーランス・プラットフォームに対して米国ベースの契約者のように見せかけていた。

5月には、北朝鮮側が遠隔でアクセスできるコンピューター群を管理していた米国人2人、いわゆる「laptop farmers」が、DPRKのITワーカーが米国在住の従業員を装うのを助けたとして、18か月の禁錮刑を言い渡された。これらの計画は120万ドル超を生み、約70社に影響を与えた。

Ballena Azulを崩壊させる

偽装はいつか終わらせなければならない。そこで研究者たちは、「Benito Camella」をBallena Azulの共同創業者として登場させた。彼は会社が拡大する間、ミラノで別の仕事に専念していたことになっていた。

戻ってきたCamellaは、身元や書類の不一致をめぐってワーカーたちを追及した。追及が始まると、チャットルームは急速に静かになった。Espreeは最初にビデオ通話から離れ、Andersonは、計画が崩れ始めていることを理解するまでしばらく残っていた。

「Mr. Anderson、二つの人生を送っているのですか？」と、追及の場面でCamellaがJack Andersonに問いかける。出典: ANY.RUN

しかし研究者たちは、会合が終わった後も欺瞞を続けた。会社のTelegramチャンネルでは、「CEO」が「Andy Jones」を「違法労働者」を連れ込んで会社を危険にさらしたと非難した。これに対し「Jones」は、急いでチームを作るよう圧力を受けており、そのための報酬も十分ではなかったと応じた。彼は、与えられた条件の中で最善を尽くしたと主張した。

この演出された口論は、偽のCEOが業務上の関係と友情の双方を解消する形で締めくくられ、Ballena Azulが悲惨な採用判断のせいで崩壊したという見せかけを維持した。

後に、疑われる北朝鮮側の1人がGarcía氏に個人的に連絡し、起きたことを謝罪し、無事かどうかを尋ねた。

研究者によれば、その後、他のメンバーからは二度と連絡がなかった。

研究者たちは、疑われるワーカーたちは、自分たちから情報を引き出すために作られた環境の中で何週間も無駄に働いていたことを、今も知らないのだという。

Magazine: Coldcardへの攻撃は、すべてのハードウェアウォレットが今や安全ではないことを意味するのか？

編集注: Cointelegraphは、疑われるDPRK ITワーカーの国籍や所属を独自に確認できておらず、政府機関も公に特定していない。