北朝鮮は、第三国の協力者を使って工作員が採用面接を通過し、本人確認を回避できるようにすることで、米国や世界のテクノロジー企業に偽のIT労働者を送り込む長年の作戦を拡大している。

JUST IN: North Korea is reportedly using foreign workers to help its operatives infiltrate U.S. companies through fake remote job applications. pic.twitter.com/m3D3TJQ43R — EyeWhales (@EyeWhales) September 12, 2026

米国当局者とサイバーセキュリティ研究者の話を引用した2026年9月11日付のNBC News報道によると、このネットワークには現在、ナイジェリア、南アフリカ、イラン、インド、ラテンアメリカの一部の協力者が含まれている。

基本的な手法は、北朝鮮のIT労働者が外国企業のリモート技術職に応募するというものだ。契約が成立すると、通常は北朝鮮の工作員がその職務を引き継み、そこで得られた給与は平壌に送られる。この資金は、北朝鮮の兵器開発計画を含む制裁対象の計画を支えているとみられている。

第三国の協力者を利用することで、採用プロセスに登場する人物と、最終的に業務を遂行する人物が分離される。雇用主が契約業務を実際に誰が行っているのか確認しなければ、通常の面接に基づく本人確認の信頼性は低下する。

協力者の採用方法

サイバーセキュリティ企業Flareは、北朝鮮の工作員がLinkedInなどのプラットフォームで開発者を探していることを確認した。一部のケースでは、協力者に「面接アソシエイト」として月約$500が提示されている。協力者は実際の応募者になりすまし、採用面接でカメラに映る。

研究者が確認したメッセージの一つで、北朝鮮の工作員は見込み協力者に次のように伝えていた。「あなたは制裁対象国の出身です。それでもこの仕事に関心があるなら、他人の身元で働くことに抵抗がないか確認する必要があります」

イランが標的になっている理由の一つは、国内の開発者が自国に対する制裁のため国際的な仕事へのアクセスを制限されていることだ。その制約により、一部の開発者はこうした取り決めを受け入れやすくなっている可能性がある。

サイバーセキュリティ企業のKudelski SecurityとDTEXはそれぞれ、南アフリカ、シリア、イラン、ナイジェリア、パキスタン、ラテンアメリカの一部の開発者が、このネットワークを通じて接触を受けたことを確認した。

作戦の規模

国連は、北朝鮮のリモートIT労働者計画が年間最大$600 millionを生み出していると推定している。米国主導の制裁監視評価では、2024年の金額は最大$800 millionに達するとされた。

より広範な米国情報機関の評価では、IT労働者計画や暗号資産窃盗を含む北朝鮮のサイバー活動による年間総収入は、少なくとも$1 billionと推定されている。リモート労働者を利用する計画だけでも、年間$600 millionから$800 millionを生み出すと推定されている。

2026年5月、サイバーセキュリティ企業CrowdStrikeは、北朝鮮と関係のある国家支援ハッカーが2025年に$2 billionを超える暗号資産の損失をもたらしたと報告した。これは前年比51%の増加に当たる。

韓国銀行によると、北朝鮮の国内総生産（GDP）は、国際制裁が続く中でも2025年に推定3.5%成長した。

2026年7月、米国務省と司法省は外国機関と共同で警告を発表し、北朝鮮が国外の人々を採用して工作員の身元を隠すため、「ますます巧妙な」手口を使っていると指摘した。

ブロックチェーン企業のConsensysは以前、知らないうちに北朝鮮の工作員へ開発業務を外部委託していたと明らかにしている。