グローバル人事 のための北朝鮮IT労働者リスク対策：不正雇用とサイバー脅威を防ぐ部門横断ガイド

世界中の企業における グローバル人事 部門は、北朝鮮のIT労働者がフリーランス契約を狙って接触してくるというセキュリティ上のリスクが高まっていることに注意する必要があります。彼らはしばしば、米国や北朝鮮以外の国から来たと偽って申告し、表向きは通常のIT業務に従事します。しかし、こうした行為は米国および国連によって禁止されており、もし誤って雇ってしまえば企業に深刻な影響を及ぼしかねません。さらに、彼らは業務を通じて機密性の高いシステムやデータへの特権的なアクセスを得ることがあり、それがサイバー攻撃やスパイ活動など悪意ある目的に利用される恐れがあります。グローバル人事 部門は採用、選考、入社手続き、労務管理を担うことが多いため、こうした不正な雇用・契約を防止する上で重要な役割を担っています。一方で、こうしたリスクを効果的に管理するには部門横断的な取り組みが不可欠であり、グローバル人事 部門は法務・IT・コンプライアンス・セキュリティの各部門と緊密に連携し、本人確認の実施、デューデリジェンス、アクセス管理の権限に加え、雇用・契約期間を通じて、法務リスク・コンプライアンスリスクおよびサイバーセキュリティリスクを継続的に監視する必要があります。本稿では、この不正行為の仕組みや潜在的リスク、注意すべき兆候、そして人事担当者が取るべき防御策について解説します。 

脅威の評価 

　米国連邦政府はこの問題を追跡し、長年にわたり指針を示してきました。確認された脅威やその影響については、2022年5月16日、2023年10月18日、2024年5月16日、2025年1月23日の発表をご覧ください。 

　特に、北朝鮮のIT労働者は、米国内の個人と協力して、以下のような形で支援を受けています。 

• 米国内のインターネット接続を利用する 

• 会社支給のノートPCを受け取り海外に発送する 

• 金融口座を開設する 

• 詐欺労働者の代わりにバーチャル面接や会議に出席する 

• 米国内でフロント企業を設立し、短期契約の技術者を提供しているように装う 

　 FBIが2025年1月に発表した指針では、こうした偽装労働者が組織内で見つかった場合、加えて、恐喝やデータ窃取のリスクも指摘されています。これは資金を得るための「最後の手段」とも言える行為であり、採用段階で不正なフリーランスを確実に排除する必要がある、もう一つの理由となっています。 

　この脅威はどの程度広がっているのでしょうか。こうした詐欺行為は非常に広範囲に及ぶ可能性があります。例えば、2025年1月23日、米国司法省はこのスキームに関与した北朝鮮人2名と協力者3名を起訴したと発表しました。調査によれば、彼らは2018年から2024年の間に少なくとも64社の米国企業から仕事をだまし取っていたとみられています。 

制裁リスクと報告 

　たとえ意図せずとも北朝鮮のITフリーランスを雇用してしまうと、重大な信用上・法的な結果を招く可能性があります。米国財務省外国資産管理室（OFAC）は、詐欺で得られた資金が北朝鮮政府に送金され、大量破壊兵器や弾道ミサイル計画に利用されているとして、企業に対し制裁を課してきました。 

　OFACは「特別指定国民（SDN）リスト」に掲載された個人や団体との取引を禁止しており、その中には特定のサイバー犯罪グループも含まれています。 

　たとえ意図せずに制裁対象者へ支払いをしてしまった場合でも、組織は厳しい罰則や信用失墜といった重大な制裁を受ける可能性があります。これは、OFACの制裁が「厳格責任」の原則に基づいて執行されるためであり、違反する意図がなかったり、制裁の存在を知らなかったとしても民事責任を問われる可能性があるからです。ただし、刑事責任については、故意、つまり共謀や違反の試みといった意図的な行為が必要とされます。 

　ただし、法執行機関への報告や協力は、制裁対象への支払いに関連して発生する可能性のある処分において、情状を考慮する要素となる場合があります。FBIは企業に対し、不審な活動をインターネット犯罪苦情センター（IC3）へ報告するよう呼びかけています。 

注意すべきレッドフラッグ 

　詐欺を見抜くにはどうすればよいのでしょうか。指針では以下のような兆候が例として示されています。 

• 不規則なアカウントアクセスのパターン 

• 関連口座間での資金移動 

• 仮想通貨での支払い要求 

• リモートデスクトップソフトの頻繁な使用 

• 文書テンプレートの繰り返し使用 

• ビデオ面接でカメラに映ろうとしない、または映れない、あるいはビデオ会議中に矛盾がある（例：時間や場所の不一致など） 

• 通常の勤務時間に業務を行えない 

• SNSプロフィールが履歴書と一致しない 

• 自宅住所が頻繁に変わる 

リスクを減らす方法 

　北朝鮮のIT労働者によるリスクは、こうした不正行為の被害者にならないために、適切なスクリーニングを行うことの重要性を示しています。企業がリモートワーカー、フリーランス、業務委託先を活用する機会が増える中、人事部門は、契約や採用を行う前に潜在的な警戒すべき兆候を見極めるうえで重要な役割を担っています。既存の採用プロセスに、より厳格なデューデリジェンスや本人確認手続きを組み込むことで、組織はこうした潜在的リスクにさらされる可能性を低減することができます。以下のような取り組みを検討してください。 

採用・契約前： 

• 人事スタッフや採用担当者に対しこの脅威について教育する 

• 外部の人材会社を利用する場合は、その身元調査プロセスについて文書を要求する 

• 候補者から同意書を取得し、企業が直接調査できるようにする 

• 学歴や職歴を、候補者が提供した連絡先ではなく独自に調査した情報を使って確認する 

• 口座情報が記載された無効化済みの小切手または金融機関が発行した証明書類の提出を求め、口座番号及び金融機関コード等が実在する金融機関のものであることを確認する 

• 政府発行の身分証明書は偽造される可能性があるため、これだけに頼るのではなく、多要素認証を利用して本人確認を行う。具体的には、生体認証（顔認識や指紋）、ビデオ面接、確認コード、データベース照合などを組み合わせて確認する　 

• 可能であれば、対面で面接する 

• 面接にはビデオを活用し、提出された身分証明書と本人の外見、所在地、背景に矛盾がないかを確認する。注意すべき点として、北朝鮮のサイバー犯罪者はAIディープフェイク技術を使って身元を偽装し、組織に入り込む手口を高度化させている。この脅威についての詳細は関連資料をご参照ください 

• ビデオによる本人確認の際には、候補者に身分証明書を実際に提示させる 

契約期間中： 

• 会社のデバイスは受領時に署名を確認した上で、指定の勤務地のみに送付する 

採用・契約開始後： 

• セキュリティを強化し、請負業者の位置情報を確認するためのツールを活用する： 

• 社員のログインアドレスと一致しているか確認するため、会社支給のノートPCの位置情報を定期的に追跡する 

• 請負業者がVPN、プロキシ、特定のネットワークを使って所在地を隠していないか確認する 

• ネットワーク監視ツールやエンドポイント検知ソフトを導入し、IPアドレスの変更やリモートアクセスを監視して、ログインが承認済みの場所から行われていることを確認する 

• ジオフェンシング（位置情報によるアクセス制限）ソフトを導入して、利用可能な地域を限定する 

• 多要素認証と位置情報ベースの認証を組み合わせて利用する 

• 「ゼロトラスト」や「Need-to-Know」ポリシーを適用し、必要な場合にのみ機密情報へのアクセスを許可する 

• コードをレビューし、不適切に再利用されていないか、承認されていない場所から持ち込まれていないか、またはコードやデータが予期せず外部に持ち出されていないかを確認する 

結論 

　さらなる情報については、Fisher Phillipsの担当弁護士、本記事の著者、またはデータ保護・サイバーセキュリティチームにご相談ください。同チームは、組織がこの種の詐欺を防止するための事前対策を講じる際の支援に加え、詐欺が疑われる場合のサポートも提供しています。 

　Fisher Phillipsは、今後もこの分野の動向を注視し、必要に応じて最新情報をお知らせします。最新情報を直接受け取るため、ぜひ「 Fisher Phillips Insight System 」にご登録ください。また、この分野における役立つ追加リソースについては、FPの「U.S. Consumer Privacy Hub」もご覧ください。 

Profile 

Daniel Pepper, Fisher Phillips法律事務所パートナー（コロラド州デンバー市） 

Jillian Seifrit, Fisher Phillips法律事務所アソシエイト（ペンシルバニア州フィラデルフィア市） 

原文：https://www.fisherphillips.com/en/news-insights/north-korean-scammers-are-posing-as-it-freelancers.html