北朝鮮IT労働者の日常が流出データで明るみに。管理体制から英語のやりとりまで

就職活動とは、何時間もかけて求人をチェックし、履歴書を調整し、理解しがたいリクルーターとやり取りをする骨の折れる作業だ。それさえも、面接に進む前の段階にすぎない。だが、おそらく世界で最も多くの仕事に応募し、かつ最も粘り強い応募者の一部は、実は北朝鮮の大規模なIT労働者計画の人々だろう。

金正恩政権はここ数年間にわたり、熟練したコーダーを国外に送り出し、リモートワークを獲得させては国への送金を課してきた。国連の推計によると、この大規模な計画により、毎年数千人のIT労働者が総額2億5,000万〜6億ドルを得ているという。

先月、あるサイバーセキュリティ研究者が入手した膨大なデータによって、北朝鮮のIT労働者とされるあるグループが、どのように業務を運営し、金稼ぎの計画を緻密に立てていたのかが明らかになってきた。米政府によると、詐欺的IT労働者による収益は、北朝鮮の大量破壊兵器や弾道ミサイル開発にも利用されている。流出したGoogle、GitHub、Slackのアカウントに関連するメール、スプレッドシート、文書、チャットメッセージには、潜在的な職場の追跡、進行中の求人応募の記録、収益の管理など、細部に至るまでの丹念な作業記録が残っていた。

膨大なデータには、北朝鮮IT労働者の日常を垣間見せるだけでなく、就職申請に使われる可能性のある偽ID、サンプル用カバーレター、ラップトップファームの詳細、オンラインアカウント作成マニュアルなども含まれる。そしてこの情報は、北朝鮮がGoogle、Slack、GitHubといった米国発のテックサービスにいかに依存しているかも改めて示している。

北朝鮮IT労働者の実態

「労働者たちの（業務）の中身や働きぶりを確認できるのは、これが初めてだと思います」。SttyKというハンドルネームを使うサイバーセキュリティ研究者はこう語る。プライバシーと安全の理由から、研究者は匿名を希望している。

ラスベガスで8月に開催されたデジタルセキュリティカンファレンス「Black Hat」でプレゼンテーションをしたSttyKは、匿名の情報提供者を通じて、北朝鮮IT労働者のオンラインアカウントからのデータを取得したのだという。「データは数十ギガバイトに及び、メールも数千通ありました」と話すSttyKは、会議の前に『WIRED』に発表内容を共有した。

近年、北朝鮮のIT労働者たちは、Fortune 500に入る大企業や多数のテック・暗号通貨会社、さらには無数の小規模事業にまで浸透している。すべてのITチームが同じ手法を用いるわけではないが、多くは偽の身元や盗用した身元を使って仕事を得ており、デジタル上の足跡を隠す手助けをする仲介者も活用している。

北朝鮮のIT労働者は多くの場合、ロシアや中国に拠点を置き、北朝鮮国内で基本的人権を享受できない数百万の人々よりも自由な生活を許されている。プールパーティーや高級ステーキディナーを楽しむ姿も確認されている。かつてIT労働者として働いていた北朝鮮脱北者は『BBC』に対して、得た不正収入の85％が北朝鮮に送金されていたと語った。「それでも、北朝鮮にいた頃よりはずっとマシでした」とその人物は述べていた。

スプレッドシートで管理

SttyKが入手したデータに含まれる複数のスプレッドシートのスクリーンショットからは、IT労働者が、それぞれ約12名で構成される12のグループに分かれていることがわかる。そして、全体を統括する「マスターボス」が存在する様子が示されている。これらのスプレッドシートは、仕事や予算を追跡するために体系的に作成されており、各グループのデータを詳細に分析するサマリーや分析タブも備えられている。行や列は整然と埋められ、定期的に更新・管理されていると見られる。

これらの表にはまず、IT労働者が狙う潜在的な職種を示している。あるシートには日々更新されていると思われる情報があり、職務内容（「ReactおよびWeb3開発者が必要」など）、募集企業、勤務地が記載され、また、フリーランスサイト上の求人リンクや採用担当者の連絡先もそこには掲載されている。「ステータス」欄には、「待機中」か「連絡済み」かが記されている。

『WIRED』が確認したスプレッドシートのスクリーンショットには、IT労働者自身の実名と思われるリストが掲載されている。それぞれの名前の横には、所有するとされるコンピュータのメーカーやモデル、モニター、ハードドライブ、各機器のシリアル番号も登録されている。名前が記載されていない「マスターボス」は、34インチのモニターと500GBのハードドライブを2台使用しているようだ。

SttyKが確認したデータの「分析」ページのひとつには、この詐欺グループが関わっている作業の種類が一覧で示されている：AI、ブロックチェーン、Webスクレイピング、ボット開発、モバイルアプリ・Web開発、トレーディング、CMS開発、デスクトップアプリ開発、そして「その他」。各カテゴリには想定予算と「総支払額」の欄が設けられている。あるスプレッドシートの12個のグラフには、支払われた額、収益性の高い地域、支払いが週単位・月単位・固定額のどれで最も効率的かが追跡されていると記されている。

「プロフェッショナル」な運営

「非常にプロフェッショナルに運営されています」と、北朝鮮のハッキングや脅威の研究で知られる、インサイダースレット専門セキュリティ企業DTEXのマイケル“バーニ”・バーンハートは言う。「全員がノルマを達成しなければならないようです。すべてをとても細かく記録し、メモする必要があるようです」と説明する。

バーンハートは、近年数十億ドル相当の暗号資産を盗んだ北朝鮮の高度なハッキンググループでも、同レベルの詳細な記録管理が行なわれているのを確認しているが、これはIT労働者のスキームとは別物であるという。バーンハートはSttyKが取得したデータを確認しており、自身やほかの研究者が追跡していた情報と重複していると語る。

サイバーセキュリティ企業Palo Alto NetworksのUnit 42脅威情報チームで、コンサルティング・シニアマネージャーを務めるエヴァン・ゴーデンカーもSttyKが取得したデータを確認し、「データ自体は非常に信頼できるものだと思います」と語る。ゴーデンカーによれば、同社はデータ内の複数のアカウントを追跡しており、以前、目立つGitHubアカウントのひとつがIT労働者のファイルを公開していたこともあったという。北朝鮮に関連するとみられるメールアドレスはいずれも、『WIRED』の取材に返信しなかった。

『WIRED』が取材をした後、GitHubは3つの開発者アカウントを削除した。同社のサイバーセキュリティ・オンライン安全責任者ラジ・ラウドによると、これらのアカウントは「スパムや不正行為」に関する規定に従い、停止されたという。「こうした国家による脅威活動の蔓延は、業界全体の課題であり、複雑な問題として、真剣に取り組んでいます」とラウドは話している。

テック企業の対応

グーグルは、アカウントのプライバシーとセキュリティに関する方針を理由に、『WIRED』に提供された特定のアカウントについてコメントを控えている。「わたしたちはこれらの活動を検知し、捜査当局に報告するためのプロセスと方針を整備しています」と、グーグルの検知・対応ディレクター、マイク・シンノは言う。「これには、不正行為への対応、対象組織への積極的な通知、公共・民間のパートナーシップとの協力による脅威情報の共有が含まれます。これにより、こうした活動への防御力を強化しています」

Slackの親会社Salesforceの企業広報シニアディレクター、アレン・ツァイは「制裁対象の個人や団体によるSlackの使用を禁止する厳格な方針があり、これに違反する活動を確認した場合は迅速に対応しています」と語る。「わたしたちは法に基づいて捜査当局や関連当局と協力しており、特定のアカウントや進行中の調査についてはコメントしません」

コピー&ペーストの作業

別のスプレッドシートには、メンバーが「KUT」という"ユニット"に所属していると記されている。これは北朝鮮の金策工業総合大学（Kim Chaek University of Technology）の略称である可能性があり、米国政府も北朝鮮関連IT労働者に関する警告で、この大学名に言及している。また、スプレッドシートの「所有権」欄には「リョンボン」と記されており、これは2005年に米国が、そして2009年に国連が制裁を課した防衛企業「Korea Ryonbong General Corporation」を指す可能性が高い。

「（IT労働者）の大多数は、北朝鮮の国連禁止の大量破壊兵器や弾道ミサイル計画、さらに先進的な通常兵器開発や貿易部門に直接関与する組織の指揮下で働いています」と、米国財務省は2022年5月の報告書に記している。

研究者が特定したIT労働者に関連するGitHubやLinkedInのアカウント、履歴書、ポートフォリオサイトには、明確なパターンが頻繁に見られる。メールアドレスやアカウント名には同じものが使われ、履歴書の内容もほぼ同一に見えることがある。「履歴書の内容の再利用も、これらのプロフィールで頻繁に見られます」と、サイバーセキュリティ企業Nisosで北朝鮮IT労働者の人物像を追跡しているシニアリサーチャー、ベンジャミン・レイセンバーグは語る。

レイセンバーグによると、詐欺師たちは画像加工、ビデオ通話、スクリプト作成にAIを活用することも増えているという。「ポートフォリオサイトではテンプレートを使用し、同じテンプレートを何度も繰り返し使用しているのを確認しています」と彼は語る。

そしてこれらはすべて、金正恩政権の犯罪計画を運営するIT労働者の日常業務の一部を物語っているようだ。「コピー&ペーストの作業が大半です」と、Unit 42のゴーデンカーは語る。ゴーデンカーが追跡した疑わしいIT労働者のひとりは、119の異なる身元を使用していた。「日本の名前ジェネレーターをGoogle 検索し（もちろん、綴りを間違えたりしながら）、約4時間かけて、スプレッドシートに名前やターゲットになりうる場所をひたすら入力していました」

やりとりはすべて英語

しかし、詳細な文書管理には別の目的もある。それは、IT労働者と彼らの行動を追跡することである。「資金が実際に指導層の手に渡ると多くの複雑な要素が動くため、正確な数字が必要になります」とDTEXのバーンハートは言う。一部では、詐欺師の端末に従業員監視ソフトが使用されていることが確認されている。また、IT労働者計画の北朝鮮人は、就職面接で金正恩についての質問には答えないと研究者たちは指摘する。

SttyKによると、Slackチャンネル内でIT労働者の日常活動を示す数十の画面録画を確認したという。Slackのスクリーンショットでは、「ボス」アカウントがメッセージを送信している：「@channel: 全員、1日最低14時間以上働くようにしてください。」次のメッセージには、「このタイムトラックにはアイドリング時間も含まれています」と記されている。

「興味深いことに、彼らのコミュニケーションはすべて英語で行なわれています。朝鮮半島の言語ではありません」とSttyKは語る。研究者やほかの専門家は、これにはいくつかの理由があると推測している。第一に、正規の活動に紛れ込むため。第二に、応募や面接のために英語力を向上させるためである。SttyKは、Googleアカウントのデータによると、メッセージ処理にオンライン翻訳を頻繁に使用していたことが示されているという。

SttyKが入手したデータからは、IT労働者が自身の仕事のパフォーマンスどうトラッキングしているのかわかるだけではなく、個々の詐欺師たちの日常生活についても手がかりが得られる。あるスプレッドシートには、IT労働者が計画していたと思われるバレーボール大会が記載されていた。Slackチャンネルでは、誕生日を祝ったり、人気Instagramアカウントからの励まし系ミームを共有したりしていた。いくつかの画面録画では、ゲームの「カウンターストライク」をプレイしている様子も確認できたという。「メンバー間の強い団結力を感じました」とSttyKは語る。

(Originally published on wired.com translated by Miranda Remington, edited by Mamiko Nakano)

※『WIRED』によるサイバーセキュリティに関する記事はこちら。

北朝鮮にあなたの仕事が奪われている

北朝鮮は密かに若いIT労働者を西側企業に送り込んできた。AIの進歩で、その手口はかつてないほど巧妙かつ効果的になっている。

北朝鮮の暗号資産強盗「TraderTraitor」、その世界最強の手口

DMMから3億ドルを盗み出すなど大規模な暗号資産窃盗に関与してきた北朝鮮のTraderTraitorが、今度は15億ドルもの巨額のデジタルトークンを強盗した。

「バイブハッキング」──AIがもたらす次なる悪夢

AIの進化により、誰もが簡単にコードを生成できるようになった一方で、悪用のリスクも高まっている。未経験者でもマルウェアを扱える時代が到来しつつあるが、真の脅威となるのは、AIを使いこなす熟練ハッカーの存在である。

気鋭のAI研究者たちやユヴァル・ノア・ハラリが語る「人類とAGIの未来」。伝説のゲームクリエイター・小島秀夫や小説家・川上未映子の「創作にかける思い」。大阪・関西万博で壮大なビジョンを実現した建築家・藤本壮介やアーティストの落合陽一。ビル・ゲイツの回顧録。さらには不老不死を追い求める富豪のブライアン・ジョンソン、パリ五輪金メダリストのBガール・AMIまで──。未来をつくるヴォイスが、ここに。グローバルメディア『WIRED』が総力を結集し、世界を動かす“本音”を届ける人気シリーズ「The Big Interview」の決定版！！詳細はこちら。