採用面接の向こう側に、国家ハッカーがいる
テック業界を狙った国家支援型サイバー攻撃の約半数が、北朝鮮の工作員によるものだった。セキュリティ大手CrowdStrikeが6月9日に公開した年次レポートが、その実態を数字で裏付けた。偽の履歴書、偽の顔、偽の国籍。AIで武装した工作員は採用プロセスから企業の内側に入り込み、給料をもらいながら情報を盗んでいる。
テック業界の侵入、47%が北朝鮮
CrowdStrikeの「2026 Technology Threat Landscape Report」は、2025年4月1日から2026年3月31日までの1年間を対象としたレポートだ。280以上の脅威グループを追跡するCounter Adversary Operationsチームが、テクノロジー業界に対する国家支援型の「ハンズオン・キーボード」侵入（ハッカーが手動で操作する攻撃）を集計した結果、47%を北朝鮮関連のFAMOUS CHOLLIMAが占めた。
テック業界全体でみれば、国家支援型の標的型侵入の58%超は中国系グループによるものだ。だが、人間が直接キーボードを叩いて侵入する攻撃に限ると、北朝鮮が突出する。自動化されたマルウェアではなく、盗んだ認証情報で正規ツールを悪用し、長期間にわたって居座る。従来のセキュリティツールでは検知しにくい、まさに「中にいる敵」の手口だ。
ディープフェイクで面接を突破する
FAMOUS CHOLLIMAの戦略は、一見すると地味に見える。リモートワークの求人に応募する。それだけだ。
ただし、その応募者は存在しない人物だ。AIで生成したリアルタイムのディープフェイク映像で他人の顔を被り、盗んだパスポートや免許証で米国人やその他の外国籍を偽装する。北朝鮮は核開発を理由に厳しい国際制裁を受けており、正規の就労ルートが閉ざされているからこそ、偽装に全力を注ぐ。
採用されれば、給料は北朝鮮政権に送金される。同時に、社内の知的財産や機密情報を窃取する。発覚して解雇されそうになると、盗んだデータを盾に身代金を要求するケースもあるという。「採用」が攻撃の始まりであり、「解雇」が恐喝の始まりになる。
CrowdStrikeによると、被害は北米だけでなく、欧州とアジアにも広がっている。
暗号資産20億ドル、史上最悪の1年
もうひとつの柱が暗号資産の窃取だ。ブロックチェーン分析企業Chainalysisの報告によると、北朝鮮は2025年に約20億2000万ドル（前年比51%増）の暗号資産を盗み、累計で67億5000万ドルに達した。2025年2月にはBybit（拠点はドバイ）から約15億ドルが窃取され、単一の事件としては史上最大となった。
日本でも2024年5月、DMMビットコインから約482億円相当のビットコインが流出した。警察庁とFBIはこの事件について、北朝鮮の攻撃集団TraderTraitor（トレイダートレイター、ラザルスグループ傘下）の関与を特定している。ここでも入口は採用だった。LinkedInでリクルーターを装い、暗号資産の管理を委託していたGincoのエンジニアに接触。「採用試験」を装った悪意あるスクリプトのURLを送りつけ、そこからシステムへ侵入した。
西側の銀行システムを使えない北朝鮮にとって、暗号資産は制裁を迂回する生命線であり、その資金は核・ミサイル開発に充てられているとされる。
開発者のサプライチェーンも標的に
今回のレポートでは、もうひとつ注目すべき事象がある。
2026年3月31日、北朝鮮関連とみられるSTARDUST CHOLLIMAが、JavaScriptのHTTPクライアントライブラリ「Axios」のnpmパッケージを侵害した。週間ダウンロード数が1億を超えるこのパッケージに、盗んだメンテナーの認証情報を使って悪意あるコードが注入された。CrowdStrikeはこの攻撃をSTARDUST CHOLLIMAによるものと中程度の確信度で評価している。Axiosはウェブアプリケーションの基盤ともいえる存在で、その影響範囲は極めて広い。
北朝鮮とは別に、ロシアに拠点があるとみられるGlasswormボットネットも脅威だ。2025年初頭からVS Code拡張機能やnpm、Pythonパッケージを経由して開発者を標的にし、300件以上のGitHubリポジトリに悪意あるコードを注入した。CrowdStrikeはGoogle、Shadowserver Foundationと連携し、5月26日にGlasswormのC2チャネル4系統すべてを同時に遮断している。
開発者は単にコードを書く人ではない。ソースコードリポジトリ、CI/CDパイプライン、クラウド基盤へのアクセス権を持つ、攻撃者にとって最も価値の高い標的だ。信頼されたパッケージが汚染されれば、そこから先のすべてが危うくなる。
「偽の同僚」は日本にもいる
この問題は遠い国の話ではない。
2025年4月、警視庁公安部は北朝鮮のIT労働者とみられる人物へのなりすまし就労を幇助した疑いで、日本人男性2人を書類送検した。免許証と銀行口座情報を提供してクラウドソーシングサイトへの不正登録を手助けした容疑だ。2024年3月には警察庁が北朝鮮IT労働者による偽装就労に関する注意喚起を発出しており、2026年3月には日本のIT企業のオンライン面接で、ディープフェイクが疑われる応募者の存在が報告されている。
国連安全保障理事会の専門家パネルは、北朝鮮のIT労働者が国内に約1000人、国外に約3000人いると推定する。彼らは年間推定2億5000万〜6億ドルを稼ぎ出しているとされ、その資金は大量破壊兵器の開発に回る。
2024年5月 DMMビットコイン流出 DMMビットコインから約482億円のビットコインが流出 2025年2月 Bybit 史上最大の窃取 Bybitから約15億ドルの暗号資産が流出。史上最大の単一窃取事件 2026年3月 Axiosのnpmパッケージ侵害 北朝鮮関連グループが侵害。週間DL数1億超 2026年5月 Glasswormボットネット遮断 CrowdStrike・Google・ Shadowserver Foundationが共同で遮断 2026年6月 CrowdStrikeがレポート公開 テック業界への国家支援型手動侵入の47%が北朝鮮と報告 |
リモートワークの普及は、北朝鮮の工作員にとって追い風だった。画面越しの相手が本人かどうか、従来の採用プロセスでは確認しきれない。
CrowdStrikeのアダム・マイヤーズ（Adam Meyers）氏は、レポートの中で「テクノロジー企業は世界で最も価値があり、最も狙われる資産を構築している」と指摘した。AIの革新が生む競争優位は、そのまま新たな攻撃面でもある。
企業が守るべきものは、サーバーやネットワークだけではなくなった。採用プロセス、開発環境、そしてオープンソースの信頼そのものが、国家レベルの攻撃に晒されている。面接でカメラの向こうにいる人物が「誰であるか」を確認すること。それがサイバーセキュリティの最前線になった現実を、このレポートは突きつけている。
参照元：CrowdStrike 2026 Technology Threat Landscape Report
他参照：CrowdStrike — STARDUST CHOLLIMA Likely Compromises Axios npm Package
