米司法省は2026年10月14日、北朝鮮による不正なリモートIT労働者スキームに関連して14人を起訴し、約187台のコンピューターを押収したと発表した。起訴状によると、この計画は70社を超える米国企業に影響を及ぼし、テキサス州で40カ所を超える「ラップトップ農場」が2026年9月21日から25日にかけての捜索で解体された。
事案の詳細
今回の事件では、米国人および中国国籍者を含む14人が、北朝鮮系の不正なIT労働者スキームに関与したとして起訴された。容疑には、電信詐欺共謀、マネーロンダリング共謀、個人情報窃盗共謀、加重個人情報窃盗が含まれる。計画は2019年頃から2025年7月まで続いていたとされる。
司法当局が摘発した「ラップトップ農場（laptop farm）」は、雇用企業から送られた業務用ノートPCを米国内の拠点に集め、実際の就労者が国外など別の場所から遠隔操作するための拠点だったとされる。これにより、雇用主に対して労働者が米国内から勤務しているように見せかけ、本人確認や所在地確認を回避していた。
起訴された人物には、中国・遼寧省や丹東市などに居住地が記載された者のほか、米国籍のMichael James Bostelle（31歳、ペンシルベニア州フィラデルフィア）とJuan Cecilio Pena Carrillo（37歳、テキサス州サンファン）が含まれる。米国人2人は逮捕された一方、その他の被告は現時点で逃亡中とされる。起訴状には共謀者としてTrey Michael Nolteの名前も記載されているが、同人は起訴されていない。
この種の不正は、単なる経歴や所在地の偽装にとどまらない。攻撃者側が正規の採用手続きを通じて企業ネットワーク、ソースコード、顧客情報などへのアクセス権を得ることで、情報窃取や追加の不正行為につながる可能性がある。今回の事案では70社を超える米国企業が影響を受けたとされており、採用・委託時の本人確認とアクセス管理がサイバーセキュリティ上の重要な防御線となっている。
日本への影響
この手口は、米国特有の問題に限られない。日本の中小企業でも、リモート採用や業務委託を通じて、開発、運用、デザイン、カスタマーサポートなどを外部人材に任せ、社内システムのIDや開発環境への権限を付与する場面が増えている。本人確認、実際の就労場所、再委託の有無を確認できなければ、海外の不正者が日本企業のアカウントを足掛かりに情報窃取、不正送金、取引先への攻撃を行うリスクがある。
対策・今後の展望
- 採用・委託の本人確認を強化：面談をビデオ通話だけで完結させず、身分証の真正性、顔との一致、経歴、過去の勤務実績を確認する。採用後も、契約上の本人と実際の作業者が一致しているかを定期的に確認する。
- 端末とアクセスの管理：業務端末を資産管理台帳に登録し、端末の所在と利用者を把握する。ログインには多要素認証を必須化し、管理者権限は最小限かつ期限付きで付与する。
- 不審なサインの検知：深夜帯の常態的なログイン、接続元IPアドレスや地域の頻繁な変化、同一端末や接続元から複数アカウントが利用される状況などを監視する。異常を検知した際に、アカウント停止や権限剥奪を直ちに実行できる手順も整備する。
- 委託先・フリーランスの運用ルール：契約書に再委託の禁止または事前申告義務、端末の所在と管理方法、作業場所の制約、認証情報の共有禁止、情報持ち出し禁止を明記し、違反時の契約解除や損害賠償などの措置を定める。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】MDRや診断の現場では、外部委託アカウントの深夜帯における継続的な利用、接続元の国・回線の頻繁な切り替え、同一端末や接続元からの複数アカウント利用などが兆候として現れる可能性があります。ただし、これらは単独では不正の確証にならないため、契約情報、本人確認記録、端末管理情報、認証ログを突き合わせて判断する必要があります。
【観点②：平易な解説】例えるなら、会社の合鍵を渡した相手が本人だと思っていたところ、実際には別人が裏で出入りしていたようなものです。採用や委託の入口で本人確認や再委託管理を誤ると、社内の情報や業務システムに正規利用者としてアクセスされるおそれがあります。
【観点③：今週中にできること】まず、外部委託者、退職者、休眠利用者を含む全アカウントを棚卸しし、不要なIDを停止します。次に、管理者、メール、VPN、クラウド、開発環境のアカウントへ多要素認証を優先的に適用します。最後に、再委託の禁止または申告義務、作業端末の所在、接続元の申告を担当者と委託先に周知してください。
参照: U.S. Shuts Down Over 40 Laptop Farms, Charges 14 in North Korean IT Worker Fraud