AIで作った「人物」が企業に潜り込む――北朝鮮系PurpleDelta、1,100社超のリモート求人に応募

AIは、応募先に合わせた書類の調整や、採用プロセスの各段階で説明のつじつまを合わせる作業を支援したとみられる。ビデオ面接では、リアルタイムの文字起こしやAIが生成した回答を使ったケースも報告されている。また、翻訳ツールを使い、意思疎通や言語の問題を説明する文章を用意していたという。

調査では、1人の運用者が複数の身元を同時に管理していたことも示された。会議の録画や画面キャプチャー用のツールが使われていた点も懸念される。これらは、企業内のシステムで表示・議論された情報を外部に持ち出す可能性につながるためだ。

ただし、すべての偽プロフィールが同じ手法をすべて使っていたことまで、公開された証拠が示しているわけではない。それでも、AIによって複数の身元を運用する時間と労力が削減されていることは明らかだ。

なぜ「偽の採用」がセキュリティ問題になるのか

偽の従業員は、偽の応募者よりも深刻なリスクをもたらし得る。採用そのものが、正規の認証情報と組織内の信頼を与えてしまうからだ。

社内に入った運用者がアクセスできる範囲は、職務内容や企業の権限管理によって異なる。しかし場合によっては、ソースコード、社内ツール、顧客情報や財務情報、経営戦略に関する議論、各種の企業認証情報などが露出する可能性がある。リモート勤務では、どの人物がどの端末を操作しているのかを継続的に確かめることも難しくなりやすい。

さらに、この問題には地政学的な側面もある。PurpleDeltaは、北朝鮮による収益獲得や情報収集と関連付けられている。北朝鮮のITワーカーをめぐるより広範な活動については、不正な雇用で得た収益が制裁対象の国家プログラムや大量破壊兵器関連の資金に結び付くと報じられている。

Recorded Futureは、合成身元情報を企業にとって二重の脅威と説明している。大規模な金融詐欺を可能にするだけでなく、制裁逃れ、不正な収益獲得、知的財産の窃取にも利用され得るためだ。

求職者を狙う「求人詐欺」との共通点

PurpleDeltaは採用する企業を狙う一方、一般的な求人詐欺は仕事を探す個人を狙う。標的は異なるが、いずれもリモート採用、オンライン上の信頼、本人確認の弱さを悪用している。

最近の例では、BBB（米国の消費者・企業向け非営利団体）ノース・アラバマが、「Parkway Greenhouse LLC」の名前で宣伝されたリモートのデータ入力求人について注意を呼びかけた。応募者からは、すぐに採用通知が届いた後、銀行口座情報を求められたとの報告が寄せられている。

消費者が報告する求人詐欺の被害も増えている。米連邦取引委員会（FTC）のデータによると、求人および偽人材紹介会社詐欺の被害申告額は、2020年の9,000万ドルから2024年には5億100万ドルへ増加した。申告件数も同じ期間にほぼ3倍になっている。 BBBも、雇用詐欺に関する苦情が2025年に前年の2倍超となったと報告している。

企業を狙うケースでも、求職者を狙うケースでも、共通する教訓は同じだ。説得力のあるデジタルプロフィールは、それだけで実在する人物、正規の雇用主、申告どおりの所在地を証明するものではない。

企業が確認すべきポイント

Recorded Futureが推奨する基本方針は、書類や履歴書、オンラインプロフィールだけでなく、そのアカウントを実際に操作している人物を確認することだ。複数の情報を組み合わせた、採用後も続く確認体制が求められる。

• 身元: ライブ映像やビデオによる生体性確認を含む、より強固な本人確認を実施し、信頼できる公的な身元情報と照合する。
• 所在地: ネットワークやIP情報、位置情報、タイムゾーン、給与・税務情報、就労資格が、本人の申告と一致しているか確認する。
• 端末: 本来は別人であるはずの採用者間で同じ端末が繰り返し使われていないか、端末指紋、リモート操作ソフト、VPNやプロキシ、不自然なログインパターンを調べる。
• 継続的な再確認: 採用後も身元、端末、所在地を定期的に確認する。特に、アカウント、端末、銀行情報、申告上の身元が変更された場合は再チェックが必要だ。
• 最小権限: 身元と行動が十分に確認できるまで、新規採用者やリモート接続する従業員がアクセスできる情報やシステムを必要最小限に絞る。

これらは、1つの項目だけで合否を決める仕組みにすべきではない。見慣れた端末、もっともらしい書類、実施に成功したビデオ通話であっても、複数の偽プロフィールを組織的に運用する相手によって偽装される可能性がある。

リモート採用で最も重要な視点

PurpleDeltaの事例が示すのは、本人確認を採用決定の時点で終わらせてはならないということだ。重要なのは、履歴書が本物らしく見えるかではない。同じ確認済みの人物が、確認済みの場所から、許可された同じ端末を使って、雇用期間を通じて業務を行っているかである。

偽プロフィールは使い捨てにできる。1つのアカウントや名前を削除しても、運用者が別の身元で戻ってくる可能性は残る。身元、所在地、端末、アクセス行動を継続的に照合することで、企業は最新のプロフィールを削除するだけでなく、その背後にいる運用者そのものを見つけやすくなる。