米連邦捜査局（FBI）は9月21日から25日にかけて、テキサス州内の40か所の住宅を対象とする強制捜査を実施し、米国企業の職務で遠隔勤務する北朝鮮人技術労働者の計画に使われたとみられる約187台のコンピューターとKVM機器を押収した。Lonestar Roundupと名付けられたこの作戦は、Famous ChollimaまたはWageMoleとして知られる脅威グループに対する米司法省の措置と並行して行われた。
司法省によると、当局は米国籍のMichael James BostelleとJuan Cecilio Pena Carrilloを逮捕し、計14人を、通信詐欺、マネーロンダリング、個人情報窃盗などの容疑で起訴した。また同省は、中国人被告12人についても別件の起訴を発表した。
コンピューター・ファームはどのように機能していたのか？
仲介業者は、企業が業務用に提供したコンピューターを米国内の拠点で保管し、その後、KVM機器と遠隔アクセスソフトウェアを使って国外にいる労働者がそれらに遠隔アクセスできるようにしていた。これにより、身元や実際の所在地が異なるにもかかわらず、労働者は雇用主から米国内にいるように見えていた。
記事によると、この計画は盗用または捏造した身元、VPNネットワーク、通信の真の発信元を隠すための中継インフラに依存していた。仲介業者はまた、コンピューターを受け取り、遠隔アクセスツールをインストールし、収益を北朝鮮と関係する当事者が管理する口座へ送金していた。
機器の転送と痕跡の隠蔽手法
CrowdStrikeは、労働者が企業の機器を身分証明書類に記載された住所ではなくコンピューター・ファームへ届けさせるため、複数の手法を使っていたと述べた。その中には、交換機器を受け取るために架空の盗難を届け出ること、複数の居住住所を使い回すこと、配送直前に転居したと主張して荷物の配送先を変更させること、人材派遣会社での職務を悪用して機器の配送先を変更することが含まれる。
CrowdStrikeは、これらの労働者の活動を2025年4月から追跡している。同社は、従来の手法が露見したことで、運営者は機器識別子のなりすましに一層依存するようになり、被害を受けた複数の組織間で一部の識別子を再利用するまでになったとみている。
実際に何が変わるのか？
この事件は、従業員の身元と所在地の確認が採用面接や居住住所だけで終わらないことを示している。仲介業者が企業のコンピューターを保有すれば、技術的な接続が米国内から来ているように見える場合でも、業務環境への物理的なアクセスポイントを制御できる。そのため、リスクは採用規則違反だけでなく、データ窃取、マルウェアの展開、デジタル資産へのアクセスにも及ぶ。
司法省は、オハイオ州での別の計画が2019年から2025年7月まで続き、米国企業70社に影響を与え、北朝鮮と関係する当事者に約300万ドルの収益をもたらしたと指摘している。しかし記事は、CrowdStrikeの見解として、今回の強制捜査が短期的に与える影響は限定的となる可能性があり、米国内にある同グループのインフラを解体するための米国によるより広範な取り組みの始まりだと伝えている。