米当局は、ペンシルベニア州のMichael James Postellとテキサス州のJuan Cecilio Pena Carrilloを、北朝鮮のIT労働者が米国企業のリモート勤務を得ることを可能にした詐欺計画を標的とする作戦で逮捕した。4件の罪状から成る起訴状によると、2019年から2025年7月まで続いたとされるこの計画は、300万ドルを超える不正収益を生み出した。
容疑者らは他の協力者とともに、米国企業が米国内で勤務していると想定した従業員に支給したノートパソコンを保管・設定していた。偽造した身元情報と、実際の所在地を隠すための仮想プライベートネットワークおよびプロキシの構成を利用することで、労働者らは雇用主に対し、米国在住の従業員として見えるようにしていた。起訴状によると、労働者らは通信、サイバーサポート、医療、製造、小売の各分野に属する70社以上で職を得ていた。
米国内の運用拠点を解体
Operation Lonestar Roundupと名付けられた別の作戦で、FBIはノートパソコン農場として使用されていた疑いのあるテキサス州の40拠点を捜索した。当局は、計画の実行に使用されたとみられるノートパソコン187台とKVM機器を押収した。KVM機器は、コンピューターを遠隔操作できる装置である。
また、中国在住の10人、Sun Sheng Ming、Pei Li Guang、Weng Shou Cheng、Han Guo Bin、Wang Jian Jun、Sheng Zhang Kun、Zhang Wei Ping、Zhang Li Ping、Yu Yang、Jin Longも、作戦への関与が疑われるとして起訴された。
コンピューター農場はどのように機能するのか
CrowdStrikeは、この活動をFamous Chollimaという名称で追跡している。同社によると、国外にいる労働者らは、米国内の仲介者が運営する拠点へ企業の機器を送るよう雇用主を説得するため、複数の手法を用いている。手法には、交換機器を得るためにコンピューターが盗まれたと報告すること、別の住所へ突然転居したと主張すること、複数の居住住所を使い回すこと、技術系人材派遣会社を利用して最終顧客の機器をそうした拠点へ転送することが含まれる。
機器が到着すると、仲介者は国外の労働者が遠隔からアクセスできるようにするソフトウェアと機器を導入する。CrowdStrikeによると、組織が防御手段を強化する中、グループは遠隔アクセスツールを隠し、機器のフィンガープリントを偽装し、異なる組織や身元情報の間で同じ機器識別子を再利用するようになった。
なぜこのニュースが重要なのか
今回の作戦は、この計画が単なる直接的な技術侵入に依存するのではなく、身元詐欺、物理的インフラ、遠隔管理ツール、雇用関係を組み合わせていることを示している。CrowdStrikeによると、被害者には航空、エネルギー、金融サービス、医療、サイバーセキュリティ、防衛、政府系エンジニアリング、消費者向けテクノロジーなどの重要分野が含まれていた。
しかし同社は、コンピューター農場の妨害がFamous Chollimaの活動に与える影響は限定的である可能性があると警告している。これらの拠点は物理面、法的面、金融面での役割を担っており、他の場所で再構築できるためだ。またFBIは、脅威はリモート勤務を採用する企業に限られないとみている。IT労働者は、意図的かどうかにかかわらず、米国人を動員して、本人に代わって就職面接に出席すること、偽造身元情報を確認すること、荷物を発送すること、自宅から業務用機器をインターネットに接続した状態に保つことなどのサービスを実行させている。
多層的な検証アプローチ
FBIは、Identity in Depthと呼ぶ、採用サイクル全体を通じてアクセス制御、検知メカニズム、継続的な身元確認を何層にもわたって利用する方法を推奨している。同局が挙げた指標には、リモートデスクトップソフトウェアや遠隔監視・管理ツールの使用、コンピューターを操作するための外部機器の接続、職務に関係のないアプリケーションのダウンロード、データの持ち出し、銀行口座や実際の住所の使い回し、確認書類の偽造が含まれる。
実務上の考え方は、簡単に回避できる単一の規則に依存するのではなく、複数の行動上のシグナルを組み合わせることにある。情報源は、これらの措置が将来の計画を阻止するうえでどの程度成功するかを明らかにしていない。また、本件で示された容疑については、司法判断が確定していない。