aigeek編集部
人を騙す手口を教える会社が、騙されました。
KnowBe4は、社員向けのセキュリティ意識向上トレーニングを売っている会社です。「こういうメールに気をつけてください」「こうやって人は引っかかります」と教えるのが仕事です。
その会社が2024年、北朝鮮のIT労働者を社員として採用してしまいました。同社の公表によれば、気づいたのは支給したパソコンが動きはじめたあとです。
そして会社は、この件を自分から公表しました。CEO本人のブログで、何をやってしまったかを書いています。この記事は、そこに書かれていることをたどります。
4回も、顔を見ていた
採用の工程は、ふつうでした。公式の記述を借りると、こうです。
求人を出し、履歴書を受け取り、面接を行い、身元調査を行い、照会先を確認し、採用した
面接は別々の機会に4回、ビデオ会議で行われています。担当者は、応募書類の写真と目の前の相手が同じ人であることを確認しました。
4回も顔を見ていて、どうして破られたのか。ここが、この話の核心です。
担当者は4回とも、目の前の相手が応募書類の写真と同じ顔であることを確かめていました。しかしこの確認は、はたらいていませんでした。比べる基準にした写真そのものが、偽造されていたからです。面接が「無事だった」のではありません。書類と一緒に、面接も破られていたのです。（なお「面接に出てきたのが存在しない人だった」という記述は一次資料にはありません。）
提出された顔写真は、ストック写真をAIで加工したものでした。つまり、素材として売られている写真がもとになっていて、応募者本人を写したものではありません。そして使われた身元は、米国に実在する人のものが盗まれていたと報じられています。
ここで、当然の疑問が湧くはずです。写真が作り物なら、面接のカメラに映っていた顔は何だったのか。作り物の写真と「同じ顔」が、別々の機会に4回もカメラに映る——その一致は、どうやって成立したのでしょうか。
公式の記述から考えられる成立のしかたは、3つです。
- ① カメラには生身の人間が映っていて、写真のほうがその顔に寄せて作られていた。ストック写真をAIで加工する工程で、実際に面接へ出る人物の顔立ちに近づけておけば、本物の顔を映しながら「写真との一致」を通せます。盗んだ身元・寄せて作った写真・本物の顔、の三点セットです。
- ② 映像のほうも生成・加工されていた。いわゆるディープフェイクです。ただしKnowBe4は、自社の件の映像がそうだったとは書いていません。
- ③ 一致の確認そのものがゆるかった。ビデオ会議の小さな画面で「だいたい同じ顔」に見えれば通ってしまった、という可能性です。
同社は、どれだったのかを書いていません。ただ、どれであっても結論は同じです。履歴書は偽造で破られ、面接は「その偽造物を基準にした照合」だったために破られました。書類も面接も、両方破られていたのです。面接官が手を抜いたのではありません。比べる基準点の写真そのものが偽造できるとき、「写真と同じ顔だ」という確認は、何回やっても確認にならないのです。
気づいてから、25分で止めた
2024年7月15日の夜、米東部時間の21時55分。指定された住所へ送られたノートPCが、不審な動きを始めました。
公式の記述によれば、行われたのは「セッション履歴ファイルの改ざん、有害な可能性のあるファイルの転送、不正なソフトウェアの実行」でした。マルウェアのダウンロードにはRaspberry Pi——手のひらに載る小さなコンピュータが使われています。
会社の監視チームは、この動きを検知しました。本人に連絡を取り、米東部時間の22時20分に端末を隔離しています。最初の警報から25分でした。
結果はこう書かれています。
不正アクセスは成立せず、いかなるデータも失われず、侵害されず、持ち出されなかった
パソコンは、本人のところへ行っていなかった
手口の中心は、ここです。
採用された「社員」は、支給パソコンの送り先として、ある住所を指定します。そこは本人の家ではなく、他人名義のパソコンを預かって並べておく場所でした。公式の記述では「ITラバのノートPC農場」——ラバ（mule）は、手先となって荷物を預かる協力者のことです——と呼ばれています。
そして本人は、自分が実際にいる場所——北朝鮮か、国境を越えた中国——からVPNでそのパソコンに入り、夜勤として働きます。会社から見れば、パソコンは指定された住所にあり、社員は普通に業務をしている。
会社はこれを「組織化された、国家が支援する、潤沢な資源を持つ大規模な犯罪組織」と書いています。
会社は、自分の落ち度を名指しで書いた
この記事を書こうと思ったのは、ここが理由です。
ふつう、こういう発表は「高度な攻撃を受けたが被害はなかった」で終わります。KnowBe4は、そうしませんでした。
身元調査が不十分だった。使われた名前が一致していなかった
照会先の確認が不十分。メールだけの照会に頼らないこと
名前が一致していなかった。調べれば分かったのです。調べたつもりになっていた、というのが正直なところなのだと思います。
メールだけの照会に頼らないこと。前職の上司に確認しました、というとき、その「上司」の連絡先はたいてい、応募者本人が出したものです。
会社が挙げている対策も、拍子抜けするほど地味です。遠隔で誰かが入っていないか端末を調べる。本人が物理的にいるはずの場所にいるかを確かめる。そして——ノートPCの配送先が、その人の住むはずの場所と違っていたら赤信号。いずれも同社が自社の記事で挙げているものです。（この「確かめる」が何の確認なのかは、あとでもう一度書きます。）
そして、日本の話になりました
ここまでは2024年の、アメリカの会社の話です。
2026年7月31日、この手口への注意喚起が出されました。以下はその解説記事を通じた参照で、共同声明の原文そのものには到達できていません。
日本側で名を連ねたのは国家サイバー統括室・外務省・警察庁・財務省・経済産業省。米国・韓国・英国・豪州・カナダなどの関係機関との共同です。そこに、2024年になかった一行があります。
注意喚起によれば、応募のプロフィール文やメッセージは大規模言語モデルや翻訳サービスを使って自然な文章で作られるようになりました。解説はこう要約しています——生成AIの利用により、文章だけで見抜くことは難しくなっている。
「日本語が不自然だから怪しい」という見抜き方は、もう使えないということです。
さらに、ビデオ会議でも人工的に生成・加工した映像が使われていると書かれています。KnowBe4の件では映像がディープフェイクだったとは書かれていませんが、2026年の注意喚起は、そこまで進んだ手口を想定しています。
今日からできること
公表資料が挙げている対策のうち、今日から効くものを3つ選びました。1つめはKnowBe4の記事から、2つめと3つめは注意喚起からです。
1つめ。パソコンの送り先を見る。採用した人の住所と、機材の送り先が違っていないか。KnowBe4が「赤信号」と書いているのは、ここです。技術も予算も要りません。
2つめ。本人確認を一度で終わらせない。注意喚起は「一度きりの確認ではなく継続的な本人確認」を求めています。入社時に確認したから大丈夫、が通用しなくなりました。
3つめ。ビデオ会議で、顔と背景と口元を見る。「顔や背景の乱れ、音声と口の動きのずれ」を見るように、と書かれています。加えて、連絡ごとに文体・技術知識・応答の速さが一貫しているか。同じ人がずっと相手をしているとは限らない、という前提です。
ひとつ、はっきり書いておきます。確かめるのは国籍ではありません。書類に書いてあることと、実際の状態が一致しているかどうかです。どこの国の人かで選別することは、この手口の対策になりませんし、まっとうな応募者を不当に落とすだけです。破られたのは「照らし合わせ」であって、「誰を疑うか」ではありませんでした。
採用に関わっていない方にも、ひとつだけ。この手口は、あなたの身元が盗まれる側の話でもあります。実在する人の身元が使われていました。3秒の声から家族の声が作られる話と、根は同じところにあります。
わかっていないこと
正直に書いておきます。
KnowBe4の件は、当事者企業が自分で公表した記述に基づいています。第三者による検証は行われていません。被害がなかったという結論も、同社の調査によるものです。
面接のカメラに映っていた顔の正体は、分からないままです。本文で挙げた3つの可能性のどれだったのか、KnowBe4は書いていません。同社のFAQも「盗まれた身元を使って複数回のビデオ面接に参加した」と述べるだけで、映像そのものには触れていません。2026年の注意喚起が「ビデオ会議で人工的に生成・加工した映像が使われている」と書いているのは、この件とは別の、より新しい手口の話です。
2026年7月31日の注意喚起について、日本企業で被害が確認された、という記載はありません。共同署名した国の総数も、資料によって数え方が違うため、この記事では数を書いていません。北朝鮮のIT労働者の人数や獲得金額として流通している数字も、一次資料に到達できなかったので載せていません。
持ち帰る一行
採用のとき私たちが確認しているのは、「本人」ではなく「書類と映像の一致」です。
4回会っても、それは変わりませんでした。同じ日に公開した「AIが存在しないパッケージ名を出す」話と、構図はよく似ています。存在しない部品と、存在しない経歴。運んだのはどちらも、確かめなかったことでした。
【編集メモ】
KnowBe4の事例（採用工程・4回のビデオ面接・写真のAI加工・25分での封じ込め・端末上の行為・被害なし・ノートPC農場・同社が挙げた自社の落ち度と対策3点）は、すべて 同社CEO Stu Sjouwerman 氏による公式ブログ（2024年7月23日公開・同年10月19日更新）に基づきます。当事者による一次記述ですが、第三者検証はされていません。盗まれた身元が米国在住者のものであった点は報道によります。
2026年7月31日の共同注意喚起の内容は、JAPANSecuritySummit Update の解説を通じて参照しました。共同声明の原文そのものには到達していません。引用は同解説からの意訳です。
あえて書かなかったこと。「面接に来たのは存在しない人だった」という言い方は使っていません。一次資料にその記述がないためです。北朝鮮IT労働者の人数・獲得金額、共同署名国の総数、日本企業の被害確認の有無も、確認できないため載せていません。特定の国籍の個人を指す意図はなく、公表資料が示す組織的な手口として扱っています。
2026年8月10日追記。公開初版は「破られたのは面接ではなく、その手前」という枠で書いており、「写真が偽物なら、面接に映った顔とどう一致したのか」という当然の疑問に本文の途中で答えていませんでした。指摘を受けて、中段に3つの可能性の説明を加え、図1を「書類も面接も破られた」の枠に差し替えました。
時点。2026年8月10日時点の情報です。
HALBo
