住宅内のコンピューターネットワークが国家安全保障上の標的に
連邦捜査官は9月21日から25日にかけて、テキサス州内の40カ所を超える住宅を捜索し、北朝鮮による雇用詐欺疑惑の捜査で、ノートパソコンやその他の電子機器約187台を押収した。北テキサスでは100台を超える機器が回収された。捜査当局によると、ダラスとフォートワース周辺の住宅が、米国人従業員を装う海外の労働者の拠点になっていた。
目次
「オペレーション・ローン・スター・ラウンドアップ」と名付けられたこの作戦は、一見すると通常のリモートワークの背後にある物理的な支援ネットワークを標的とした。検察側によると、米国人の協力者は雇用主からパソコンを受け取り、海外からアクセスできるよう機器やソフトウェアを設定し、北朝鮮工作員が管理する口座への賃金送金を手助けしていた。
テキサス北部地区連邦検察局を率いるライアン・レイボールド連邦検事は、収益が朝鮮民主主義人民共和国（北朝鮮）の核・弾道ミサイル計画を支えていると述べた。米財務省の推計として、北朝鮮のIT労働者プログラム全体が2024会計年度に8億ドルを超える収益を生み出したと説明した。
押収に伴う刑事手続きについては、報道内容が一致していない。火曜日の記者会見に関する報道では、米国人協力者への起訴が見込まれており、逮捕は発表されていなかったという。一方、10月13日付の司法省発表を伝える別の報道では、米国人2人が逮捕され、中国を拠点とする10人を起訴する起訴状が提出されたとされる。これらを、完全に整理された一つの手続き経過として扱うべきではない。
この区別は重要だ。押収は疑わしいインフラの妨害を示す一方、刑事訴追は特定の人物に対する主張を示す。コンピューターが押収されたことも、起訴状が提出されたことも、有罪を証明するものではない。
テキサス州全域で捜査官が押収したもの
州全体の押収数は、一部の報道では185台超、より詳しい報道では187台とされている。この数字に矛盾はない。捜索場所については、約40カ所とするものから40軒超の住宅とするものまで、報道に幅がある。
押収機器には、ノートパソコンのほか、キーボード、映像、マウスを扱うKVM機器が含まれていた。これらを使うと、別の場所からコンピューターのキーボード入力、画面表示、マウスを操作できる。リモートアクセスソフトウェアと併用すれば、海外にいる人物が米国内の住宅に置かれた会社のパソコンを操作できる。
当局はテキサス州内の物件の住所を公表していない。ダラスとフォートワース周辺に集中していたと説明し、同地域の雇用市場の大きさも、狙われた理由の一つとして挙げた。地域内の押収数についても、約100台とする報道と100台超とする報道がある。
FBIダラス支局長のR・ジョセフ・ロスロック特別捜査官は、機器が捜査で重要な理由を次のように説明した。
押収したノートパソコン1台につき、北朝鮮のIT労働者を雇った企業が1社ある可能性がある
これは潜在的な影響の規模を示すもので、別々の雇用主の確定数ではない。押収した187台にはノートパソコン以外の機器も含まれ、複数のパソコンが同じ企業に属する可能性もある。したがって、押収数をそのまま被害企業数に置き換えることはできない。
「ラップトップ農場」で海外の労働者が米国内にいるように見せる仕組み
疑惑の仕組みは、雇用主がパソコンを発送する前から始まる。労働者は盗用または偽造した身元を使ってリモートIT職に応募し、他の関係者が採用審査を通過できるよう手助けする。企業が米国内の正当な従業員を採用したと信じると、協力者が管理する住所に機器を送る。
協力者はその後、ノートパソコンを保管し、リモートアクセスを設定する。仮想プライベートネットワーク（VPN）やプロキシサーバーを使えば、接続している人物の所在地を隠しやすくなる。VPNはインターネット通信を別の接続経由で送信し、プロキシは仲介役として機能する。どちらも、それ自体が犯罪行為ではないが、当局によると、このネットワークは労働者の身元や居場所を隠すために利用していた。
テキサス州内に物理的に接続されたノートパソコンがあれば、操作する人物が海外にいても、雇用関係が米国内にあるように見せられる。現地の住所、雇用主のパソコン、隠された接続が組み合わさり、その印象を支えていた。
労働者自身の所在地については、報道内容が分かれている。北朝鮮にいたとする説明もある一方、起訴状に関する報道では、中国を拠点とする運営者が特定され、海外の労働者についてはより広い表現が使われている。疑惑の仕組みが、すべての労働者が物理的に北朝鮮国内にいたことを前提としていると理解すべきではない。
今回のテキサス州での捜査は、偽の身元や米国人の仲介者を使って海外で賃金を得る手口を含む世界的なIT労働者詐欺への、これまでの捜査に続くものだ。今回の作戦では、そうした雇用を可能にする住宅内のインフラが詳しく明らかになった。
米国人の協力者は、パソコン以外の支援も行った疑い
捜査当局は、協力者らについて、単にノートパソコンを置く場所を提供しただけでなく、採用や身元確認、支払いの処理にも関与したと説明した。給与を受け取って北朝鮮の労働者が管理する口座に送金した者もいたとされる。また、収益と引き換えに、自分の氏名や個人情報の使用を認めた者もいたという。
ロスロック氏は、当局が捜査している支援の内容について、事情を知らない人から盗まれた身元と、協力者が自ら提供した身元との違いも含め、次のように述べた。
事情を知らない米国人の身元を盗用し、米国のIT職を得ようとすることがある」とロスロック氏は述べた。「別のケースでは、身元の使用や、面接への出席、盗用した身元の確認、荷物の発送、ノートパソコンの保管、薬物検査や指紋採取の受検など、その他の作業を依頼するために金銭を支払っている
こうした疑惑の行為は、捜査当局がインターネット接続だけでなく、より幅広い要素を調べている理由を示している。面接に代わりに出席した人物や、対面での審査を受けた人物がいれば、ソフトウェアだけでは回避できない審査を海外の応募者が通過する手助けになり得る。
レイボールド氏は、機器を故意に保管した人物は訴追されると述べた。ただし、この警告は個々の人物の認識や意図を確定するものではなく、それぞれの刑事手続きで証拠によって立証される必要がある。
逮捕報道で米国人2人と中国を拠点とする運営者10人を特定
司法省が10月13日に発表したとする報道では、逮捕された米国人はペンシルベニア州在住のマイケル・ジェームズ・ボステル氏と、テキサス州在住のフアン・セシリオ・ペナ・カリージョ氏とされる。疑惑の雇用詐欺に関連して、両者は通信詐欺、マネーロンダリング、個人情報の窃盗などの罪に問われているという。
同じ報道は、中国を拠点とする起訴対象者10人として、Sun Sheng Ming、Pei Li Guang、Weng Shou Cheng、Han Guo Bin、Wang Jian Jun、Sheng Zhang Kun、Zhang Wei Ping、Zhang Li Ping、Yu Yang、Jin Longの各氏を挙げている。
起訴状は、中国の運営者がペナ・カリージョ氏、Tey Michael Nolte氏、少なくとも他の米国人4人を指揮していたと主張しているという。ノルテ氏は起訴状に名前が記載されたが、起訴はされていない。ボステル氏や他の米国人参加者を採用、管理、訓練した疑いがある。起訴状に名前が記載されることと、被告人になることは同じではない。
これらの報道によると、詐欺疑惑の影響は米企業70社超に及び、米国人25人の個人情報が侵害され、海外のIT労働者が少なくとも300万ドルを得た。また、複数の米政府機関に虚偽情報が提出されたという。影響を受けた雇用主の全容や、情報を受け取った機関名は明らかにされていない。
報道によると、ボステル氏とペナ・カリージョ氏の弁護士には、すぐにコメントを求めることができなかった。ノルテ氏からの回答も報じられていない。疑惑は立証されておらず、北テキサスの記者会見で起訴が近く行われるとした説明と、逮捕報道との手続き上の関係も明らかになっていない。
金額は異なる規模を示している
8億ドルと300万ドルという数字を合算すべきではない。レイボールド氏が示した8億ドル超の推計は、2024会計年度の北朝鮮IT労働者プログラム全体に関するものだ。起訴状に関する報道で示された少なくとも300万ドルという疑惑は、そこで説明された雇用詐欺に関するものだ。
財務省の推計についても、報道によって説明が異なる。北朝鮮に8億ドル超が送金されたというものもあれば、プログラムがその額の収益を生み出したというものもある。収益と送金額は別の指標であり、さらに確認されない限り、正確に記録された送金総額として提示すべきではない。
当局はまた、労働者が収入の推定85～90％を北朝鮮に送っていると説明した。この説明に基づけば、100ドル稼ぐごとに、送金される額を除いて約10～15ドルが残ることになる。これは疑惑の支払い構造を示すものだが、テキサス州の捜査対象となった給与すべての配分を立証するものではない。
この金銭面の疑惑が、検察側が本件を単なる雇用詐欺以上の問題と見なす理由を示している。当局によると、米国企業からの賃金が、制裁対象となっている政府とその兵器計画の資金源になっている。個々のテキサス州での給与支払いが特定の兵器購入に使われたかどうかは、報道では追跡されていない。
企業システムへのアクセスが別の安全保障上のリスクに
採用詐欺が成功すれば、給与以外のものも得られる可能性がある。レイボールド氏によると、会社のノートパソコンへのアクセスは、企業のシステム、通信、金融プラットフォームへの侵入口にもなり得る。その範囲は、各職務に付与された権限によって異なる。
FBIを支援する情報と技術分析を提供したとするサイバーセキュリティ企業クラウドストライクは、このネットワークを「フェイマス・チョリマ」として追跡している。裁判所への申立てに関する説明によると、大手サイバーセキュリティ企業がこの脅威グループに付けた名称でもある。これは追跡上の呼称であり、独立した刑事訴追を意味するものではない。
クラウドストライクは、妨害された作戦で確認された組織には、航空宇宙、エネルギー、金融サービス、医療、サイバーセキュリティ、防衛エンジニアリング、政府向け技術の各分野の企業が含まれると述べた。幅広い機密性の高い産業にリスクが及ぶ可能性を示すが、影響を受けたすべての組織でデータが失われたことを立証するものではない。
同社は、雇用主の機器を転送させるために使われた手口も説明した。パソコンが盗まれたと虚偽の警察への届け出を行い、代替機を別の場所に送らせた工作員もいたという。突然の引っ越しを理由にしたり、人材派遣会社を通じて職を得たりして、派遣会社に気付かれずにパソコンを転送させた者もいたとされる。
こうした詳細から、採用時の欺瞞と物理的な「農場」がどう結び付くかが分かる。労働者には、採用時に受け入れられる身元と、雇用主のパソコンをネットワークが管理する場所へ運び込む手段の両方が必要となる。当局はテキサス州での作戦において、アクセスまたは窃取されたデータの全容を明らかにしていない。
捜査はテキサス州での捜索を超えて広がる
裁判記録に関する説明によると、FBIは雇用詐欺に関連するとされるGoogleアカウント11件を特定した。捜査当局は各アカウントについて、作成時から10月8日までの情報を求め、契約者情報、住所、電話番号、接続時刻、IPアドレス、支払い・請求記録を対象とした。
テキサス北部地区の連邦裁判所は10月9日、Googleに対し、10日以内に記録を提出するよう命じたと報じられている。この期間から、提出期限は10月19日とされていたことになる。Googleが提出を完了したとの確認は、報道にはない。
主な日付は次の通り。
- 9月21～25日：FBIがテキサス州の40軒超の住宅を捜索し、関連措置を実施。
- 10月8日：Googleアカウント11件の記録請求が対象とした期間の最終日。
- 10月9日：Googleに10日以内のアカウント記録提出を命じたとされる裁判所命令。
- 10月13日：作戦の発表と関連する刑事手続きについての報道で示された日付。
当局は、ルイジアナ、ネバダ、ケンタッキー、オハイオ各州でも同様の活動があったと説明した。クラウドストライクによると、より広範な妨害作戦ではオハイオ州で2人が逮捕されたが、逮捕者の氏名や罪状は明らかにされていない。テキサス州での発表ではこの逮捕に触れていないため、氏名が挙げられた米国人2人の逮捕と別件とも同一とも、安易にみなすべきではない。
雇用主への助言と、依然として不明な点
レイボールド氏とロスロック氏は、雇用主に対し、E-Verifyを利用し、リモートワーカーの採用時に複数種類の身分証明書を求めるよう促した。E-Verifyは、雇用資格情報を政府記録と照合する制度だ。これは採用手続きの一部に対応するものだが、面接への代理出席や遠隔操作されるノートパソコンの使用疑惑は、実際に仕事をする人物の身元確認が別の課題であることを示している。
当局は、被害を受けたと思われる企業や個人に、FBIへの情報提供を呼びかけた。影響を受けた雇用主の全リスト、捜索した住宅の住所、着服または回収された賃金の全容は公表していない。
捜査は続いている。北テキサスの説明会に関する報道では、今後の起訴、審理、裁判の日程は示されていない。逮捕者や見込まれる罪状について説明が食い違っており、各発表の正確な関係は未解明のままだ。
クラウドストライクは、「農場」の閉鎖によって、インフラが撤去された地域では活動が鈍る可能性が高いものの、より広範な作戦が長期的に終息するわけではないと警告した。今回の押収は、当局が現地の機器ネットワークを妨害できることを示している。しかし、関係する労働者、身元情報、アカウント、協力者がすべて特定されたことを意味するものではない。
要点
- 捜査官は9月下旬、テキサス州の40軒超の住宅を捜索し、ノートパソコンやその他の機器約187台を押収した。
- 当局によると、北テキサスでは100台超の機器が回収されたが、約100台とする報道もある。
- 疑惑の「農場」によって、海外の労働者は米国内の住宅に置かれた雇用主のパソコンを操作し、米国内で働いているように見せていた。
- 報道は、起訴が近く行われるとの説明と、米国人2人の逮捕および中国を拠点とする10人の起訴発表との間で食い違っている。
- 起訴状に関する報道では、企業70社超への影響、米国人25人の個人情報の侵害、少なくとも300万ドルの収益が述べられている。
- 8億ドル超という推計は北朝鮮IT労働者プログラム全体に関するもので、テキサス州での押収だけを指すものではない。
- 捜査当局はGoogleアカウント11件の記録を求めており、捜査は継続中だ。
