徹底的な選考を経て、 KnowBe4 社の採用担当者は、同社の社内AIチームに加わるのに最適な候補者を見つけたと考えました。
書類上の条件だけを見れば、カイルは開発者という役職に必要な要件をすべて満たしていました。 彼は経験豊富なソフトウェアエンジニアであり、すべてのビデオ面接で好印象を与え、推薦状も非常に優れていました。 彼の経歴や資格については、問題がないことが確認されました。
しかし、警備会社がカイルに会社のノートパソコンを発送した後、奇妙な出来事が起こり始めました。 まず、彼はそのマシンに「 」というマルウェア（ ）をインストールしようとしましたが、システムの「」エンドポイント保護ソフトウェア（ ）によって阻止されました。 同社のセキュリティオペレーションセンターがSlackを通じて連絡をとった際、カイル氏は、ルーターのトラブルシューティング中に誤って自分のシステムを侵害してしまったと主張しました。
その言い訳はまったく筋が通っていなかったので、セキュリティチームは彼に音声チャットに参加するよう促しました。 カイルは「話せない」と言い、その後、一切のコミュニケーションを絶ちました。 それだけで、 のSOC（セキュリティオペレーションセンター）にとっては十分でした。 30 分も経たないうちに、KnowBe4 人がカイルのアカウントをロックしました。 その後、同社はセキュリティコンサルティング会社マンディアント社、そして後にFBIに対し、両者間のやり取りの詳細を共有しました。
「マンディアントとFBIからの情報により、これは 洗練され、十分な資金力を持ち、国家が支援する作戦 であることが判明しました」と、同社のCEOであるスチュ・ショウワーマン氏は述べています。同氏は、他の企業への警告の一環として、7月に この事件についてブログ記事 を投稿していました。
とはいえ、米国の何百社もの企業、そして世界中でさらに多くの企業にとって、その警告は手遅れとなってしまっています。
カイルについて……そしてディープフェイクについて、話し合う必要があります
革新的な セキュリティ意識向上トレーニングのリーダーとして、 KnowBe4 社はの脅威インテリジェンスの動向 や、スマートなサイバー衛生管理に精通しています。 これは、カイルの問題がいかに根深いものであるかを改めて浮き彫りにしています。 彼らは、「カイル」という人物が、おそらくアメリカ市民を装った北朝鮮国籍者である可能性が高いことを突き止めました。 同社の採用審査をすり抜けるため、彼は盗んだ身元情報とAIで加工した写真を使って、身元調査を通過していました。 ビデオインタビューでカイル役を演じるために、プロのサクラが雇われていましたが、実際の社員はおそらくアジアのどこかにいたのでしょう。 推薦状については、メールにて確認いたしました。
「誰かの顔の高解像度画像1枚と約 10 秒の音声があれば、オープンソースのツールを使って、ZoomやTeams上の誰をも騙すことができます。」リアリティ・ディフェンダーのCEO兼共同創業者、ベン・コールマン氏
Sjouwerman氏は、企業のデータが一切失われることはなく、 の機密システム への不正アクセスも発生せず、KnowBe4社のセキュリティ対策が想定どおりに機能したことを強調しています。 カイルは即座に解雇されました。
それでも、ショウワーマン氏は、自社が危機一髪で難を逃れたことを認めています。 もしその偽の開発者がすぐにマルウェアのインストールを試みていなかったら、同社のソフトウェアリポジトリや のクラウドサーバー（）へのアクセス権を取得していたかもしれません。
[関連記事：「ディープフェイク」という言葉は、ほんの数年前までは存在しませんでした――AI関連用語の知識をここで試してみてください]
ショウワーマン氏のこの発言は珍しいものですが、同社が受けた攻撃自体は決して珍しいことではありません。 彼がその体験談を投稿して間もなく、 KnowBe4 社には、同様の偽の候補者から応募を受けていた他の10数社から連絡があり、そのうちの1社は実際に「カイル」という人物を採用していたとのことです。
攻撃者は、誰の目にも明らかな場所に潜んでいるのです
米国司法省によると、米国市民を装った北朝鮮のIT技術者によって、 300 社以上の企業が内部に潜入されたとのことです。 これには、「フォーチュン 500 」にランクインする企業だけでなく、従業員数がわずか12 名の組織も含まれます、とKnowBe4社のデータ駆動型セキュリティ推進担当者であり、同様の攻撃を特定・防止する方法について詳述した のホワイトペーパー『 』の著者であるロジャー・グライムズ氏は指摘しています。
As of 2024年5月, fraudulent foreign-based employees had collected nearly $7 million in salary from U.S. firms. FBIによると、その資金の大部分は、北朝鮮政府の兵器開発プログラムの資金源となるよう、同政府に直接流されていたとのことです。
これらの外国人IT労働者たちは、米国国内の「仲介者」たちによるネットワークの支援を受けていました。 これらの協力者は、海外に所在する従業員がこっそりとアクセスできるノートパソコンの集積施設を運営しているほか、虚偽の推薦状の作成、マネーロンダリング、その他のサービスも提供しています。 昨年5月、米国司法省（DOJ）の連邦捜査局（ ）は、外国人のIT労働者が米国の雇用主を欺くのを助けたとして、 の米国人2名を逮捕しました。
ほとんどの場合――そして、これは企業の経営陣にとって特に強調すべき重要な点なのですが――外国人従業員 は、採用された目的通りの業務を遂行していたようです。 彼らは怠け者ではありませんので、そう簡単には見つけられません。 もちろん、知らず知らずのうちに朝鮮民主主義人民共和国（DPRK）出身のIT人材を雇用することは、どのような組織にとってもさまざまなリスクを招くことになります。
[関連記事：各企業で人員削減が続く中、内部者による脅威のリスクが高まっています――その見分け方をご紹介します]
北朝鮮出身者を雇用することは、同国に対する の国際制裁 に違反する可能性があり、企業を法的リスクにさらす恐れがあります。 Sjouwerman氏は、敵対的な国家に属する従業員を雇用しているということは、企業が 内部者による攻撃 に直面する可能性が高まることを意味すると指摘しています。 北朝鮮の大学からは多くのIT技術者やブラックハットハッカーが輩出されており、彼らは皆、互いに顔見知りだ、と彼は述べています。 侵入を受けた企業は、 データ漏洩、 金融詐欺、および サプライチェーン攻撃 に対してより脆弱になります。
「もし、あの悪党がモルガン・スタンレーのIT担当の友人に『ねえ、モルガン・スタンレーの誰かが金正恩の悪口を言っているよ』というメッセージを送ったらどうなるか、想像してみてください。 「できる限り多くのダメージを与えてください。」
ディープフェイクはますます精巧になり、作成も容易になってきています
振り返ってみると、 KnowBe4 が気づくべきだったいくつかの危険信号があったと、ショウワーマン氏は認めています。
「世界中には、こうした人々が何千人もの規模で、事態を全く把握していない企業で働いています。」KnowBe4社のCEO、スチュ・ショウワーマン氏
例えば、「カイル」という人物はアトランタに住んでいると主張していましたが、 KnowBe4 社に対し、会社のノートパソコンをワシントン州の住所に送るよう依頼しました。その住所は、既知のノートパソコンファームの一つがある場所です。 ショウワーマン氏は、自身のチームが、応募者の職歴における不一致点を探したり、推薦者の身元調査を行ったりする際、もっと徹底すべきだったと付け加えています。 それ以来、同社は採用プロセスを大幅に刷新しました。
しかし、これらは高度に洗練された、 政府主導の作戦 であるため、すでに戦術を変更している可能性があると、グライムズ氏は警告しています。
さらに、AIによるディープフェイク動画の精巧化が進むにつれ、リモートでの採用面接はさらに不安定なものになるだろうと、企業向けにディープフェイク検知サービスを提供する「Reality Defender」のCEO兼共同創業者であるベン・コールマン氏は指摘しています。
[関連記事：AIでAIに対抗――AIサイバーセキュリティの究極ガイドはこちら]
コールマン氏は、過去 18 か月の間に、ディープフェイクを作成するためのコストが100 分の1に低下したと指摘しています。 オープンソースの顔・音声マッピングツールの爆発的な普及と相まって、事実上誰でも、事実上どんなことを言っているかのような、説得力のあるリアルタイム動画をこれまで以上に簡単に作成できるようになりました。これは、 の誤情報 や の偽情報 の氾濫に拍車をかけることになるでしょう。
「誰かの顔の高解像度画像1枚と、約 10 秒分の音声があれば、オープンソースのツールを使って、ZoomやTeams上の誰をも騙すことができます」と彼は付け加えます。
コールマン氏によると、リアリティ・ディフェンダー社は、大手銀行、メディア、政府機関の人事部門や採用チームと連携し、従業員の身元確認プロセスの一環として業務を行っているとのことです。 しかし、概して言えば、「偽のリモートワーカー」という問題に対する広範な認識は欠如しています。
「世界中には、こうした人々が何千人もの規模で、事態を全く把握していない企業で働いています」と、ショウワーマン氏は述べています。 「他のCEOの皆様には、現在の人材採用の取り組みを見直すことを強くお勧めします。特に、リモート勤務のエンジニアを採用するプロセスをさらに洗練させることをお勧めします。」
[こちらもぜひお読みください：次なる重要人材としてAI最高責任者（CIO）を採用すべき理由――ただし、LinkedInで見つかる候補者の半数は信用できないという点にご注意ください]
グライムズ氏によると、企業は採用プロセスにおいて の脅威モデル を適用し、外国人採用に伴うリスクについて経営陣に報告する必要があるとのことです。 面接の際には、特定の大学を卒業した人、特定の都市に住んだことのある人、あるいは以前の職場で働いたことのある人なら知っている可能性が高いが、その答えがネット上では簡単には見つからないような質問を投げかけてみてください。
可能であれば、相手を吟味する最も確実な方法は、直接会って話すことだと、彼は付け加えています。
「可能であれば、リモート勤務の従業員には、常に、本人であることを確認するため、公式の身分証明書を提示した上で、組織の従業員、チームリーダー、または指定された担当者との対面での面会を義務付けてください。」
IT職の採用候補者が「怪しい」かもしれない10 の兆候：
偽の応募者を見抜く 100 ％確実な方法はありませんが、以下の警告サインが見られた場合は、採用担当者はさらに詳しく調査すべきでしょう。
- 1. 米国での教育歴や長期間の居住歴を主張しているにもかかわらず、英語力が不足している
- 2。 アクセントが、彼らが出身だと主張している の地域とは一致しません
- 3。 職歴に関する質問への回答 が一貫性を欠いていたり、曖昧であったりします
- 4。 提供されたプロファイル以外でのデジタルフットプリントを最小限に抑える
- 5。 のソーシャルメディア上のアカウントに不整合がある、または新たに作成されたもの
- 6。 に掲載されている職務内容や成果物は、他の情報源から転載されたものです。
- 7。 GmailやOutlook.comのような、 といった公開メールドメインのみを使用します。
- 8。 には、常にVPNまたはVoIP番号を介して接続されます
- 9。 が、騒がしいコールセンターから実施した電話インタビュー
- 10。 カメラの前に出るのをためらうは、その理由について言い訳をしています
