米司法省、北朝鮮のリモートIT労働者スキーム巡り14人を起訴・2人を逮捕・機器約187台を押収と発表

https://x.com/FBIDallas/status/2110112211779654086

米司法省は10月13日、北朝鮮政府のリモート情報技術（IT）労働者スキームに対する合同措置を発表した。オハイオ州北部地区連邦検察は、70社を超える米国企業に影響を与えたconspiracyに関連して14人を起訴し、このうち米国籍の2人が逮捕された。連邦捜査局（FBI）はテキサス州で「ノートPCファーム」と呼ばれる拠点40カ所以上を捜索し、ノートPCやリモートアクセス機器約187台を押収したと司法省の報道発表資料は明らかにした。

司法省が発表した措置

司法省国家安全保障局の公式Xアカウントも同日、合同措置を告知し、オハイオ州とテキサス州での起訴・逮捕およびコンピューター機器約187台の押収を記載した。FBIクリーブランド支部も独自捜査によりオハイオ州北部地区検察が14人を起訴し、70社が被害を受けたと発表した。起訴対象と被害企業の数は両機関が同一事件について発表したものであり、異なる事件の数値を合算したものではない。

https://x.com/DOJNatSec/status/2110089489452253489

https://x.com/FBICleveland/status/2110144855032709629

司法省によると、起訴には4つの容疑、すなわち通信詐欺・資金洗浄・身元盗用に関するconspiracyが含まれている。罪名は起訴状の表現に基づくものであり、司法省も報道発表資料の末尾で、起訴状の内容は容疑に過ぎず、被告人は法廷で合理的疑いを超えて有罪が確定するまで無罪と推定されると明記した。「起訴された」ことは「有罪が確定した」ことを意味しない。起訴された14人のうち2人は身元が封印（シークレット）されており、司法省の報道発表資料に氏名は公開されていない。

逮捕されたのはペンシルベニア州のMichael James Bostelleとテキサス州のJuan Cecilio Peña Carrilloで、2人とも米国籍であるとオハイオ州北部地区検察は発表した。残りの起訴対象には中国居住とされる中国籍の人物らが含まれる。この名簿は検察が起訴状で明らかにした被告人の構成である。

手口の運用実態

検察が起訴状で主張する手口は以下の通りである。北朝鮮のIT労働者らは、盗用または偽造された身分証明書や仮想プライベートネットワーク（VPN）・プロキシインフラを用いて米国内に所在する米国人であるかのように見せかけ、米国企業のリモートIT求人に応募して採用された。米国内の協力者らは、被害企業から支給された複数台のノートPCを自宅で受け取って保管・設定し、リモートアクセスソフトウェアを導入した上で、得られた報酬を北朝鮮が管理する口座へ送金する役割を担っていたと検察は主張する。

自宅に複数台のノートPCを集積するこれら拠点を、捜査当局は「ノートPCファーム（laptop farm）」と呼んだ。司法省は、この手口が2019年から2025年7月頃まで継続し、被害企業から約300万ドルの収益が生じ、その資金が北朝鮮の管理下にある制裁対象主体へ送金されたとみられると発表した。300万ドルおよび送金経路は検察が起訴状と報道発表資料で主張した内容であり、裁判所の判断によって確定した金額ではない。被害業種は医療・通信・サイバー支援・小売・製造で、オハイオ州およびその他16州、ワシントンD.C.の企業が含まれていると検察は記した。

テキサス州では別個の作戦が展開された。FBIは9月21日から25日にかけて、テキサス州内でノートPCファームと判明または疑われる拠点40カ所以上を捜索し、全体作戦「ローンスター・ラウンドアップ」においてノートPCやキーボード・映像・マウス（KVM）機器約187台を押収した。FBI長官の公式アカウントは週間集計において、北朝鮮の手口に関連して14人起訴、2人逮捕、機器180台以上押収と記載した。司法省の報道発表資料での集計は「約187台」であり、FBI長官の投稿での集計は「180台以上」となっている。

https://x.com/FBIDirectorKash/status/2111192508780642687

企業への警告

司法省は同日、FBIが企業向けの公式警告（PSA）を発出したと明らかにした。警告では、民間企業の検知能力向上に伴い、北朝鮮のIT労働者が米国人協力者をより積極的に勧誘し、協力者に割り当てる業務範囲を拡大させ、場合によっては業務全体を第三国の労働者へ再委託する手口へと変化していると説明している。司法省の報道発表資料は、企業に対して採用プロセスにおける本人確認強化を求める趣旨の既存の警告にも言及した。

「フェイマス・チョリマ（Famous Chollima）」はCrowdStrikeが付与した識別名であり、裁判所が認定した名称ではない。北朝鮮政府は今回の起訴について公式な反応を示していない。

ノートPCファームは米国内の住居住所と米国人協力者を利用するため、検察はこれを海外からのハッキングにとどまらず、米国内での身元盗用と採用手続きが絡み合った事件として説明している。司法省は、今回の措置が北朝鮮の不正収益遮断initiativeの一環であり、同種の措置が2025年6月・11月および2026年4月・5月にも実施されたと記した。

司法省が言及した2022年5月の合同警告では、北朝鮮のIT労働者が個人ベースで年間最大30万ドルまで稼ぐ可能性があると説明されていた。これは警告における一般的な説明であり、今回の被告人個人の所得として確認された数値ではないため混同してはならない。国務省による関連情報への最大500万ドルの報奨金についても報道発表資料で言及された。

2025年の警告で新たに具体化された恐喝とデータ持ち出し

今回の起訴に先立ち、連邦捜査局は北朝鮮IT労働者が採用された後に企業内部でどのような追加行為を行うかについて、警告文を段階的に更新してきた。FBIが2025年1月23日に発出した公式警告（PSA I-012325-PSA）は、身元が発覚した労働者が持ち出した専有データやコードを人質に身代金を要求し、要求が受け入れられない場合には被害企業のコードを公開した事例があったと記した。同警告は、彼らがGitHubなどの企業コードリポジトリを個人のプロファイルや個人クラウドのアカウントへ複製し、企業支給外の機器から作業セッションを開くために認証資格情報やセッションクッキーを収集しようとする可能性があると説明した（FBI IC3警告、2025-01-23）。今回の起訴状にある収益移転の主張とは別に、企業ネットワークへのアクセス自体がデータ流出の経路となり得る点が連邦警告の核心である。