10月30日、セキュリティ系ブログ『madrobot.blog』が「North Korea's hackers and fake IT workers now lean on AI at every step, Microsoft says」と題した記事を公開した。この記事では、北朝鮮の国家ハッカー集団がAIを採用・フィッシング・マルウェア開発のあらゆる工程に組み込み、攻撃規模と精度を向上させているという、Microsoftの脅威インテリジェンスレポートについて詳しく紹介されている。
Microsoftは2026年10月29日、北朝鮮の脅威アクターによるAI活用状況を追跡したMicrosoftの脅威インテリジェンスレポートを公開した。同社の評価では、北朝鮮のAI採用度は「高い（High）」であり、追跡対象の8つのハッキンググループのうち3つが「完全運用段階（Operationalized）」に達している。
Microsoftは北朝鮮グループを「Sleet」のコードネームで管理している。Jade Sleet・Coral Sleet・Jasper Sleetが最上位の「Operationalized」、Diamond Sleet・Onyx Sleet・Pearl Sleet・Sapphire Sleetが「Accelerating」、Emerald Sleetが「Expanding」に分類され、最下位の「Emerging」に留まるグループはゼロだ。攻撃目標は従来通り——制裁下の体制への資金調達、諜報収集、暗号資産・金融企業・IT企業・政府機関・教育機関へのサイバー攻撃——だが、AIがその効率を底上げしている。
偽採用担当者と偽リモートワーカー
攻撃の多くは「採用」を軸に展開される。Jade Sleetは6月8日〜12日のわずか5日間に、AI・ブロックチェーン・サイバーセキュリティ分野の人材に対して、架空の「AI駆動型ブロックチェーンインテリジェンス企業」の採用担当者を装い接触した。同期間に別の2社のフロント企業でも同様のキャンペーンを展開しており、Microsoftはこのペースが生成AIなしには成立しないと判断している。
採用の「応募側」を担うのがJasper Sleetだ。このグループは北朝鮮の偽リモートITワーカー工作の主体であり、偽造された身元で実在する企業に就職させる手口を使う。過去1年でAI支援による履歴書作成ワークフローが高度化し、ペルソナ（架空人物）の生成速度・数量・役職への適合度がいずれも向上した。複数の偽ワーカーを同時に管理するためにもAIが活用されており、具体的には以下の用途が確認されている。
- 履歴書・面接回答の作成
- コーディングテストの補助
- 翻訳とトーン調整
- プロフィール写真・映像・音声・背景の加工
「数分で100個のフィッシングファイル」が示す自動化の実態
自動化の規模が最も明確に示されているのがOnyx Sleetの事例だ。Microsoftは2026年8〜9月に確認された100件以上のPDFルアー（フィッシング用おとりファイル）を分析した。各ファイルにはターゲット固有の情報が含まれており、メタデータから数十ファイルが数分以内に生成されたことが判明。Microsoftはこれを「AIプラットフォームによる出力である可能性が極めて高い」と結論づけている。
このフィッシングは主に韓国ユーザーを標的としており、短時間で再生成できるルアーは検知・阻止が困難になる。
Diamond Sleetは偽の通信技術企業をウェブサイトごと立ち上げ、業務提携を装って通信会社に接触する偵察活動にAIを活用している。
マルウェア開発にもAIコーディングツール
CursorなどのAIコーディングプラットフォームが、複数グループのマルウェア開発を支援していると見られる。Jade Sleet・Coral Sleet・Pearl Sleet・Sapphire Sleetがコード生成・変換・デバッグ・難読化・防衛回避後の迅速な再構築にAIを利用しているとMicrosoftは指摘する。
Sapphire Sleetは2026年8月にRust開発者を標的とした攻撃にAIを利用したと考えられており、そのマルウェアは「過去のキャンペーンと比べて著しく改良されていた」とされる。Coral Sleetは4月以降、プライベートGitHubリポジトリのトロイの木馬化を実施しており、この手口は「AIを活用した開発プラットフォームで構築された可能性が極めて高い」とMicrosoftは評価する。
さらに新たな展開として、Onyx SleetとPearl Sleetが10月下旬からオープンソースの自律型AIペネトレーションテストフレームワークARTEX（攻撃者向けに設計された、AIが侵入テストの手順を自律的に実行するツール）を利用し始めたことが確認されている。ARTEXは先週、中国系グループのクラウド侵害との関連が指摘されたほか、日本企業や韓国の4銀行への攻撃にも使われたとされるツールだ。ただしMicrosoftは、北朝鮮のAI活用は「依然として人間が指揮しており、完全自律化には至っていない」と明記している。
採用担当者が今すぐ確認すべき項目
Microsoftはレポートの中で、偽ITワーカーへの具体的な対策を提示している。採用プロセスそのものが攻撃の入り口となっている現状を踏まえ、各項目は「なぜそれが必要か」という背景とセットで理解しておきたい。
- 人材紹介会社経由の候補者は特に厳重に精査する（北朝鮮ワーカーが最も潜入しやすいルートとされる）
- 候補者のプロフィールや電話番号が他のアカウントと共有されていないか確認する（同一人物が複数のペルソナを使い回している可能性があるため）
- 採用リファレンス確認はメールのみでなく電話またはビデオ通話で行う（AIによるメール文面の精度が急上昇しており、テキストだけでは真偽の判別が難しくなっているため）
- 複数回のビデオ通話で本人確認を行い、カメラ・マイクの不具合を申告する候補者はレッドフラグとして扱う（ディープフェイク回避や身元の不一致を隠すための常套手段とされる）
採用面接がすでに攻撃面（アタックサーフェス）の一部となっている現状を、Microsoftのレポートは端的に示している。
詳細はNorth Korea's hackers and fake IT workers now lean on AI at every step, Microsoft saysを参照していただきたい。
