リモート採用で本人確認は誰の担当にもなっていない

何が起きたのか

FBI が米連邦機関でリモート勤務していた IT 人材を北朝鮮籍と見て捜査を開始した(TechCrunch)。スタートアップでも暗号資産取引所でもない。採用手続きが最も厳格とされる政府機関である。

突発的な事件ではない。米司法省は 2025 年 11 月の摘発発表で、米国内の協力者を介して北朝鮮 IT 人材が就業した被害企業を 136 社と集計している(DOJ)。別件で起訴された北朝鮮籍 14 名の事件では、約 6 年で少なくとも 8,800 万ドルが政権側に渡ったとされる(DOJ)。米国務省は 2026 年 7 月、各国政府と企業に向けて個別の警告を出した(State Department)。

手口を見れば見逃した理由がわかる。盗用・借用・合成した身分で書類を整え、米国内に置いたラップトップファームとプロキシホスト経由で接続し、応募者が実際に米国にいるように見せていた(DOJ)。会社が確認した項目はすべて通過した。確認しなかった項目だけが偽りだった。

創業者にとっての意味

リモート採用の各段階を分解すると、それぞれが何を検証しているかが見えてくる。書類選考は経歴の妥当性を見る。技術面接はコードを書けるかを見る。リファレンスチェックは一緒に働いた人の評価を集める。バックグラウンドチェックは提出された氏名と識別番号に紐づく記録を照会する。

このどれも「いま画面の向こうにいる人物がその名前の本人か」を問うていない。技術面接は通過して当然だ。実際に働く技術者が受けているからである。バックグラウンドチェックも綺麗に出て当然だ。照会先が実在する別人の記録だからである。段階を増やせばこの問いがどこかで自動的に処理される、ということにはならない。

日本のスタートアップ環境ではもう一段の事情が重なる。副業・業務委託での参画が当たり前になり、契約形態が正社員採用の手続きから外れる。フルリモートを前提に地方や海外在住のエンジニアを迎える設計が広がった。マイナンバーカードによる公的個人認証という手段はあるのに、業務委託の入り口では省略されがちだ。どれも合理的な判断の積み重ねで、合わせると本人確認が誰の担当でもない構造になる。

損失は給与ではない。FBI は、彼らが得た社内ネットワークへのアクセス権で機密情報と認証情報を持ち出し、後続の攻撃に使ったとしている(TechCrunch)。エンジニア一人の採用ミスではなく、リポジトリと本番環境の資格情報を丸ごと渡す話である。制裁対象国の人材へ報酬を支払った事実そのものも、別途の法的リスクとして残る。

今できること

本人確認を独立した工程として名前をつける。 採用プロセスの文書を開き、「応募者が本人であることを確認する」ことを目的として明記した段階を探す。名前で見つからなければそれが答えだ。技術面接やリファレンスチェックが兼ねていると考えていたなら、上で見たとおり兼ねていない。

負荷は最終候補一人に集中させる。 全応募者に本人確認書類を求めれば応募率が下がり、費用も膨らむ。オファー直前に身分証の実物と顔を同時に確認する工程を置けば、対象は一人に絞られる。

住所と支払情報の不一致をチェック項目に入れる。 履歴書の住所、報酬振込口座の名義、接続元 IP のレンジ、機材の配送先が別々の国を指す組み合わせは、実際の事件で繰り返し現れた兆候だ。単独ではそれぞれ正当な理由がつく。四つが同時にずれる例は少ない。

入社初週の権限を絞る。 本人確認をどれだけ厳密にしても完全ではない。初週に本番環境の資格情報とリポジトリ全体へのアクセスを同時に渡さないだけで、最悪の想定は大きく縮む。これはこの事件と関係なく整えておく価値がある。