本レポートは、アジア最大のITアウトソーシング市場である日本のB2BおよびB2G市場を標的に活動する北朝鮮IT組織の実態を解明した分析文書です。確保された悪性コード(RedLine Stealer)のログに基づき分析した結果、彼らは単なる外貨稼ぎを超え、ソフトウェアサプライチェーンへの浸透および金融ハッキングなど、直接的なサイバー犯罪組織へと変貌していることを確認しました。彼らは物理的には中国に居住しながら、論理的には日本や米国の居住者として完璧に偽装し、フリーランサープラットフォームに浸透しています。
北朝鮮は国際社会の制裁を回避し、統治資金を確保するため、全世界的に不法な外貨稼ぎ活動を行っています。特に、日本は地理的な近接性に加え、アジア最大規模のIT外注市場を保有しており、北朝鮮IT組織の最優先ターゲットとなっています。
分析対象は単一の人物ではなく、少なくとも2名以上のチーム(Cell)単位で活動しており、役割に応じて多数の偽装身分を運用する組織的な形態を示しています。
| 区分 | 識別情報 (Identity) | 使用場所および根拠 (Source) | 備考 (Notes) |
|---|---|---|---|
| システムユーザー | jks03 | UserInformation.txt | 内部管理用ID (チョン・グァンソン、ジン・ギョンス等のイニシャルと推定) |
| メール (Main) | [email protected] | Google Chrome Logs, Edge Logs | メイン活動アカウント |
| メール (Sub) | [email protected] | Microsoft Edge Session Logs | チームメンバー推定 (チェ/リ/チョン氏等のイニシャル組合せ) |
| 偽名 (中国) | Mingwen | Bing Cookieデータ | 中国居住身分の偽装用 |
| 偽名 (日本) | 献身_Devotion | Coconala, Chrome Autofill | 日本フリーランサー活動用の中核ペルソナ |
| 偽名 (日本) | ichiruru | Google Chrome Logs | 日本人偽装用のサブアカウント |
| 資金受取人 | Jiang Y.X. (jiangyx2018) | Paypal (126.com ドメイン) | 資金洗浄協力者 (中国人借名口座) |
彼らは「物理的中国居住、論理的米国/日本偽装」という二重構造を通じて追跡を回避しています。
単純なIT開発業務を超え、高収益を狙った金融ハッキングおよび詐欺サイト運営など、犯罪活動の比重が高いです。
有料株式/コイン自動売買プログラム(EA)のセキュリティを突破し、ソースコードを窃取または改造して再販売しています。
デーティングアプリのソースを複製して多数の詐欺性サイトを開設し、決済収益を搾取しています。
日本人開発者として偽装し、Coconala, CrowdWorks, Lancers など主要プラットフォームで活動しています。 CrowdWorksのCookieデータからは「着手」、「完成」など日本語ビジネス対応マニュアルが発見され、1件あたり50万～150万円規模のプロジェクトを受注した記録が確認されました。
稼いだ外貨は追跡を回避するため、多段階の洗浄過程を経て北朝鮮へ送金されます。
| 第1段階: 1次受取 |
借名口座の活用 日本でのフリーランサー収益等を中国人協力者(Jiang)名義の口座で受取 - Paypal ([email protected]) - Payoneer CN (中国 Payoneer) |
| 第2段階: 2次洗浄 |
仮想通貨(Crypto)転換およびミキシング 追跡が困難なコインに洗浄、または海外取引所を経由 - Coinbase (米国), Zipmex (東南アジア) - Uniswap, PancakeSwap (DeFi 分散型取引所) |
悪性コード感染を通じて確保されたログファイルおよび実際の活動サイトを分析した結果、以下のような決定的な証拠が確認されました。
🔍 RedLine Stealer 悪性コード感染ログ分析結果
感染したPCのスクリーンショットでは、以下のような決定的な証拠が発見されました：
※ 実際のスクリーンショットにはシステム全体画面、ブラウザCookieログ、オートフィルデータ、ファイルシステム構造などが含まれています。
📱 出会いのマッチングサイト（システム）を開発します
| サービスURL: | https://coconala.com/services/2447792 |
| 提供サービス: | デーティングマッチングサイト開発 (出会いのマッチングサイト) |
| サンプルサイト: | https://dating.kpdomain.host/ (.kp = 北朝鮮ドメインコード) |
| 納期: | 3日 |
🚨 主な発見事項:
※ 正常な日本のフリーランサーであれば、北朝鮮ドメインをサンプルとして使用する理由は全くありません。
🎭 ITエンジニア - 献身_Devotionさん のプロフィール
| プロフィールURL: | https://coconala.com/users/3242934 |
| 活動名: | 献身_Devotion |
| 職業: | ITエンジニア / 男性 |
| 経歴: | 2003年からIT業界に従事 (ITベンダー会社での経歴後、フリーランス) |
| 最終ログイン: | 2年前 (半年以上未接続) |
📋 提供サービス一覧:
⚠️ 疑わしいポイント:
※ 正常な日本フリーランサーエンジニアが本人確認もせずに不法デコンパイルサービスを提供することは極めて異例です。
| サイト/サービス | URL/情報 | 用途 | 発見経緯 |
|---|---|---|---|
| Datingスキャムサイト | dating.kpdomain.host | 詐欺性デーティングサイト運営 | Coconalaポートフォリオで発見 |
| Video Chatサイト | video_chat.com | 同一ソースコード複製サイト | ブラウザセッションログで確認 |
| Stripe Dashboard | dashboard.stripe.com | 決済モジュール直接管理 | Edgeネットワークログで接続記録 |
| ForexDLL | 多数のトレーディングサイト | EAデコンパイル対象 | ブラウザタブおよびフォルダ名 |
| HighLow.com | バイナリーオプションサイト | 自動売買連動システム | プロフィール経歴事項に明記 |
本分析を通じて識別された組織は、 「中国内に拠点を置き、米国/日本等の身分を盗用して、ハッキングツール販売およびスキャムサイト運営など不法な方式で外貨を稼ぐ専門的な北朝鮮IT犯罪組織」です。
彼らは内部的に jks03, crj1026 などのIDを使用し、徹底した身分偽装を通じて日本IT市場深くに浸透しています。特に単純な開発業務の受注にとどまらず、悪性コードの流布や金融ハッキングのような積極的なサイバー犯罪へと活動領域を拡張しているという点で、日本および関連国家のITエコシステムにとって深刻な脅威となっています。
⚠️ 彼らはセキュリティ意識の弛み(不法ソフトウェアダウンロード)による悪性コード感染で活動証拠が露出しましたが、依然として多数の未識別組織が活動中であると推定されます。