オンラインで採用した人は本当にその本人か？

オンラインで面接をした。経歴書とポートフォリオも確認した。技術テストの結果も悪くない。契約書も交わした。

ここまで揃えば、安心して仕事を任せられる。そう思いたくなります。

ただ、オンライン採用やリモートの業務委託では、面接に出た人、契約書に名前がある人、報酬を受け取る人、実際に作業する人が、必ずしも同じとは限りません。

これは一部の大企業だけが警戒すべき話ではありません。

クラウドソーシングでWebサイト制作を頼む。
外部エンジニアにアプリ開発を委託する。
副業人材に社内のクラウド環境へ入ってもらう。

相手と直接会わないまま、自社の情報やシステムに触れてもらう場面は、すでに多くの会社で起きています。

2026年7月31日、警察庁、国家サイバー統括室、外務省、財務省、経済産業省は、海外の関係機関と共同で「北朝鮮IT労働者に関する各国・企業等に対する注意喚起」を公表しました。資料には、身分証明書の偽造や第三者へのなりすまし、第三者名義の口座、VPNやリモートデスクトップによる所在地の隠蔽など、具体的な手口が示されています。

一次情報は特定の国による活動を扱ったものです。

しかし、企業が実務として考えるべきなのは、特定の国籍や居住地を疑うことではありません。

契約名義、実際の作業者、支払先、アクセスする人が一致しているか。それを相手の属性にかかわらず、同じ手順で確認できているかという問題です。

「スキルが高い」と「安全に任せられる」は別

IT業務を外注するとき、発注側がまず見るのはスキルです。

どのような実績があるか。
使える言語やツールは何か。
納期を守れそうか。
やり取りは円滑か。

どれも大切です。

ただし、技術力が高いことと、自社の情報やシステムへ安全にアクセスさせられることは別の話です。

外部エンジニアに開発を頼めば、ソースコード、テスト環境、クラウドの管理画面、APIキーなどに触れる可能性があります。
業務によっては、顧客情報や本番環境へ接続することもあるでしょう。

デザイナーやライターでも、未公開の商品情報、広告計画、社内資料が入った共有フォルダを見ることがあります。

採用や発注の現場では「この人は仕事ができそうだ」という印象が、本人確認や権限管理の代わりになりがちです。

しかし、優秀そうに見えることと、本人、契約、作業環境を確認できていることは切り離して考える必要があります。

面接した人と作業する人が違ったら

面接ではAさんと話し、契約書にもAさんの名前がある。

ところが、実際に作業しているのはBさんで、振込先はCさん名義。
ログインしている端末は、申告された地域とは別の場所にある。

この状態で情報漏えいや不正アクセスが起きても、責任の所在を追うのは困難です。

誰がコードを書いたのか。
誰が顧客情報を見たのか。
誰に秘密保持義務があるのか。
どのアカウントを止めればよいのか。

その前提さえ分からなくなります。

もちろん、チームで作業すること自体が問題なのではありません。
制作会社や開発会社へ委託すれば、複数人で進めるのは一般的です。

問題は、発注側が把握していない人に把握していない場所から許可していない方法で作業されることです。

誰が参加するのか。
再委託はあるのか。
どのアカウントを使うのか。

これらが事前に共有され、契約と権限に反映されていれば、複数人での作業でも管理できます。

AI時代は「違和感」に頼れない

以前なら、不自然な応募文やぎこちない受け答えが、相手を確認する手がかりになることもありました。

今は応募文、経歴書、提案書、面接の想定回答まで生成AIで整えられます。映像や音声を加工する技術も進んでいます。

今回の注意喚起でも、翻訳サービスや大規模言語モデルを使い、第二言語でも説得力のあるプロフィールや文章を作る場合があると説明されています。また、身分証明書と映像の不一致、改ざんまたは人工生成されたように見える映像なども確認項目に挙げられています。

つまり「文章が自然だった」「オンライン面接で顔を見た」「受け答えが丁寧だった」だけでは、本人確認として十分とはいえません。

ただし、ここで疑いすぎる方向へ振れるのも問題です。

日本語が不自然だから怪しい。
カメラを使わないから怪しい。
海外在住だから怪しい。

通信環境、言語、体調、障害、家庭の事情、時差など、そこにはさまざまな理由が考えられます。

一つの特徴だけで判断してはいけません。
政府の注意喚起も、複数の特徴が重なった場合に可能性を考えるという書き方になっています。

見るべきなのは属性ではなく、確認できる事実です。

身分証、契約名義、振込先、実際の作業者、再委託の有無、アクセス履歴。これらを全員に同じ基準で確認するほうが、担当者の感覚より信頼できます。

なぜコンプライアンスの問題になるのか

これは採用担当だけで完結する話ではありません。

人事、現場責任者、情報システム、法務、経理が関係する、会社全体の管理課題です。

情報漏えい
外注先や副業人材に、必要以上の権限を渡していないでしょうか。
開発環境だけで足りるのに本番環境へ入れる。案件に不要な顧客情報まで共有する。社内全体のフォルダを閲覧できる状態にする。
本人や作業者を十分に把握しないまま広い権限を渡すと、誰が何を見たのか後から追えなくなります。

契約の実効性
契約書に秘密保持義務を書いていても、実際に作業する人が契約相手と違えば、その条項が現場まで届いていない可能性があります。
無断で再委託されていれば、秘密保持や情報管理の条件を、作業者本人が知らないことも考えられます。
契約書があることだけでなく、契約の対象者と実作業者が一致しているかまで確認する必要があります。

支払いの透明性

契約名義と振込先名義が異なる。個人契約なのに第三者の口座を指定される。通常の銀行振込を避け、暗号資産や別の送金サービスを求められる。
これだけで不正と断定はできません。
ただし、理由を確認すべきサインではあります。

今回の注意喚起でも、第三者口座の使用、送金サービスや暗号資産による支払い要求が手口として挙げられています。

支払いは単なる事務処理ではありません。
誰と契約し、誰に対価を渡しているのかを確認する内部統制の一部です。

発注前に決めておく三つのこと

本人確認の方法を統一する
本人確認を担当者の判断に任せず、社内手順として決めます。
個人との契約なら、本人確認書類、オンライン面接、契約名義、振込先名義を確認する。
法人との契約なら、法人名、所在地、代表者、担当者、連絡先を確認する。

重要なのは、国内外を問わず同じ基準で行うことです。

本人確認書類をメールやチャットにそのまま保存すれば、新たな個人情報管理のリスクも生まれます。
確認方法、保存場所、閲覧できる担当者、保存期間もあわせて決めておく必要があります。

実際に作業する人を確認する
個人で作業するのか。チームで作業するのか。再委託は認めるのか。作業者を追加するときは事前承認が必要か。
ここを契約時に明確にします。
再委託を認める場合でも、作業者の氏名や役割を発注側が把握し、同じ秘密保持やセキュリティ条件を適用できる状態にしておくべきです。

契約書に書くだけでなく、発注時の説明や開始時の確認にも含めないと、現場では見落とされます。

支払いルールを決める
契約名義と振込先名義が一致しているか。
第三者名義の口座を指定された場合、理由と関係性を確認したか。
暗号資産や送金サービスを求められた場合、誰が承認するのか。

例外を認める条件と承認者を決めておけば、担当者がその場で判断せずに済みます。

契約後はアクセス管理で守る

本人確認をしても、それだけで安全になるわけではありません。
仕事が始まった後は、アクセス権限とアカウントの管理が重要です。

権限は必要最小限にする。
本番環境ではなく、可能な限り開発環境を使う。
顧客情報は必要な項目だけに絞り、マスキングする。
APIキーやパスワードをチャットで送らない。
共有フォルダは案件ごとに分け、閲覧と編集の権限を分ける。

会社側が発行した個人別アカウントを使い、複数人で一つのIDを共有させないことも大切です。

共通アカウントでは、誰が操作したのか記録できません。作業者が変わっても気づきにくくなります。

契約終了時には、アカウントの停止、共有リンクの解除、貸与端末の返却、データ削除の確認までを一つの手順にします。

ログは相手を疑うためだけのものではない

アクセスログを残すことに対して「監視されているようで抵抗がある」と感じる人もいるでしょう。

しかし、情報を扱う業務では、ログは作業者を守る側にも働きます。

問題が起きたときにログがなければ、関係者全員が疑われかねません。
記録が残っていれば、不正な操作をしていないことを示せる場合があります。

大切なのは、目的と範囲を明確にすることです。

どのシステムの記録を残すのか。
誰が確認するのか。
どのくらい保存するのか。
問題が起きたときだけ見るのか。
日常的に確認するのか。

従業員や委託先へ説明せず、必要以上の監視を行えば不信感を招きます。

ログは誰かを見張るためではなく、会社として「誰が、いつ、どの情報に触れたか」を説明できる状態にするためのものです。

明日から確認できること

まず、次の点を見直します。

オンラインだけで採用や発注が完了していないか。
本人確認の方法が担当者ごとに違っていないか。
契約相手と実際の作業者を確認しているか。
第三者名義の口座や特殊な支払い方法を求められた場合の確認手順があるか。
外部の人に与えたアカウントや共有権限を、定期的に棚卸ししているか。
不審な点を見つけた人が、人事、情報システム、法務などへ相談できる窓口があるか。

クラウドソーシングで開発を依頼し、その流れでGitHub、Google Drive、クラウド管理画面までアクセスを許可している場合は、一度確認しておいたほうがよいでしょう。

おわりに

オンライン採用やリモートの業務委託は、地域を越えて人材とつながれる便利な仕組みです。

一方で、面接に出た人、契約名義、報酬の受取人、実際の作業者、システムへアクセスする人が一致しているとは限りません。

だから必要なのは、特定の国や属性を疑うことではありません。

本人確認、契約名義、支払先、実作業者、アクセス権限を分け、全員に同じ手順で確認することです。

「仕事ができそうだから大丈夫」ではなく、会社として説明できる確認を行ったか。

オンライン採用と外注管理では、その違いが会社と作業者の双方を守ります。