Północnokoreańscy fałszywi pracownicy IT wyłudzili 3 mln dolarów, infiltrując firmy przez zdalną rekrutację

Wprowadzenie do problemu / definicja

Zagrożenie związane z północnokoreańskimi „pracownikami IT” polega na przenikaniu do organizacji przez legalnie wyglądające procesy rekrutacyjne. Osoby działające w imieniu reżimu zdobywają zdalne stanowiska techniczne, posługując się skradzionymi lub sfabrykowanymi tożsamościami, a następnie uzyskują dostęp do infrastruktury przedsiębiorstw. Taki model łączy oszustwo tożsamościowe, omijanie kontroli geolokalizacyjnych oraz ryzyko typu insider threat.

Sprawa ujawniona przez amerykańskie organy ścigania pokazuje, że współczesne operacje sponsorowane przez państwo nie zawsze zaczynają się od phishingu lub wykorzystania podatności. Coraz częściej punktem wejścia staje się dział HR, proces onboardingu i logistyka sprzętu dla pracowników zdalnych.

W skrócie

Amerykańskie służby ujawniły skoordynowaną operację wymierzoną w siatkę powiązaną z Koreą Północną, która miała lokować fikcyjnych specjalistów IT w firmach działających w Stanach Zjednoczonych. Według ustaleń śledczych proceder objął ponad 70 przedsiębiorstw w 17 stanach i wygenerował około 3 mln dolarów przychodu.

W ramach działań operacyjnych przeszukano ponad 40 lokalizacji w Teksasie i zabezpieczono około 187 urządzeń, w tym firmowe laptopy wysyłane rzekomym pracownikom zdalnym. Mechanizm ataku opierał się na podszywaniu się pod obywateli USA, wykorzystywaniu VPN-ów, serwerów pośredniczących oraz lokalnych pomocników, którzy odbierali sprzęt i udostępniali go faktycznym operatorom.

atakujący wykorzystywali skradzione tożsamości,
sprzęt trafiał do tzw. laptop farms,
dostęp do systemów ofiar był utrzymywany pod pozorem legalnego zatrudnienia,
celem było zarówno pozyskanie pieniędzy, jak i uzyskanie trwałej obecności w środowiskach firmowych.

Kontekst / historia

Model zatrudniania północnokoreańskich operatorów jako zdalnych pracowników IT nie jest nowy, ale w ostatnich latach wyraźnie dojrzał i zyskał skalę. Wcześniejsze ostrzeżenia amerykańskich instytucji wskazywały, że tysiące takich osób próbują zdobywać zatrudnienie w zachodnich firmach, szczególnie w sektorach technologicznych, usługowych, ochrony zdrowia oraz konsultingu.

Dla reżimu jest to atrakcyjny sposób generowania wpływów finansowych, ponieważ pozwala uzyskiwać środki w relatywnie cichy sposób, bez przeprowadzania spektakularnych operacji destrukcyjnych. Dodatkową korzyścią jest możliwość legalnego z pozoru wejścia do sieci i systemów przedsiębiorstw.

Najnowsze ustalenia pokazują również istotną rolę lokalnych pośredników. To oni odbierają przesyłki ze sprzętem, zapewniają adresy w USA, pomagają w konfiguracji dostępu oraz pośredniczą w utrzymaniu pozorów, że zatrudniona osoba rzeczywiście pracuje z deklarowanej lokalizacji. Według śledczych proceder trwał od 2019 roku do połowy 2025 roku.

Analiza techniczna

Z technicznego punktu widzenia kampania opierała się na kilku warstwach maskowania. Pierwszą była warstwa tożsamościowa: wykorzystanie skradzionych dokumentów, danych osobowych i wiarygodnie przygotowanych profili zawodowych. Drugą była warstwa sieciowa: VPN-y, proxy, adresy IP z państw trzecich i infrastruktura zlokalizowana na terenie USA. Trzecią warstwą była logistyka sprzętowa, czyli przejmowanie laptopów wysyłanych przez pracodawców.

Kluczową rolę odgrywały tzw. laptop farms, czyli fizyczne lokalizacje, w których przechowywano służbowe urządzenia należące do ofiar. Pośrednicy konfigurowali na nich narzędzia zdalnego dostępu, przełączniki KVM i inne rozwiązania umożliwiające korzystanie z urządzeń tak, jakby użytkownik znajdował się lokalnie. To znacząco utrudnia wykrycie, ponieważ urządzenie rzeczywiście pracuje z amerykańskiej sieci i jest legalnie wydanym endpointem.

Po uzyskaniu zatrudnienia operator mógł otrzymać dostęp do kodu źródłowego, repozytoriów, środowisk CI/CD, paneli administracyjnych, danych klientów czy zasobów chmurowych. W zależności od roli możliwe stawało się także wprowadzenie tylnej furtki do oprogramowania, eksfiltracja danych, kradzież własności intelektualnej lub przygotowanie gruntu pod dalsze działania ofensywne.

Śledczy zwracają też uwagę, że operacje tego typu są stale rozwijane. Coraz częściej uczestniczą w nich świadomi lub nieświadomi współpracownicy na terenie USA, a część czynności bywa delegowana osobom trzecim. To utrudnia atrybucję i osłabia skuteczność kontroli opartych wyłącznie na geolokalizacji lub prostym sprawdzeniu danych kandydatów.

Konsekwencje / ryzyko

Najbardziej oczywistą konsekwencją jest finansowanie podmiotów objętych sankcjami. Jednak z perspektywy bezpieczeństwa firm istotniejsze jest to, że organizacja wpuszcza do środka osobę działającą jak pełnoprawny insider. Taki „pracownik” może przez wiele miesięcy funkcjonować w granicach legalnie nadanych uprawnień, co znacząco obniża skuteczność klasycznych mechanizmów detekcji.

Ryzyko dla przedsiębiorstw obejmuje kilka krytycznych obszarów:

kradzież danych wrażliwych i własności intelektualnej,
kompromitację środowisk deweloperskich i pipeline’ów dostarczania oprogramowania,
naruszenie wymagań compliance oraz reżimów sankcyjnych,
utrzymanie ukrytego dostępu do systemów po zakończeniu współpracy,
straty reputacyjne wynikające z błędów w procesie rekrutacji i onboardingu.

Szczególnie narażone są organizacje zatrudniające dużą liczbę pracowników zdalnych, prowadzące szybkie procesy rekrutacyjne i wysyłające sprzęt bez rygorystycznej weryfikacji odbiorcy. Problem dotyczy nie tylko korporacji, ale także startupów, software house’ów i firm outsourcingowych, które często mają słabsze procesy kontrolne.

Rekomendacje

Organizacje powinny traktować rekrutację na stanowiska techniczne jako element powierzchni ataku. W praktyce oznacza to ścisłą współpracę działów HR, bezpieczeństwa, IT oraz zespołów odpowiedzialnych za logistykę sprzętu i onboarding nowych pracowników.

Najważniejsze działania obronne to:

wieloetapowa weryfikacja tożsamości kandydatów,
obowiązkowe rozmowy wideo z potwierdzeniem wizerunku,
analiza spójności historii zatrudnienia, numerów telefonów i adresów,
zakaz przekierowywania wysyłki sprzętu na adresy pośredników,
monitorowanie geolokalizacji logowań i anomalii czasowych,
wykrywanie narzędzi zdalnego dostępu oraz nietypowych konfiguracji endpointów,
stosowanie zasady least privilege,
segmentacja dostępu do kodu, środowisk produkcyjnych i chmury,
audyt aktywności użytkowników uprzywilejowanych,
szkolenie HR i menedżerów technicznych w zakresie sygnałów ostrzegawczych.

Do najczęstszych red flags należą niechęć do wideorozmów, presja na szybkie zatrudnienie, prośby o zmianę adresu dostawy sprzętu, niespójności w CV, nietypowe formy rozliczeń oraz aktywność sieciowa niezgodna z deklarowaną lokalizacją pracownika. W środowiskach podwyższonego ryzyka warto wdrożyć formalny proces secure onboarding oraz okresowe ponowne potwierdzanie tożsamości osób pracujących zdalnie.

Podsumowanie

Ujawniona operacja pokazuje, że legalne procesy biznesowe mogą zostać przekształcone w skuteczny wektor wejścia do organizacji. Rekrutacja, onboarding i dostarczanie sprzętu stają się dziś równie ważne z punktu widzenia cyberbezpieczeństwa jak zabezpieczenia sieciowe czy ochrona aplikacji.

Dla zespołów bezpieczeństwa to wyraźny sygnał, że obrona organizacji musi obejmować nie tylko infrastrukturę i systemy, ale również kontrolę tożsamości, logistykę sprzętu oraz procedury HR. W przeciwnym razie firma może sama wyposażyć atakującego w laptop, konto i autoryzowany dostęp do własnego środowiska.