Wprowadzenie do problemu / definicja
Oszustwa rekrutacyjne powiązane z Koreą Północną od kilku lat stanowią istotne zagrożenie dla organizacji zatrudniających pracowników zdalnych. Mechanizm ten opiera się nie na klasycznym włamaniu do systemów, lecz na skutecznym przejściu procesu rekrutacyjnego z użyciem fałszywych lub skradzionych tożsamości, a następnie uzyskaniu legalnego dostępu do infrastruktury firmy.
Najnowsze obserwacje wskazują, że zjawisko przestało dotyczyć wyłącznie branży IT. Coraz częściej obejmuje również sektor medyczny, sprzedaż, marketing oraz inne role biznesowe, co znacząco poszerza powierzchnię ataku i utrudnia wykrywanie podobnych operacji.
W skrócie
- Schemat północnokoreańskich „fałszywych pracowników zdalnych” wychodzi poza stanowiska techniczne.
- W kampaniach pojawiają się role związane z ochroną zdrowia, finansami, sprzedażą i marketingiem.
- Operatorzy wykorzystują VPN, proxy, fałszywe dokumenty, urządzenia KVM oraz skradzione tożsamości.
- Celem jest zarówno uzyskiwanie wynagrodzeń, jak i zdobycie dostępu do danych oraz systemów organizacji.
- Rosnące wykorzystanie narzędzi AI zwiększa skalę i wiarygodność takich oszustw.
Kontekst / historia
Przez długi czas północnokoreańskie oszustwa rekrutacyjne były kojarzone przede wszystkim z zatrudnianiem rzekomych programistów, inżynierów oprogramowania czy specjalistów DevOps. Taki wybór był logiczny: stanowiska techniczne zapewniają wysokie wynagrodzenie, a jednocześnie często dają szeroki dostęp do systemów, kodu źródłowego i środowisk chmurowych.
Z czasem operatorzy rozbudowali jednak model działania. Rozszerzenie aktywności na sektory regulowane i stanowiska nietechniczne zwiększa liczbę potencjalnych ofiar, a także utrudnia organizacjom wypracowanie skutecznych wzorców detekcji. W praktyce oznacza to, że ryzyko dotyczy już nie tylko firm technologicznych, lecz także podmiotów z ochrony zdrowia, finansów, konsultingu czy usług sprzedażowych.
Ważnym elementem tego ekosystemu są pośrednicy i zaplecze logistyczne. W poprzednich postępowaniach opisywano tzw. laptop farms, czyli miejsca, w których przechowywane są komputery służbowe dostarczone rzekomym pracownikom. Dzięki temu operator może sterować urządzeniem znajdującym się fizycznie w kraju docelowym, ograniczając ryzyko wykrycia na podstawie geolokalizacji.
Analiza techniczna
Technicznie nie jest to typowy atak malware’owy. Mamy do czynienia z modelem, w którym dostęp do środowiska organizacji jest zdobywany przez proces HR, onboarding i późniejsze codzienne wykonywanie obowiązków. Atakujący łączą socjotechnikę, fałszywe persony, narzędzia anonimizujące i infrastrukturę do zdalnego sterowania sprzętem.
W jednym z opisanych przypadków w firmie ochrony zdrowia wykryto osoby podszywające się pod obywateli Chin. Sygnałami ostrzegawczymi były m.in. powtarzalne połączenia przez VPN i proxy, podejrzane dokumenty tożsamości, podobieństwa między paszportami oraz anomalie językowe w dokumentach potwierdzających adres. Tego typu wskaźniki sugerują zorganizowaną i powtarzalną produkcję fikcyjnych tożsamości.
W innym incydencie z sektora finansowego ujawniono obecność PiKVM na urządzeniu użytkownika. Tego rodzaju rozwiązania umożliwiają pełne zdalne sterowanie komputerem na niskim poziomie, niezależnie od standardowych narzędzi dostępu zdalnego. W połączeniu z urządzeniami przechwytującymi obraz mogą wspierać ukrywanie faktycznego operatora podczas rozmów rekrutacyjnych, spotkań wideo czy wykonywania codziennych zadań.
Odnotowano również przypadki wykorzystania realnych tożsamości w rolach sprzedażowych i marketingowych. To pokazuje, że powodzenie kampanii nie zależy wyłącznie od kompetencji technicznych. Kluczowe staje się wiarygodne odegranie roli kandydata, przejście procesu rekrutacji i utrzymanie spójnej legendy w komunikacji wewnętrznej.
Coraz większą rolę odgrywa także sztuczna inteligencja. Narzędzia do transkrypcji w czasie rzeczywistym, generowania odpowiedzi, tworzenia syntetycznych zdjęć profilowych czy zarządzania wieloma personami obniżają próg wejścia dla oszustów i zwiększają skalowalność operacji.
Konsekwencje / ryzyko
Ryzyko dla organizacji jest wielowymiarowe. Przede wszystkim firma może nieświadomie przyznać dostęp do poufnych danych, systemów HR, narzędzi SaaS, repozytoriów kodu, środowisk chmurowych lub danych klientów i pacjentów osobie działającej na rzecz obcego państwa albo siatki pośredników.
Drugim poziomem zagrożenia jest klasyczny insider threat. Nawet jeśli taki „pracownik” przez pewien czas wykonuje obowiązki w sposób pozornie poprawny, sam fakt posiadania legalnego dostępu zwiększa możliwości eksfiltracji danych, rozpoznania środowiska, przygotowania dalszych nadużyć oraz przekazywania dostępu kolejnym operatorom.
Nie można też pomijać wymiaru prawnego i regulacyjnego. Wynagrodzenie trafiające do podmiotów objętych sankcjami może prowadzić do naruszeń compliance, konsekwencji prawnych oraz strat reputacyjnych. Jest to szczególnie istotne w sektorach regulowanych, takich jak finanse, ochrona zdrowia czy administracja.
Rozszerzenie kampanii poza IT oznacza dodatkowo, że problem nie jest już wyłączną domeną zespołów bezpieczeństwa technicznego. Obejmuje on także HR, compliance, dział prawny, finanse, IAM oraz menedżerów rekrutujących osoby na stanowiska nietechniczne.
Rekomendacje
Organizacje powinny traktować rekrutację i onboarding jako element powierzchni ataku. Skuteczna ochrona wymaga połączenia kontroli tożsamości, monitoringu technicznego, procedur HR oraz zasad ograniczania dostępu.
- Wdrożenie rygorystycznej weryfikacji dokumentów tożsamości, historii zatrudnienia i spójności danych kandydata.
- Stosowanie dodatkowych kontroli dla stanowisk zdalnych z dostępem do danych wrażliwych.
- Prowadzenie rozmów wideo z elementami potwierdzenia tożsamości zgodnie z lokalnymi regulacjami.
- Analiza geolokalizacji, wykorzystania VPN, proxy i nietypowych wzorców logowania.
- Wykrywanie nieautoryzowanych urządzeń peryferyjnych, takich jak KVM over IP czy capture cards.
- Monitorowanie anomalii endpointów, niestandardowych profili przeglądarek i narzędzi do multi-accountingu.
- Stosowanie zasady najmniejszych uprawnień oraz etapowego nadawania dostępu nowym pracownikom.
- Ścisła współpraca między HR, SOC, IAM, prawnikami i zespołem compliance.
Warto też przygotować playbook reagowania dla scenariusza oszukańczego zatrudnienia. Powinien on obejmować natychmiastowe zawieszenie dostępu, analizę urządzeń, przegląd logów uwierzytelniania, ocenę zakresu dostępu do danych oraz zabezpieczenie materiału dowodowego.
Podsumowanie
Północnokoreańskie oszustwa rekrutacyjne weszły w nową fazę i wyraźnie wychodzą poza sektor IT. Objecie ochrony zdrowia, sprzedaży i marketingu oznacza zmianę profilu ryzyka oraz konieczność szerszego spojrzenia na bezpieczeństwo procesu zatrudnienia.
Najważniejszy wniosek jest prosty: legalnie zatrudniony użytkownik może stanowić równie poważne zagrożenie jak intruz zewnętrzny. Firmy, które chcą ograniczyć to ryzyko, muszą połączyć mechanizmy HR, bezpieczeństwa technicznego i zgodności regulacyjnej w jeden spójny model obrony.
Źródła
- The Hacker News — North Korean Job Fraud Expands Beyond IT Into Healthcare and Sales — https://thehackernews.com/2026/08/north-korean-job-fraud-expands-beyond.html
- Recorded Future — raporty dotyczące PurpleDelta i północnokoreańskich fałszywych pracowników — https://www.recordedfuture.com/
- Microsoft Threat Intelligence — analizy aktywności Jasper Sleet w procesach rekrutacyjnych — https://www.microsoft.com/en-us/security/blog/
- U.S. Department of Justice — sprawy dotyczące laptop farms i wsparcia dla północnokoreańskich pracowników IT — https://www.justice.gov/
- U.S. Department of State — wspólne ostrzeżenia rządowe dotyczące schematu DPRK IT workers — https://www.state.gov/