Ta strona używa plików cookies, aby zapewnić najlepszą jakość korzystania z naszego serwisu oraz do celów analitycznych. Klikając "Akceptuję", wyrażasz zgodę na używanie wszystkich plików cookies. Możesz również odrzucić zgodę, co spowoduje zablokowanie plików cookies analitycznych. Więcej informacji znajdziesz w naszej Polityce Prywatności.
Północnokoreański proceder fałszywych rekrutacji wychodzi poza branżę IT
Podejrzewani pracownicy z Korei Północnej byli wykrywani także w ochronie zdrowia, sprzedaży i marketingu.
Operatorzy korzystają z fałszywych dokumentów, VPN, proxy, syntetycznych tożsamości i narzędzi AI.
Jeden z obserwowanych klastrów składał aplikacje do ponad 1100 firm.
Firmy powinny wzmacniać weryfikację tożsamości, rozmowy rekrutacyjne i kontrole historii zatrudnienia.
Sponsorowane
Odkryj rewolucyjną metodę nauki języków
Sprawdź jak w 30 dni opanować podstawy dowolnego języka obcego bez wychodzenia z domu.
Powiązani z Koreą Północną operatorzy próbują zdobywać zatrudnienie już nie tylko w branży technologicznej. Najnowsze dochodzenia wskazały podejrzewane osoby pracujące w sprzedaży i marketingu oraz w zawodach medycznych. To rozszerzenie wieloletniego schematu, w którym rekrutacja staje się sposobem na uzyskanie legalnego dostępu do organizacji, jej narzędzi i informacji. Według analiz przychody z takiej działalności mają wspierać programy nuklearne i rakietowe Pjongjangu.
Zatrudnienie zamiast włamania
Schemat określany jako program północnokoreańskich pracowników IT opiera się na podszywaniu się pod kandydatów z innych państw. Operatorzy korzystają ze skradzionych lub sfałszowanych dokumentów tożsamości, wirtualnych sieci prywatnych (VPN) i usług proxy, aby ukryć prawdziwą lokalizację oraz pochodzenie. Następnie starają się o zdalne stanowiska w dużych przedsiębiorstwach i firmach sektora prywatnego. Jak podkreśla Huntress, jest to wyzwanie inne niż klasyczne włamanie, ponieważ sprawca nie musi przełamywać zabezpieczeń. Zostaje przyjęty do firmy i często wykonuje rzeczywistą pracę, jednocześnie uzyskując dostęp wynikający z zatrudnienia. Kampania jest śledzona między innymi pod nazwami Famous Chollima, Jasper Sleet, PurpleDelta, UNC5267 i Wagemole.
Fałszywe dokumenty mogą zawierać prawdziwe dane lub zdjęcia osób, których tożsamość skradziono albo wykorzystano bez zgody.
Podejrzane sygnały obejmują niespójności w dokumentach, podobieństwa między dokumentami różnych kandydatów oraz nietypowe dane w rachunkach potwierdzających adres.
Wykrywane były także narzędzia do zdalnej obsługi fizycznych komputerów, dodatkowe urządzenia obrazu i połączenia przez usługi VPN oraz proxy.
Ryzyko dotyczy nie tylko kradzieży danych, lecz także zgodności z sankcjami i kontroli nad firmowym sprzętem.
Słownik artykułu
Pojęcia, które warto znać
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Przypadki w ochronie zdrowia, finansach i sprzedaży
W jednym z dochodzeń, przeprowadzonym w lutym 2026 roku, trzy osoby zatrudnione w australijskiej firmie ochrony zdrowia zostały wskazane jako prawdopodobni pracownicy z Korei Północnej podszywający się pod obywateli Chin. Analitycy zwrócili uwagę na wielokrotne połączenia przez Astrill VPN i IPRoyal Proxy, a także na dokumenty tożsamości utworzone w sposób budzący wątpliwości. Dwa paszporty wykazywały podobieństwa, a elektroniczne rachunki przedstawione podczas rekrutacji zawierały wyraźne anomalie językowe. Huntress zaznaczył, że nawet podejrzane dokumenty mogą zawierać prawdziwe informacje lub zdjęcia innych ofiar kradzieży tożsamości.
W innym przypadku, dotyczącym nienazwanej firmy z sektora usług finansowych, na urządzeniu przypisanym do pracownika wykryto PiKVM. Tego rodzaju przełączniki KVM były wcześniej łączone z północnokoreańskim schematem pracowników, ponieważ mogą umożliwiać zdalną obsługę fizycznych komputerów utrzymywanych poza siedzibą użytkownika. Na tym samym urządzeniu znaleziono później kartę przechwytującą obraz Guermok, która mogła służyć do przekazywania obrazu jako źródła kamery podczas wideokonferencji. Sama obecność takiej karty nie musi być podejrzana, ale zestawienie jej instalacji z wcześniejszym pojawieniem się PiKVM podniosło poziom ryzyka. Wcześniej z tego urządzenia pobrano również zmodyfikowany profil GitHub, prawdopodobnie z przeznaczeniem do użycia jako zdjęcie w firmowym narzędziu komunikacyjnym.
Trzecie dochodzenie, prowadzone w sierpniu 2026 roku, dotyczyło osoby zatrudnionej w sprzedaży i marketingu. Pracownik rozpoczął onboarding 13 dni wcześniej, a analiza wskazywała, że mógł wykorzystać skradzioną lub pożyczoną tożsamość. Po opublikowaniu przez organy ścigania danych osoby powiązanej z tym profilem, w tym imienia i nazwiska, daty urodzenia, lokalizacji oraz zdjęcia, zauważono, że wizerunek prawdziwej osoby został zastąpiony twarzą podejrzewanego pracownika. Przypadek pokazuje, że problem nie ogranicza się do rekrutacji programistów i administratorów.
AI zwiększa skalę fałszywych aplikacji
Według Recorded Future jeden z klastrów powiązanych z PurpleDelta składał aplikacje do ponad 1100 firm od końca 2024 roku do początku 2025 roku. Wśród celów znajdowały się przede wszystkim przedsiębiorstwa z sektorów oprogramowania i technologii, pośrednictwa pracy i doradztwa oraz ochrony zdrowia i biotechnologii. Operatorzy, prawdopodobnie działający z Chin, mieli utrzymywać 22 fikcyjne persony. Część z nich tworzono z wykorzystaniem sztucznej inteligencji, a dokumenty tożsamości pozyskiwano za pośrednictwem nielegalnej usługi TrustID Card. Recorded Future oceniło, że grupa składała co najmniej 60 aplikacji dziennie na 10 platformach rekrutacyjnych. Do zarządzania personami wykorzystywano narzędzia do obsługi wielu kont, oddzielne profile przeglądarki oraz rozbudowane arkusze śledzące.
Sztuczna inteligencja była wykorzystywana także podczas rozmów kwalifikacyjnych. Analitycy opisali użycie nagrywania ekranu, automatycznej transkrypcji i chatbotów do generowania odpowiedzi w czasie rzeczywistym. W niektórych rozmowach odpowiedzi ChatGPT miały być powtarzane niemal dosłownie. Po uzyskaniu zatrudnienia operatorzy nagrywali wewnętrzne spotkania, a narzędzie Google Translate pomagało przygotowywać wcześniej napisane wyjaśnienia dotyczące korzystania z prywatnych urządzeń i rachunków bankowych. W działalności grupy pojawiały się również usługi pośredniczące w obrocie tożsamościami, wynajem kont, narzędzia do obsługi wielu kont oraz komunikacja przez Telegram i Slack. Sprzęt przekazywany pracownikom miał być pozyskiwany i utrzymywany przez pośredników.
Weryfikacja musi zaczynać się przed onboardingiem
Group-IB opisuje ten model jako dostęp uzyskiwany dzięki pracy, a nie klasyczny łańcuch infekcji złośliwym oprogramowaniem. Jego podstawą są socjotechnika, syntetyczne tożsamości i nadużywanie platform rekrutacyjnych. Dla organizacji oznacza to, że sama ochrona punktów końcowych i monitoring logowania nie wystarczą. Podejrzana aktywność może rozpocząć się jeszcze przed przyznaniem dostępu do systemów, na etapie rozmowy kwalifikacyjnej, weryfikacji dokumentów i ustalania sposobu dostarczenia firmowego sprzętu. Nieświadome zatrudnienie oraz opłacanie takich osób może prowadzić do wycieku danych, utraty kontroli nad urządzeniami i poważnych problemów prawnych. Zdaniem analityków może także oznaczać bezpośrednie ryzyko naruszenia sankcji ONZ, Stanów Zjednoczonych i Wielkiej Brytanii.
Skala procederu skłoniła agencje bezpieczeństwa i wywiadu z 11 państw, w tym Stanów Zjednoczonych, Japonii, Korei Południowej, Australii, Kanady, Francji, Niemiec, Włoch, Holandii, Nowej Zelandii i Wielkiej Brytanii, do wydania wspólnego alertu. Wezwano państwa, firmy i operatorów platform internetowych do lepszego rozpoznania schematu oraz wdrożenia przeciwdziałań. Wśród rekomendacji znalazły się rygorystyczna kontrola dokumentów, rozważenie rozmów prowadzonych osobiście, sprawdzanie historii zatrudnienia i publicznie dostępnych informacji o kandydacie oraz systemy wykrywające nietypowe dane. Huntress podkreśla, że weryfikacja powinna rozpocząć się już podczas rozmowy rekrutacyjnej i być kontynuowana przed przyznaniem nowej osobie dostępu do zasobów organizacji.
