Észak-Korea kiberstratégiája új szintre lépett: az ország informatikai munkásai – akiket gyakran csak „IT-harcosokként” emlegetnek – egyre aktívabban jelennek meg Európában, miután az Egyesült Államokban már számos szankció és büntetőeljárás érte őket. Ezek a szakemberek hamis identitások mögé rejtőznek, és külföldi állampolgároknak adják ki magukat, hogy így szerezzenek meg távmunkás állásokat különböző nemzetközi cégeknél. Munkájuk révén jelentős bevételt termelnek a Koreai Népi Demokratikus Köztársaság rezsimje számára.
A Google Threat Intelligence Group (GTIG) kutatói szerint az észak-koreai IT-hálózat mostanában különösen Németország, Portugália és az Egyesült Királyság felé fordult, miután az amerikai hatóságok több tagjukat azonosították, vádat emeltek ellenük, vagy szankciókkal sújtották őket. Az európai célpontokat különféle platformokon keresztül közelítik meg, például az Upwork, a Telegram és a Freelancer oldalain. A fizetéseket többek között kriptovalutában, a TransferWise-on vagy a Payoneeren keresztül kapják, így nehezebb nyomon követni, hová is kerül valójában a pénz.
A GTIG szerint ezek a kiberügynökök gyakran valódi és kitalált személyiségek kombinációit használják, és olyan nemzetiségeket tüntetnek fel, mint az olasz, japán, maláj, szingapúri, ukrán, amerikai vagy vietnámi. A cél, hogy minél hitelesebbnek tűnjenek a nemzetközi munkaerőpiacon. Egyesek már hozzáférést szereztek európai állásportálokhoz és HR-rendszerekhez, sőt Németországban és Portugáliában működő cégekhez is próbáltak bejutni. Az Egyesült Királyságban több projektben is részt vettek: ezek között szerepelt MI-fejlesztés, blokklánc-alapú rendszerek építése, webes és bottechnológiák fejlesztése, valamint tartalomkezelő rendszerek programozása.
2024 végén egy másik észak-koreai IT-s több európai védelmi ipari és kormányzati szervezetet célzott meg hamis ajánlások és fiktív önéletrajzok segítségével, hogy így tévessze meg a toborzókat. A módszerek egyre kifinomultabbak: ahogy Michael Barnhart, a Google Cloud Mandiant elemzője fogalmazott, egyre több esetben látni, hogy az észak-koreai IT-munkások a bejutás után érzékeny adatokhoz férnek hozzá, és sok esetben zsarolással is élnek.
Nem meglepő tehát, hogy a brit kormány 2024 szeptemberében figyelmeztetést adott ki a témában, amely részletesen leírja, hogyan lehet felismerni ezeket a kiberügynököket, és hogyan csökkenthető a kockázat. A dokumentumban egyértelműen felhívták a figyelmet arra is, hogy aki akaratlanul is ilyen személyt alkalmaz, megsértheti az érvényben lévő pénzügyi szankciókat.
A GTIG legfrissebb jelentése összhangban van azzal, amit az amerikai Szövetségi Nyomozóiroda (FBI) már többször hangsúlyozott: Észak-Korea évek óta küld IT-szakembereket a világ minden tájára, hogy külföldi cégeknél szerezzenek munkát – ezeknek a bevételeknek a 90 százaléka viszont közvetlenül a rezsimet gazdagítja, amely ebből többek között fegyverkezési programjait finanszírozza.
Ráadásul amikor egy-egy ilyen személy lelepleződik és elbocsátják, gyakran már rendelkezik hozzáféréssel érzékeny vállalati adatokhoz, amelyeket aztán felhasználhat zsarolási célokra. 2025 januárjában az amerikai Igazságügyi Minisztérium két észak-koreai állampolgárt és három közvetítőjüket vádolta meg egy több évig tartó csalássorozattal, amely során legalább 64 amerikai céget tévesztettek meg 2018 és 2024 között.
Az Egyesült Államok pénzügyminisztériuma több fedőcéget is szankcionált, amelyek az észak-koreai védelmi minisztériumhoz köthetők, és amelyeket kifejezetten ilyen csalárd IT-munka céljára hoztak létre. Emellett az amerikai külügyminisztérium pénzjutalmat ajánlott fel azoknak, akik segíteni tudnak a hálózat működésének megzavarásában.
Hasonló figyelmeztetéseket adott ki az elmúlt időszakban Dél-Korea és Japán is, miután bebizonyosodott, hogy az észak-koreai kiberügynökök gyakran más országok állampolgárainak adják ki magukat, hogy távoli IT-állásokhoz jussanak a magánszektorban.
