La Corea del Nord amplia il sistema dei falsi lavoratori IT con reclute in Africa e Iran
Punti chiave
- •I facilitatori in Paesi terzi aiutano gli operatori nordcoreani a ottenere posti di lavoro comparendo ai colloqui come candidati e contribuendo a falsificare l’identità.
- •Flare ha individuato tentativi di reclutamento di sviluppatori attraverso piattaforme come LinkedIn, offrendo ad alcuni collaboratori per i colloqui circa $500 al mese.
- •Si stima che il sistema basato sui lavoratori IT da remoto generi tra $600 milioni e $800 milioni all’anno, secondo le valutazioni citate.
- •A luglio 2026, agenzie statunitensi e straniere hanno avvertito che la Corea del Nord sta reclutando sempre più persone all’estero per occultare l’identità dei propri operatori.
- •Consensys ha precedentemente dichiarato di aver affidato inconsapevolmente attività di sviluppo a un operatore nordcoreano.
La Corea del Nord ha ampliato un’operazione di lunga data che inserisce falsi lavoratori IT nelle aziende tecnologiche statunitensi e globali, utilizzando reclute in Paesi terzi per aiutare i propri operatori a superare i colloqui di lavoro e ad aggirare i controlli dell’identità.
JUST IN: North Korea is reportedly using foreign workers to help its operatives infiltrate U.S. companies through fake remote job applications. pic.twitter.com/m3D3TJQ43R — EyeWhales (@EyeWhales) September 12, 2026
Secondo un rapporto di NBC News dell’11 settembre 2026, basato su dichiarazioni di funzionari statunitensi e ricercatori di cybersicurezza, la rete include ora facilitatori in Nigeria, Sudafrica, Iran, India e alcune aree dell’America Latina.
Il metodo di base prevede che i lavoratori IT nordcoreani si candidino per lavori tecnologici da remoto presso aziende straniere. Dopo l’ottenimento di un contratto, un operatore nordcoreano subentra generalmente nella posizione, mentre lo stipendio che ne deriva viene inviato a Pyongyang. Si ritiene che il denaro sostenga programmi soggetti a sanzioni, compresi gli sforzi della Corea del Nord per lo sviluppo di armi.
L’impiego di facilitatori in Paesi terzi separa la persona che compare durante il processo di assunzione da quella che alla fine svolge il lavoro. Questo rende meno affidabili i tradizionali controlli dell’identità basati sui colloqui quando i datori di lavoro non verificano chi esegue effettivamente il lavoro previsto dal contratto.
Come vengono reclutati i facilitatori
La società di cybersicurezza Flare ha rilevato che gli operatori nordcoreani stanno cercando sviluppatori su piattaforme come LinkedIn. In alcuni casi, alle reclute vengono offerti circa $500 al mese per agire come “interview associates”, ovvero “collaboratori per i colloqui”. Durante i colloqui di lavoro compaiono in video fingendosi i candidati effettivi.
In un messaggio esaminato dai ricercatori, un operatore nordcoreano ha detto a una potenziale recluta: “You’re from a country that is under sanctions. If you’re still interested in the role, I need to confirm whether you’re comfortable working under someone else’s identity.”
L’Iran è tra i Paesi presi di mira anche perché gli sviluppatori locali hanno un accesso limitato al lavoro internazionale a causa delle sanzioni imposte al proprio Paese. Questa restrizione potrebbe rendere alcuni sviluppatori più disponibili ad accettare simili accordi.
Le società di cybersicurezza Kudelski Security e DTEX hanno confermato separatamente che sviluppatori in Sudafrica, Siria, Iran, Nigeria, Pakistan e alcune aree dell’America Latina sono stati contattati attraverso la rete.
Dimensioni dell’operazione
Le Nazioni Unite stimano che i sistemi nordcoreani basati sui lavoratori IT da remoto generino fino a $600 milioni all’anno. Una valutazione del monitoraggio delle sanzioni guidata dagli Stati Uniti ha portato la cifra fino a $800 milioni nel 2024.
Secondo valutazioni più ampie dell’intelligence statunitense, i guadagni annuali complessivi della Corea del Nord dalle attività informatiche, compresi i sistemi basati sui lavoratori IT e il furto di criptovalute, ammontano ad almeno $1 miliardo. Si stima inoltre che il sistema che coinvolge i lavoratori da remoto generi tra $600 milioni e $800 milioni all’anno.
A maggio 2026, la società di cybersicurezza CrowdStrike ha riferito che gli hacker affiliati allo Stato nordcoreano erano responsabili di oltre $2 miliardi di perdite in criptovalute nel 2025, con un aumento del 51% su base annua.
Secondo la Bank of Korea, il prodotto interno lordo della Corea del Nord è cresciuto di una stima del 3,5% nel 2025, nonostante il proseguimento delle sanzioni internazionali.
A luglio 2026, il Dipartimento di Stato e il Dipartimento di Giustizia degli Stati Uniti hanno emesso un avvertimento congiunto insieme ad agenzie straniere, affermando che la Corea del Nord utilizzava tattiche “increasingly sophisticated” per reclutare persone al di fuori dei propri confini e occultare l’identità dei propri operatori.
La società blockchain Consensys aveva precedentemente reso noto di aver affidato inconsapevolmente attività di sviluppo a un operatore nordcoreano.
