Un'indagine congiunta di IBM X-Force e Flare Research ha portato alla luce un'operazione nordcoreana sofisticata che utilizza società fittizie, identità fabbricate e canali di assunzione remota per infiltrare lavoratori IT nelle aziende occidentali. I risultati si aggiungono agli anni di avvertimenti da parte delle agenzie statunitensi — tra cui l'FBI, il Dipartimento di Stato e il Dipartimento del Tesoro, che hanno emesso molteplici avvisi congiunti dal 2022 per segnalare alle aziende che i lavoratori IT nordcoreani si spacciano per sviluppatori freelance per generare entrate a favore del regime sanzionato.

Secondo i ricercatori, la rete più ampia potrebbe coinvolgere fino a 100.000 lavoratori IT nordcoreani dislocati in circa 40 paesi, con una produzione stimata di circa 500 milioni di dollari all'anno per il regime nordcoreano. L'operazione strutturata si basa su reclutatori, facilitatori e collaboratori occidentali che lavorano in coordinamento per collocare i lavoratori in aziende legittime.

Come operava la finta startup

Al centro del processo di reclutamento vi era una presunta società in stealth mode chiamata C Digital LLC. I reclutatori informavano i candidati che la startup era nelle sue fasi iniziali con una presenza pubblica minima. Tuttavia, i candidati non venivano assunti per sviluppare un prodotto tecnologico genuino. Al contrario, i reclutatori li istruivano a candidarsi per posizioni presso aziende occidentali affermate, spesso utilizzando identità con sede negli Stati Uniti.

Le registrazioni dei colloqui esaminate dai ricercatori avrebbero documentato momenti di confusione tra i candidati quando i reclutatori istruivano loro ad assumere nomi dal suono più americano. Alcuni candidati sembravano genuinamente ignari di qualsiasi collegamento con la Corea del Nord, il che suggerisce che alcuni lavoratori potrebbero aver creduto di partecipare a un accordo di reclutamento non convenzionale piuttosto che a una rete di frode diretta dallo Stato.

Implicazioni per il settore delle criptovalute

Il schema ha un peso particolare per le aziende di criptovalute e blockchain, che dipendono routinariamente da sviluppatori remoti, appaltatori indipendenti e piattaforme freelance globali. Gli agenti nordcoreani in passato si erano già infiltrati in progetti blockchain e crypto utilizzando identità rubate o fabbricate. Il movente economico è particolarmente acuto per Pyongyang, che affronta severe sanzioni internazionali che limitano il suo accesso al sistema finanziario globale — rendendo le criptovalute e gli stipendi illecitamente guadagnati canali particolarmente preziosi per il regime.

Una volta infiltrati, i lavoratori possono percepire stipendi legittimi ottenendo simultaneamente l'accesso a codice sorgente proprietario, sistemi interni e dati aziendali sensibili. Le autorità statunitensi hanno separatamente collegato indirizzi di criptovalute a individui che facilitavano le frodi dei lavoratori IT nordcoreani, e i pubblici ministeri federali hanno intentato cause penali contro facilitatori accusati di aver aiutato lavoratori della RPDC a ottenere lavori remoti presso aziende americane.

Per le startup crypto, l'indagine evidenzia un panorama di minacce in evoluzione. Un'intrusione sofisticata potrebbe non originarsi più da malware o da un wallet compromesso — può iniziare con una normale candidatura per un posto di lavoro. Gli avvisi del governo degli Stati Uniti hanno raccomandato una due diligence rafforzata per le assunzioni remote, inclusa la verifica video in tempo reale, l'esame delle storie lavorative e la vigilanza rispetto ai campanelli d'allarme come i lavoratori che richiedono di instradare l'attività attraverso dispositivi di terze parti o servizi proxy.