Noord-Koreaanse hackers gebruiken steeds vaker kunstmatige intelligentie om cyberaanvallen op cryptocurrency- en financiële bedrijven te versterken, volgens nieuw cybersecurityonderzoek. De verschuiving duidt op een bredere ontwikkeling in de manier waarop aan Pyongyang gelieerde groepen social engineering, malware en automatisering combineren om digitale activa te verkrijgen — een inkomstenbron die voor het sanctiegebonden regime steeds belangrijker is geworden.

De activiteit voegt een extra risicolaag toe voor crypto-exchanges, fintechplatforms en financiële instellingen. Veiligheidsonderzoekers zeggen dat Noord-Koreaanse operators AI niet langer alleen zien als een hulpmiddel om overtuigende phishingberichten te genereren. In plaats daarvan integreren ze AI in meerdere fasen van hun operaties. Die verschuiving is relevant omdat aan Noord-Korea gelieerde groepen — waaronder partijen die door beveiligingsbedrijven worden gevolgd onder namen als Lazarus en APT38 — al hebben aangetoond dat zij enkele van de grootste cryptorobberijen ooit kunnen uitvoeren. Het toevoegen van AI-gedreven automatisering aan die basis kan de omvang en verfijning van campagnes vergroten zonder evenredige toename van personeel.

AI vergroot het aanvalsoppervlak

Recent onderzoek vond dat aan Noord-Korea gelieerde groepen tijdens cyberoperaties gebruikmaakten van large language model-platforms, AI-codingtools en documentzoektechnologie. Onderzoekers identificeerden ook door AI gegenereerde documenten die bedoeld waren om te lijken op legitieme financiële en cryptocurrency-investeringsmaterialen.

De technologie kan aanvallers helpen informatie te analyseren, overtuigende communicatie te creëren en mogelijk malwareontwikkeling te versnellen. Lokale AI-systemen kunnen bovendien de noodzaak verminderen om gevoelige informatie naar externe diensten te sturen, waardoor de activiteit moeilijker te detecteren is — een aanzienlijk voordeel voor operators die werken onder zware internationale surveillance en sancties.

Daarnaast hebben andere recente onderzoeken Noord-Koreaanse operators in verband gebracht met door AI gegenereerde identiteiten en synthetische video-omgevingen die werden gebruikt om financiële bedrijven te targeten. Deze tactieken kunnen nep-recruiters, leidinggevenden en zakelijke contacten geloofwaardiger laten overkomen. De ontwikkeling sluit aan op een goed gedocumenteerd patroon waarbij Noord-Koreaanse operatives zich voordoen als legitieme IT-medewerkers en recruiters om bedrijven te infiltreren, een strategie waar westerse inlichtingendiensten al jaren publiekelijk voor waarschuwen.

Crypto blijft een belangrijk doelwit

De financiële prikkel blijft aanzienlijk. Een belangrijk dreigingsrapport voor de financiële sector uit 2026 schatte dat aan Noord-Korea gelieerde actoren in 2025 ongeveer $2.02 miljard aan digitale activa stalen. Dat betekende een stijging van 51% ten opzichte van het voorgaande jaar. Eerdere rapporten van panels van de Verenigde Naties meldden dat cryptodiefstal een van de belangrijkste bronnen van gesanctioneerde inkomsten voor Pyongyang vormt, met opbrengsten die in verband worden gebracht met wapenprogramma's.

Cryptobedrijven lopen bijzondere risico's omdat werknemers vaak private keys, wallet-infrastructuur en transacties met hoge waarde beheren. Aanvallers kunnen vertrouwensrelaties uitbuiten in plaats van direct blockchainnetwerken aan te vallen.

De nieuwste ontwikkelingen suggereren dat AI deze campagnes sneller en beter schaalbaar kan maken. Onderzoekers hebben echter niet vastgesteld dat AI alleen verantwoordelijk is voor de aanvallen of dat elke gemelde mogelijkheid daadwerkelijk tot succesvolle diefstal heeft geleid.

Voor crypto-bedrijven onderstreept de dreiging het belang van sterkere identiteitsverificatie, securitytraining voor medewerkers en monitoring van ongebruikelijke toegang. Terwijl Noord-Koreaanse operators hun methoden blijven aanpassen, wordt AI opnieuw een hulpmiddel in een langdurige campagne die is gericht op spionage en financieel gewin.