Korea Północna rozszerzyła wieloletnią operację polegającą na umieszczaniu fikcyjnych pracowników IT w amerykańskich i globalnych firmach technologicznych, wykorzystując osoby rekrutowane w krajach trzecich do pomagania jej operatorom w przechodzeniu rozmów kwalifikacyjnych i omijaniu kontroli tożsamości.

JUST IN: North Korea is reportedly using foreign workers to help its operatives infiltrate U.S. companies through fake remote job applications. pic.twitter.com/m3D3TJQ43R — EyeWhales (@EyeWhales) September 12, 2026

Według opublikowanego 11 września 2026 roku raportu NBC News, powołującego się na amerykańskich urzędników i badaczy zajmujących się cyberbezpieczeństwem, sieć obejmuje obecnie pośredników w Nigerii, Republice Południowej Afryki, Iranie, Indiach i części Ameryki Łacińskiej.

Podstawowa metoda polega na tym, że północnokoreańscy pracownicy IT aplikują na zdalne stanowiska technologiczne w zagranicznych firmach. Po zawarciu umowy stanowisko zazwyczaj przejmuje operator z Korei Północnej, a uzyskane wynagrodzenie jest przekazywane do Pjongjangu. Pieniądze mają wspierać objęte sankcjami programy, w tym działania związane z rozwojem uzbrojenia Korei Północnej.

Wykorzystanie pośredników z krajów trzecich oddziela osobę pojawiającą się podczas procesu rekrutacji od osoby, która ostatecznie wykonuje pracę. Sprawia to, że standardowe kontrole tożsamości oparte na rozmowach kwalifikacyjnych są mniej skuteczne, jeśli pracodawcy nie weryfikują, kto realizuje zakontraktowane zadania.

Jak rekrutowani są pośrednicy

Firma zajmująca się cyberbezpieczeństwem Flare ustaliła, że północnokoreańscy operatorzy wyszukują programistów na platformach takich jak LinkedIn. W niektórych przypadkach rekrutom oferuje się około $500 miesięcznie za pełnienie funkcji „associate’ów podczas rozmów kwalifikacyjnych”. Pojawiają się oni przed kamerą podczas rozmów, podszywając się pod właściwych kandydatów.

W jednej z wiadomości przeanalizowanych przez badaczy operator z Korei Północnej powiedział potencjalnemu rekrutowi: „Pochodzisz z kraju objętego sankcjami. Jeśli nadal interesuje cię ta rola, muszę potwierdzić, czy nie masz problemu z pracą pod tożsamością kogoś innego”.

Iran jest jednym z celów między innymi dlatego, że lokalni programiści mają ograniczony dostęp do międzynarodowej pracy w wyniku sankcji nałożonych na ich własny kraj. To ograniczenie może sprawiać, że niektórzy programiści są bardziej otwarci na takie ustalenia.

Firmy zajmujące się cyberbezpieczeństwem Kudelski Security i DTEX niezależnie potwierdziły, że do programistów w Republice Południowej Afryki, Syrii, Iranie, Nigerii, Pakistanie i części Ameryki Łacińskiej docierano za pośrednictwem tej sieci.

Skala operacji

Organizacja Narodów Zjednoczonych szacuje, że północnokoreańskie programy wykorzystujące zdalnych pracowników IT generują do $600 milionów rocznie. W ocenie monitorującej przestrzeganie sankcji, prowadzonej przez USA, kwotę tę oszacowano na maksymalnie $800 milionów w 2024 roku.

Szersze oceny amerykańskiego wywiadu wskazują, że całkowite roczne dochody Korei Północnej z działalności cybernetycznej, w tym z programów pracowników IT i kradzieży kryptowalut, wynoszą co najmniej $1 miliard. Szacuje się również, że sam proceder związany ze zdalnymi pracownikami przynosi od $600 milionów do $800 milionów rocznie.

W maju 2026 roku firma zajmująca się cyberbezpieczeństwem CrowdStrike poinformowała, że hakerzy powiązani z państwem północnokoreańskim odpowiadali za straty w kryptowalutach przekraczające $2 miliardy w 2025 roku, co oznacza wzrost o 51% rok do roku.

Według Bank of Korea produkt krajowy brutto Korei Północnej wzrósł w 2025 roku o szacunkowe 3,5%, mimo utrzymujących się międzynarodowych sankcji.

W lipcu 2026 roku Departament Stanu USA i Departament Sprawiedliwości wydały wspólne ostrzeżenie wraz z zagranicznymi agencjami. Stwierdziły w nim, że Korea Północna stosuje „coraz bardziej zaawansowane” metody rekrutowania osób poza swoimi granicami w celu ukrywania tożsamości operatorów.

Firma blockchainowa Consensys ujawniła wcześniej, że nieświadomie zleciła prace programistyczne operatorowi z Korei Północnej.