Северная Корея расширила давно действующую операцию по внедрению фиктивных IT-работников в американские и международные технологические компании, используя рекрутов из третьих стран, чтобы её операторы могли проходить собеседования и обходить проверки личности.

JUST IN: North Korea is reportedly using foreign workers to help its operatives infiltrate U.S. companies through fake remote job applications. pic.twitter.com/m3D3TJQ43R — EyeWhales (@EyeWhales) September 12, 2026

Согласно опубликованному 11 сентября 2026 года материалу NBC News, подготовленному со ссылкой на американских чиновников и исследователей в области кибербезопасности, сеть теперь включает посредников в Нигерии, Южной Африке, Иране, Индии и некоторых странах Латинской Америки.

Основной метод заключается в том, что северокорейские IT-специалисты подают заявки на удалённые технологические должности в иностранных компаниях. После заключения контракта должность обычно занимает оператор из Северной Кореи, а полученная зарплата отправляется в Пхеньян. Считается, что эти средства поддерживают санкционные программы, включая разработку вооружений Северной Кореей.

Использование посредников из третьих стран отделяет человека, который появляется во время процесса найма, от того, кто в конечном итоге выполняет работу. Это делает стандартные проверки личности на основе собеседований менее надёжными, если работодатели не проверяют, кто именно выполняет работу по контракту.

Как набирают посредников

Компания по кибербезопасности Flare обнаружила, что северокорейские операторы ищут разработчиков на таких платформах, как LinkedIn. В некоторых случаях рекрутам предлагают около $500 в месяц за роль «посредников на собеседованиях». Во время интервью они появляются перед камерой, выдавая себя за настоящих кандидатов.

В одном из сообщений, изученных исследователями, северокорейский оператор сказал потенциальному рекруту: “You’re from a country that is under sanctions. If you’re still interested in the role, I need to confirm whether you’re comfortable working under someone else’s identity.”

Иран входит в число целевых стран отчасти потому, что местные разработчики имеют ограниченный доступ к международной работе из-за санкций, введённых против их собственной страны. Это ограничение может делать некоторых разработчиков более восприимчивыми к подобным предложениям.

Компании по кибербезопасности Kudelski Security и DTEX независимо подтвердили, что к разработчикам в Южной Африке, Сирии, Иране, Нигерии, Пакистане и некоторых странах Латинской Америки обращались через эту сеть.

Масштаб операции

По оценке Организации Объединённых Наций, схемы Северной Кореи с удалёнными IT-работниками приносят до $600 миллионов в год. В оценке мониторинга санкций под руководством США эта сумма в 2024 году достигала $800 миллионов.

Более широкие оценки американской разведки показывают, что общий годовой доход Северной Кореи от киберактивности, включая схемы с IT-работниками и кражу криптовалют, составляет не менее $1 миллиарда. Доход от схемы с удалёнными работниками также оценивается в $600–800 миллионов в год.

В мае 2026 года компания по кибербезопасности CrowdStrike сообщила, что связанные с государством Северной Кореи хакеры несут ответственность за криптовалютные потери на сумму более $2 миллиардов в 2025 году, что на 51% больше по сравнению с предыдущим годом.

По данным Bank of Korea, валовой внутренний продукт Северной Кореи в 2025 году вырос примерно на 3,5%, несмотря на продолжающиеся международные санкции.

В июле 2026 года Государственный департамент США и Министерство юстиции совместно с иностранными ведомствами выпустили предупреждение о том, что Северная Корея использует «всё более сложные» методы для вербовки людей за пределами своих границ и сокрытия личности своих операторов.

Ранее блокчейн-компания Consensys сообщила, что неосознанно передала работу по разработке оператору из Северной Кореи.