朝鲜扩大了一项长期运作的行动，通过第三国招募人员，帮助其行动人员通过求职面试并绕过身份核验，将虚假的 IT 员工安插到美国及全球科技企业内部。

JUST IN: North Korea is reportedly using foreign workers to help its operatives infiltrate U.S. companies through fake remote job applications. pic.twitter.com/m3D3TJQ43R — EyeWhales (@EyeWhales) September 12, 2026

据 2026 年 9 月 11 日 NBC News 援引美国官员和网络安全研究人员的报道，该网络目前已包括来自尼日利亚、南非、伊朗、印度和拉丁美洲部分地区的协助者。

其基本方式是，朝鲜 IT 员工向外国企业申请远程技术岗位。合同签订后，朝鲜行动人员通常会接替该职位，而由此获得的薪资则被转回平壤。据认为，这些资金将用于支持包括朝鲜武器研发在内的受制裁项目。

第三国协助者的参与，使招聘过程中出面的人与最终实际履行工作的人相互分离。当雇主未核实究竟是谁在执行合同约定的工作时，传统的基于面试的身份核验就会变得不那么可靠。

协助者如何被招募

网络安全公司 Flare 发现，朝鲜行动人员正在包括 LinkedIn 在内的平台上寻找开发者。在部分情况下，招募对象每月可获得约 $500，担任“面试协助者”。他们会在求职面试期间出镜，冒充实际申请人。

研究人员审阅的一条消息显示，一名朝鲜行动人员对一名潜在招募对象说：“你来自一个受到制裁的国家。如果你仍然对这个职位感兴趣，我需要确认你是否愿意以他人的身份工作。”

伊朗成为目标国家之一，部分原因在于当地开发者因本国受到制裁而难以获得国际工作机会。这种限制可能使一些开发者更愿意接受此类安排。

网络安全公司 Kudelski Security 和 DTEX 分别确认，南非、叙利亚、伊朗、尼日利亚、巴基斯坦以及拉丁美洲部分地区的开发者曾通过该网络遭到接触。

行动规模

联合国估计，朝鲜的远程 IT 员工计划每年带来最高 $600 million 的收入。一项由美国主导的制裁监督评估认为，该数字在 2024 年可能高达 $800 million。

更广泛的美国情报评估认为，朝鲜通过包括 IT 员工计划和加密货币盗窃在内的网络活动，每年的总收入至少为 $1 billion。涉及远程员工的计划也被估计每年产生 $600 million 至 $800 million 的收入。

2026 年 5 月，网络安全公司 CrowdStrike 报告称，朝鲜国家支持的黑客在 2025 年造成了超过 $2 billion 的加密货币损失，同比增加 51%。

据韩国银行估计，尽管国际制裁持续存在，朝鲜国内生产总值在 2025 年仍增长了 3.5%。

2026 年 7 月，美国国务院和司法部与外国机构联合发布警告称，朝鲜正使用“越来越复杂”的手段招募境外人员，以掩盖其行动人员的身份。

区块链公司 Consensys 此前披露称，该公司曾在不知情的情况下将开发工作外包给一名朝鲜行动人员。