Lavoratori IT nordcoreani: avviso di NCSC e Polizia neozelandesi

Il National Cyber Security Centre (NCSC) della Nuova Zelanda e la Polizia neozelandese hanno pubblicato un avviso congiunto (TLP CLEAR, ottobre 2026) sui lavoratori IT della Corea del Nord (DPRK) che cercano di farsi assumere da organizzazioni neozelandesi. L’avviso descrive come operano, i segnali d’allarme e i controlli da adottare per non assumerli senza saperlo.

Cosa è successo

Secondo l’avviso, la Corea del Nord ha inviato nel mondo migliaia di lavoratori IT molto qualificati, che cercano impiego nello sviluppo software, nella progettazione di siti web, nella grafica e nei servizi IT. Lo scopo è procurare entrate al governo nordcoreano, anche per i programmi di armi nucleari e missili balistici, aggirando le sanzioni ONU. Questi lavoratori possono anche cercare di ottenere proprietà intellettuale straniera e di rubare dati per chiedere un riscatto.

NCSC e Polizia riferiscono casi di lavoratori nordcoreani che hanno tentato, e in alcuni casi ottenuto, un impiego in Nuova Zelanda e all’estero. Le aziende che usano collaboratori internazionali, soprattutto tramite piattaforme di freelance, rischiano di inserirli senza accorgersene. Gli obiettivi più probabili sono enti governativi, fornitori della difesa, aziende tecnologiche, istituti finanziari, grandi imprese e chiunque abbia accesso a informazioni sensibili, servizi critici, tecnologie strategiche o reti commerciali internazionali. Alcuni lavoratori passano dalle agenzie di reclutamento per presentarsi in modo più credibile.

Come operano

Si presentano come freelance da remoto con identità false. Le modalità indicate dall’avviso:

• identità rubate o acquistate, a volte ricavate da registri pubblici;
• curriculum e referenze inventati, risposte ai colloqui assistite da IA o con deepfake;
• attività svolta soprattutto da Cina, Laos e Russia, con VPN e strumenti di desktop remoto per nascondere la posizione;
• coordinamento tramite GitHub, Telegram, LinkedIn, Upwork e altre piattaforme.

In alcuni casi, dopo il licenziamento, i lavoratori hanno minacciato di divulgare informazioni riservate, tentando di diffondere dati aziendali o di venderli a concorrenti.

Ci sono anche cittadini neozelandesi usati a loro insaputa per mascherare identità e posizione: ricevono al proprio indirizzo la posta, compresi i portatili aziendali; accedono ai portatili e configurano una VPN, così l’attività sembra partire dal loro indirizzo IP neozelandese; ricevono i pagamenti e li girano al conto del lavoratore nordcoreano.

I segnali d’allarme

Presi da soli non indicano un’attività illecita, ma secondo l’avviso, soprattutto quando se ne presentano due o più, giustificano controlli più approfonditi.

Identità: più profili online con foto diverse o senza foto; contatti solo tramite social o app di messaggistica; rifiuto di comparire in video o uso di strumenti di mascheramento con IA; dati del documento incoerenti o che cambiano; percorso lavorativo o presenza online incoerenti; nomi occidentalizzati o pseudonimi; documenti neozelandesi rubati o alterati, comprese patenti e passaporti; false email aziendali create per superare i controlli delle referenze.

Posizione e accessi, i più utili per chi gestisce i sistemi:

• richiesta di spedire l’hardware a un indirizzo diverso da quello del documento;
• accesso ai sistemi con login remoto invece che dal dispositivo aziendale fornito;
• uso di software di condivisione e controllo del desktop remoto;
• attività fuori dall’orario dichiarato o previsto, e difficoltà a raggiungere la persona durante l’orario di lavoro;
• sessioni attive ininterrottamente per più di 24 ore;
• più accessi allo stesso account da indirizzi IP diversi in poco tempo, anche da paesi diversi.

Pagamenti: conti bancari in Cina, richieste di pagamento in criptovaluta o tramite piattaforme di pagamento.

Impatto per le aziende europee e italiane

L’avviso riguarda la Nuova Zelanda e non cita casi in Europa o in Italia. Le modalità descritte però sfruttano strumenti diffusi ovunque: piattaforme di freelance, agenzie di reclutamento, colloqui solo a distanza, accesso remoto ai sistemi. Per i soggetti NIS2, la sicurezza delle risorse umane e il controllo degli accessi rientrano tra le misure di gestione del rischio: verifica dell’identità e limitazione dei privilegi dei collaboratori remoti fanno parte dello stesso lavoro. Anche l’Unione europea applica le sanzioni ONU contro la Corea del Nord, quindi i pagamenti a questi lavoratori pongono anche un problema legale, da valutare con i propri consulenti.

Cosa fare subito

Le misure indicate da NCSC e Polizia neozelandesi:

1. Verifica l’identità: nome, nazionalità, posizione, contatti, studi e lavori precedenti devono essere coerenti tra candidatura, documento, social e piattaforme di pagamento. Cerca falsificazioni nei documenti e verifica titoli e referenze direttamente con scuole e aziende, non con i recapiti forniti dal candidato.
2. Non affidarti solo alle agenzie di reclutamento per la verifica dell’identità.
3. Diffida dei numeri VoIP, fai ricerche inverse sulle foto del profilo per scoprire ritocchi con IA, preferisci colloqui di persona o almeno un incontro in sede, e insospettisciti se il lavoratore non può ricevere posta all’indirizzo del documento.
4. Non accorciare l’assunzione: concedi gli accessi solo dopo aver completato le procedure e convalidato l’identità con documenti ufficiali.
5. Pagamenti: niente criptovalute, solo un conto bancario intestato alla persona verificata; diffida delle richieste di pagare conti con nomi diversi e di comunicare fuori dalle piattaforme verificate.
6. Limita gli accessi alle informazioni sensibili secondo il principio della necessità di sapere, con controlli e permessi ridotti.
7. Richiedi a tutti, soprattutto a chi lavora solo da remoto, un dispositivo aziendale gestito invece del login remoto da altri dispositivi.
8. Monitora i dispositivi aziendali: schemi di accesso anomali, anomalie delle VPN e applicazioni di desktop remoto che possono mascherare la posizione.
9. Fai un audit dei collaboratori già attivi solo da remoto, cercando attività sospette e segnali d’allarme.

Come aiuta ARXDOME

ARX Sentry mostra nelle pagine del SOC gli accessi, gli accessi notturni, il desktop remoto e le raffiche di tentativi, con gli eventi arricchiti con il paese d’origine; il suo inventario di software e processi aiuta a trovare strumenti di controllo remoto o client VPN non previsti sulle macchine aziendali. Con ARX Horizon puoi controllare dal portale geolocalizzazione e reputazione di un indirizzo IP sospetto, e con ARX Shield isolare dalla rete una macchina mentre fai le verifiche.

Ultimo aggiornamento: 9 ottobre 2026