Lucrători IT nord-coreeni: avizul NCSC și al Poliției din NZ

National Cyber Security Centre (NCSC) din Noua Zeelandă și Poliția neozeelandeză au publicat un aviz comun (TLP CLEAR, octombrie 2026) despre lucrătorii IT din Coreea de Nord (DPRK) care încearcă să se angajeze la organizații din Noua Zeelandă. Avizul descrie cum operează, semnalele de alarmă și verificările de pus în practică pentru a nu-i angaja fără să-ți dai seama.

Ce s-a întâmplat

Potrivit avizului, Coreea de Nord a trimis în lume mii de lucrători IT foarte calificați, care caută locuri de muncă în dezvoltare software, design web, design grafic și servicii IT. Scopul este să aducă venituri guvernului nord-coreean, inclusiv pentru programele de arme nucleare și rachete balistice, ocolind sancțiunile ONU. Acești lucrători pot încerca și să obțină proprietate intelectuală străină și să fure date pentru a cere o răscumpărare.

NCSC și Poliția raportează cazuri de lucrători nord-coreeni care au încercat, și uneori au reușit, să obțină un loc de muncă în Noua Zeelandă și în străinătate. Companiile care lucrează cu colaboratori internaționali, mai ales prin platforme de freelancing, îi pot integra fără să observe. Țintele cele mai probabile sunt instituțiile guvernamentale, furnizorii din domeniul apărării, companiile de tehnologie, instituțiile financiare, marile companii și oricine are acces la informații sensibile, servicii critice, tehnologii strategice sau rețele comerciale internaționale. Unii lucrători trec prin agenții de recrutare pentru a părea mai credibili.

Cum operează

Se prezintă ca freelanceri la distanță, cu identități false. Metodele indicate de aviz:

• identități furate sau cumpărate, uneori obținute din registre publice;
• CV-uri și referințe inventate, răspunsuri la interviuri asistate de IA sau cu deepfake;
• activitate mai ales din China, Laos și Rusia, cu VPN și instrumente de desktop la distanță pentru a ascunde locația;
• coordonare prin GitHub, Telegram, LinkedIn, Upwork și alte platforme.

În unele cazuri, după concediere, lucrătorii au amenințat că vor divulga informații confidențiale, încercând să publice date ale companiei sau să le vândă concurenților.

Există și cetățeni neozeelandezi folosiți fără știrea lor pentru a ascunde identitatea și locația: primesc la adresa lor corespondența, inclusiv laptopurile companiei; se conectează la laptopuri și configurează un VPN, astfel încât activitatea să pară că pleacă de la adresa lor IP din Noua Zeelandă; primesc plățile și le transferă în contul lucrătorului nord-coreean.

Semnalele de alarmă

Luate separat nu indică o activitate ilegală, dar, potrivit avizului, mai ales când apar două sau mai multe, justifică verificări mai amănunțite.

Identitate: mai multe profiluri online cu fotografii diferite sau fără fotografie; contact doar prin rețele sociale sau aplicații de mesagerie; refuzul de a apărea pe cameră sau folosirea unor instrumente de mascare cu IA; date de identitate incoerente sau care se schimbă; parcurs profesional sau prezență online incoerente; nume occidentalizate sau pseudonime; documente neozeelandeze furate sau falsificate, inclusiv permise de conducere și pașapoarte; adrese de email de firmă false, create pentru a trece de verificarea referințelor.

Locație și acces, cele mai utile pentru cine administrează sistemele:

• cererea de a trimite echipamentele la o altă adresă decât cea din actul de identitate;
• acces la sisteme prin login la distanță în loc de dispozitivul de firmă primit;
• folosirea unor programe de partajare și control al desktopului la distanță;
• activitate în afara programului declarat sau prevăzut și dificultatea de a da de persoană în timpul programului;
• sesiuni active fără întrerupere mai mult de 24 de ore;
• mai multe autentificări în același cont de la adrese IP diferite într-un timp scurt, inclusiv din țări diferite.

Plăți: conturi bancare în China, cereri de plată în criptomonede sau prin platforme de plată.

Impactul pentru companiile europene și italiene

Avizul privește Noua Zeelandă și nu menționează cazuri în Europa sau în Italia. Însă metodele descrise se bazează pe instrumente folosite peste tot: platforme de freelancing, agenții de recrutare, interviuri doar la distanță, acces de la distanță la sisteme. Pentru entitățile NIS2, securitatea resurselor umane și controlul accesului fac parte din măsurile de gestionare a riscurilor: verificarea identității și limitarea privilegiilor colaboratorilor la distanță țin de aceeași muncă. Și Uniunea Europeană aplică sancțiunile ONU împotriva Coreei de Nord, deci plata acestor lucrători este și o problemă juridică, de evaluat cu consultanții tăi.

Ce să faci imediat

Măsurile recomandate de NCSC și Poliția din Noua Zeelandă:

1. Verifică identitatea: numele, naționalitatea, locația, datele de contact, studiile și locurile de muncă anterioare trebuie să fie coerente în candidatură, actul de identitate, rețelele sociale și platformele de plată. Caută falsuri în documente și verifică diplomele și referințele direct cu instituțiile și companiile, nu prin datele de contact oferite de candidat.
2. Nu te baza doar pe agențiile de recrutare pentru verificarea identității.
3. Fii atent la numerele VoIP, fă căutări inverse după fotografiile de profil pentru a descoperi retușuri cu IA, preferă interviurile față în față sau măcar o întâlnire la un birou local și fii suspicios dacă lucrătorul nu poate primi corespondență la adresa din actul de identitate.
4. Nu grăbi angajarea: acordă accesul doar după ce ai finalizat procedurile și ai validat identitatea cu documente oficiale.
5. Plăți: fără criptomonede, doar un cont bancar pe numele persoanei verificate; fii suspicios la cererile de a plăti în conturi pe alte nume și de a comunica în afara platformelor verificate.
6. Limitează accesul la informațiile sensibile după principiul nevoii de a cunoaște, cu controale de acces și permisiuni reduse.
7. Cere tuturor, mai ales celor care lucrează doar la distanță, să folosească un dispozitiv de firmă administrat în locul loginului la distanță de pe alte dispozitive.
8. Monitorizează dispozitivele de firmă: tipare de acces anormale, anomalii VPN și aplicații de desktop la distanță care pot ascunde locația.
9. Fă un audit al colaboratorilor care lucrează deja doar la distanță, căutând activități suspecte și semnale de alarmă.

Cum ajută ARXDOME

ARX Sentry arată în paginile SOC autentificările, autentificările de noapte, desktopul la distanță și rafalele de încercări, cu evenimentele îmbogățite cu țara de origine; inventarul său de software și procese ajută la găsirea instrumentelor de control la distanță sau a clienților VPN neprevăzuți pe calculatoarele companiei. Cu ARX Horizon poți verifica din portal geolocalizarea și reputația unei adrese IP suspecte, iar cu ARX Shield poți izola din rețea un calculator cât timp faci verificările.

Ultima actualizare: 9 octombrie 2026