朝鲜黑客新套路：500美元雇人面试，再肉身顶替入职
- 核心观点：朝鲜黑客渗透加密企业手段再度升级，通过雇佣第三国技术人员代为面试后李代桃僵入职目标公司，从内部窃取加密资产与敏感信息，2025年造成超20亿美元损失。
- 关键要素：
- CrowdStrike数据显示，2025年朝鲜国家关联黑客造成的加密货币损失超20亿美元，同比增长51%。
- 美国国务院与FBI联合11国发布警报，指出朝鲜IT工人通过虚假身份远程入职，薪资回流朝鲜政府用于核武及弹道导弹计划。
- 新型手法：黑客以每月500美元加密货币雇佣伊朗、黎巴嫩等国技术人员协助面试，随后自己取代入职目标公司。
- 渗透目的不仅限于薪资，还包括窃取商业信息、加密货币资产、技术代码及敏感数据。
- 黑客利用AI模型制造假身份，并在LinkedIn等平台编造虚假评价以提升可信度。
- 自检信号包括：身份信息与支付账户不匹配、多账户共用IP、面试拒绝露脸、要求加密货币支付报酬等。
บทความต้นฉบับ｜Odaily（@OdailyChina）
ผู้เขียน｜Wenser（@wenser 2010）
ยังจำแฮกเกอร์เกาหลีเหนือที่แทรกซึมเข้าไปในกระเป๋า MetaMask ผ่านการจ้างงานแบบเอาต์ซอร์สได้ไหม? (แนะนำให้อ่าน《เกือบไปแล้ว! พนักงานเอาต์ซอร์สคนหนึ่งเกือบทำลาย MetaMask》)
แล้วแฮกเกอร์เกาหลีเหนือที่ถูกบริษัท DeFi ปลอมจับผิดและเปิดโปงต่อสาธารณะล่ะ? (แนะนำให้อ่าน《ละครตกปลาประจำปี บริษัท DeFi ปลอมจับแฮกเกอร์ Lazarus เกาหลีเหนือตัวจริงได้》)
เช่นเดียวกับบริษัทความปลอดภัยที่ใช้กลยุทธ์ตกปลาเชิงรุก แฮกเกอร์เกาหลีเหนือก็กำลังอัปเกรด "วิธีการโจมตี" ของตนเองเช่นกัน ตั้งแต่ช่องโหว่ทางเทคนิคในตอนแรก ไปจนถึงการโจมตีทางวิศวกรรมสังคมในภายหลัง และต่อมาคือการเข้าไปอยู่ในทีมผ่านโครงการเอาต์ซอร์สและการเข้าร่วมงานระยะไกลกับโครงการคริปโต เมื่อไม่นานมานี้ วิธีการแทรกซึมของพวกเขาก็มีรูปแบบใหม่: ก่อนอื่นจ้างคนอื่นให้ผ่านการสัมภาษณ์ของบริษัทคริปโต จากนั้นตัวเองก็เข้ารับตำแหน่งแทน แอบซ่อนตัวอยู่ภายในแล้วรอจังหวะ ในที่สุดก็ขโมยสินทรัพย์คริปโตและข้อมูลสำคัญผ่านการโจมตีทางเทคนิคจากภายใน
หลังจากผ่านไปหนึ่งเดือน สงครามระหว่างบริษัทความปลอดภัยกับแฮกเกอร์เกาหลีเหนือก็มีความคืบหน้าใหม่ และกลโกงรูปแบบใหม่ก็ปรากฏขึ้นตามมา
"ทางอ้อมเพื่อบรรลุเป้าหมาย": แฮกเกอร์จ้างคนสัมภาษณ์แล้วเข้ารับตำแหน่งแทน สุดท้ายเพื่อ "ตอบแทนประเทศ homeland" เท่านั้น
ก่อนอื่นมาทำความรู้จัก "ผลงาน" ของแฮกเกอร์เกาหลีเหนือกันก่อน: ข้อมูลจากบริษัทความปลอดภัย CrowdStrike ระบุว่าในปี 2025 ความสูญเสียจากคริปโตที่เกิดจากแฮกเกอร์และผู้คุกคามที่เชื่อมโยงกับรัฐเกาหลีเหนือมีมูลค่าเกิน 2 พันล้านดอลลาร์ เพิ่มขึ้น 51% เมื่อเทียบปีต่อปี ธนาคารกลางเกาหลีใต้ประเมินว่าแม้จะเผชิญมาตรการคว่ำบาตรร่วมจากทั่วโลก แต่อัตราการเติบโตของผลิตภัณฑ์มวลรวมภายในประเทศ (GDP) ของเกาหลีเหนือในปี 2025 ยังคงสูงถึง 3.5%
ข้อมูลที่ยืนยันได้ในขณะนี้คือ แฮกเกอร์เกาหลีเหนือในฐานะ "ทีมชาติ" ก็มีส่วนสำคัญต่อการเติบโตทางเศรษฐกิจของประเทศเช่นกัน
เมื่อวันที่ 31 กรกฎาคมของปีนี้ กระทรวงการต่างประเทศสหรัฐฯ และ FBI ร่วมกับอีก 11 ประเทศ ได้แก่ ญี่ปุ่น เกาหลีใต้ ออสเตรเลีย แคนาดา ฝรั่งเศส เยอรมนี อิตาลี เนเธอร์แลนด์ นิวซีแลนด์ และสหราชอาณาจักร ได้ออกรายงานความปลอดภัยชื่อ《คำเตือนเกี่ยวกับแรงงานไอทีเกาหลีเหนือ》
ข้อมูลในรายงานมีปริมาณไม่น้อย โดยประเด็นสำคัญประกอบด้วยข้อมูลดังต่อไปนี้:
ประการแรก เกาหลีเหนือพึ่งพาเครือข่ายนักพัฒนาเทคโนโลยีที่ประจำการทั้งในและต่างประเทศในการดำเนินการภายนอก โดยการส่งบุคลากรทางเทคนิคเหล่านี้ไปสร้างตัวตนปลอม ทำงานระยะไกลเพื่อหาเงิน และสุดท้ายโอนรายได้จากเงินเดือนกลับไปยังบัญชีของหน่วยงานรัฐบาลเกาหลีเหนือ เงินทุนที่เกี่ยวข้องถูกนำไปใช้ในการพัฒนาและผลักดันโครงการนิวเคลียร์และขีปนาวุธของเกาหลีเหนือในที่สุด
ประการที่สอง เมื่อพิจารณาจากเนื้อหางานเฉพาะของแฮกเกอร์เกาหลีเหนือ นักพัฒนาเทคโนโลยีเหล่านี้มักใช้ตัวตนปลอมของพลเมืองประเทศอื่นในการได้รับงานและรายได้จากเงินเดือนที่สอดคล้องกันบนแพลตฟอร์มหางาน จัดซื้อ และรับเหมาออนไลน์ที่ดำเนินการโดยบริษัทเอกชนในต่างประเทศ
ประการที่สาม นอกจากนี้ บุคลากรด้านบริการทางเทคนิคของเกาหลีเหนือไม่เพียงแต่ได้รับเงินเดือนปกติของพนักงานเท่านั้น แต่ยังก่อให้เกิดภัยคุกคามภายในระดับสูงต่อข้อมูลทางธุรกิจและสินทรัพย์ทางธุรกิจของบริษัทที่ตนเข้าทำงานอีกด้วย จำนวนไม่น้อยใช้โอกาสนี้ในการมีส่วนร่วมในการขโมยข้อมูล ขโมยคริปโต และขโมยข้อมูลสำคัญ
ประการสุดท้าย ในด้านวิธีการดำเนินการเฉพาะ กิจกรรมการเตรียมการและเทคนิคการปฏิบัติการของแฮกเกอร์เกาหลีเหนือมีความซับซ้อนมากขึ้นเรื่อยๆ รวมถึงการใช้โมเดล AI และแอปพลิเคชันต่างๆ เป็นเครื่องมือในการสร้างตัวตนปลอมและดำเนินกิจกรรมผิดกฎหมายในระดับโลกอีกด้วย
ที่น่าสังเกตคือ ข้อมูลที่สำคัญที่สุดที่กล่าวถึงในรายงานฉบับนี้คือ บนพื้นฐานของ "การสัมภาษณ์ด้วยตนเอง" ในอดีต แฮกเกอร์เกาหลีเหนือได้อัปเกรด "ขั้นตอนการทำงาน" ของตนเมื่อไม่นานมานี้——
- ปัจจุบัน พวกเขามักจะว่าจ้างบุคลากรทางเทคนิคจากประเทศที่สาม (เช่น อิหร่าน เลบานอน เป็นต้น) ผ่านเว็บไซต์หางานอย่าง LinkedIn ล่วงหน้า
- จากนั้น แฮกเกอร์เกาหลีเหนือจะขอให้นักพัฒนาทางเทคนิคบางส่วนทำงานพาร์ทไทม์ในฐานะ "ผู้ช่วยสัมภาษณ์" โดยจ่ายค่าตอบแทนเป็นคริปโตเดือนละ 500 ดอลลาร์เพื่อให้อีกฝ่ายช่วยตนเข้าทำงานในบริษัทเป้าหมาย
- สุดท้าย แฮกเกอร์เกาหลีเหนือก็เข้าแทนที่ด้วยตนเอง เข้าไปเป็นสมาชิกคนหนึ่งของทีมในบริษัทเป้าหมาย เพื่อให้บรรลุการแทรกซึมทางเทคนิค พร้อมกับได้รับเงินเดือนของตำแหน่งนั้น และรอจังหวะขโมยข้อมูลสำคัญ ข้อมูล คริปโต และโค้ดทางเทคนิค ตลอดจนสินทรัพย์ทางธุรกิจอื่นๆ
ไม่ต้องสงสัยเลยว่าในสงครามความปลอดภัยที่ยกระดับขึ้นอย่างต่อเนื่อง แฮกเกอร์เกาหลีเหนือก็ค่อยๆ อัปเกรด "SOP (ขั้นตอนการทำงาน)" ของตนเองเช่นกัน และเป้าหมายสุดท้ายของพวกเขาก็คือการส่งเงินกลับประเทศอย่างแน่นอน
เช็กลิสต์ตรวจสอบตนเองเรื่องการแทรกซึมของแฮกเกอร์เกาหลีเหนือ: จากข้อมูลส่วนบุคคลของพนักงานไปจนถึงนิสัยการสื่อสารในชีวิตประจำวัน
ในปัจจุบัน วิธีการก่ออาชญากรรมของแฮกเกอร์เกาหลีเหนือยากที่จะป้องกันได้ แต่ก็ยังมีร่องรอยที่พอจะติดตามได้ ต่อไปนี้คือสัญญาณบ่งชี้บางประการที่บริษัทต่างๆ ควรระวังและตรวจสอบตนเอง:
สำหรับบริษัทที่ดำเนินการแพลตฟอร์มออนไลน์ จำเป็นต้องให้ความสนใจเป็นพิเศษในด้านต่อไปนี้:
- พนักงานเปลี่ยนข้อมูลการลงทะเบียนบ่อยครั้ง (ชื่อบัญชี ข้อมูลติดต่อ บัญชีธนาคารสำหรับรับเงิน เป็นต้น)
- ชื่อผู้ถือเอกสารประจำตัวของพนักงานไม่ตรงกับชื่อบัญชีรับเงินที่ลงทะเบียน
- ใช้เอกสารระบุตัวตนเดียวกันสร้างบัญชีรับเงินหลายบัญชี
- เอกสารยืนยันตัวตนต้องสงสัยว่าปลอมแปลง หรือสร้าง/แก้ไขด้วยซอฟต์แวร์ตกแต่งภาพหรือเครื่องมือสร้างภาพด้วย AI
- บัญชีทางเทคนิคหลายบัญชีส่งคำขอเข้าถึงจากที่อยู่ IP เดียวกัน
- บัญชีเดียวส่งคำขอเข้าถึงจากที่อยู่ IP หลายแห่งในช่วงเวลาสั้นๆ
- บัญชีคงสถานะเข้าสู่ระบบไว้เป็นเวลานานผิดปกติ
- จำนวนชั่วโมงทำงานสะสมหรือตัวชี้วัดที่เกี่ยวข้องกับงานผิดปกติ (เช่น ออนไลน์นานเกินไป ประสิทธิภาพการทำงานสูงเกินไป ปริมาณงานมากเกินไป)
- ผู้ใช้เว็บไซต์หางานแต่งความคิดเห็นปลอมให้ตัวเองเพื่อเพิ่มคะแนนบนเว็บไซต์หางาน เป็นต้น
สำหรับบริษัทที่รับพนักงานหรือทำการสัมภาษณ์และจ้างงานแบบเอาต์ซอร์ส การใส่ใจรายละเอียดต่อไปนี้จะช่วยหลีกเลี่ยงการแทรกซึมจากภายในของแฮกเกอร์เกาหลีเหนือได้ทันท่วงที:
- ข้อมูลส่วนตัวของผู้สัมภาษณ์มีข้อผิดพลาดหรือ wyrażenie ที่ไม่เป็นธรรมชาติ (ต้องสงสัยว่าแปลด้วยเครื่อง) อ้างว่าไม่คล่องภาษาประเทศของตนเองในข้อมูลระบุตัวตน (เนื่องจากความแพร่หลายของบริการแปลด้วย AI จึงทำได้เพียงให้ความสนใจด้านการแสดงออกทางภาษาเท่านั้น)
- รายละเอียดการปลอมแปลงที่เปิดเผยในระหว่างการประชุมทางวิดีโอ เช่น รูปถ่ายไม่ตรงกับข้อมูลระบุตัวตน ภาพวิดีโอการประชุมสร้างด้วย AI หรือมีบุคคลที่สามร่วมมือ การแสดงออกทางภาษาและท่าทางสีหน้าไม่เป็นธรรมชาติ
- พนักงานที่สัมภาษณ์ปฏิเสธที่จะเข้าร่วมการประชุมทางวิดีโอ ปฏิเสธที่จะเปิดหน้า
- ค่าตอบแทนแรงงานต่ำกว่าราคาตลาดปกติทั่วไป
- แสดงให้เห็นว่าบัญชีทางเทคนิคส่วนตัวของพวกเขาถูกดำเนินการโดยหลายคน (โดยปกติแสดงว่ากิจกรรมแฮกเกอร์ลักษณะนี้มักดำเนินการเป็นทีม คู่สนทนาจริงอาจเปลี่ยนแปลงไปตามกาลเวลา)
- เรียกร้องให้จ่ายค่าตอบแทนเป็นคริปโต ปฏิเสธที่จะให้ข้อมูลบัญชีธนาคารและบัญชีชำระเงินที่สมบูรณ์
