Lavoratori fantasma: come gli operativi nordcoreani si sono infiltrati nelle aziende tech occidentali

Quando “Taylor”, una sviluppatrice da remoto di Denver, ha iniziato il suo contratto, ha superato senza problemi i controlli dei precedenti e i colloqui video. Consegnava il codice in tempo, rispondeva ai messaggi su Slack e si collegava da un indirizzo IP locale. Ma Taylor era un fantasma: una delle centinaia di operativi nordcoreani silenziosamente inseriti nelle aziende occidentali, che trasformano normali buste paga in una macchina di cyber-guerra da 600 milioni di dollari l’anno.

Gli insider invisibili

Per decenni, le minacce interne evocavano l’immagine di dipendenti scontenti o appaltatori negligenti. Oggi, la minaccia è molto più insidiosa. L’FBI e il Dipartimento di Giustizia hanno lanciato l’allarme su una nuova razza di “insider invisibili”: professionisti IT nordcoreani che dirottano identità occidentali per infiltrarsi nelle aziende, finanziando al contempo il regime di Pyongyang e aprendo backdoor silenziose per futuri attacchi informatici.

Questi operativi usano due approcci principali. Nel primo, si spacciano per normali assunzioni da remoto - armati di numeri di Social Security rubati, credenziali falsificate e persino colloqui video deepfake. Una volta dentro, percepiscono una retribuzione stabile mentre inseriscono discretamente meccanismi di persistenza, come account amministrativi nascosti o malware, in profondità nell’infrastruttura aziendale. Nel secondo approccio, società di facciata gestite dalla Corea del Nord si mascherano da aziende software legittime. Attirano candidati reali inducendoli inconsapevolmente a eseguire codice malevolo, compromettendo non solo loro stessi ma intere organizzazioni.

Cosa rende questi schemi così efficaci? La risposta sta nella loro sofisticazione tecnica. Invece di falsificare macchine virtuali, gli operativi della RPDC usano dispositivi fisici situati negli Stati Uniti, instradati attraverso indirizzi IP residenziali. Questo consente loro di superare i controlli su dispositivo e posizione, mimetizzandosi nella forza lavoro da remoto. I controlli di sicurezza tradizionali - basati su credenziali, indirizzi IP e verifiche dei precedenti - raramente individuano questi impostori.

Le conseguenze sono gravi. Oltre a perdere codice e dati sensibili, le aziende rischiano di violare le leggi statunitensi sulle sanzioni finanziando involontariamente la Corea del Nord. La scoperta non si conclude con il licenziamento: i team di incident response devono passare al setaccio l’infrastruttura alla ricerca di backdoor nascoste, mentre i team legali si preparano alle ricadute regolatorie.

La lezione? In un mondo di lavoro senza confini, la fiducia va verificata - fino alla posizione fisica e all’hardware di ogni dipendente da remoto.

Conclusione

Gli agenti cyber della Corea del Nord hanno ridefinito il significato di “minaccia interna”. Man mano che il lavoro da remoto diventa la norma, le aziende devono ripensare il modo in cui verificano identità, posizione e autenticità dei dispositivi. Nell’era dei lavoratori fantasma, la vigilanza non è solo una best practice - è un imperativo di sopravvivenza.

WIKICROOK

• Meccanismo di persistenza: Un meccanismo di persistenza è un metodo usato dal malware per restare attivo su un sistema, sopravvivendo ai riavvii e ai tentativi di rimozione da parte degli utenti o degli strumenti di sicurezza.
• Deepfake: Un deepfake è un contenuto generato dall’IA che imita l’aspetto o la voce di persone reali, spesso usato per ingannare creando video o audio falsi ma convincenti.
• Indirizzo IP residenziale: Un indirizzo IP residenziale è assegnato agli utenti domestici dagli ISP, facendo apparire l’attività online autentica, locale e meno probabilmente bloccata.
• Sanzioni OFAC: Le sanzioni OFAC limitano l’accesso al sistema finanziario statunitense per individui o entità collegati ad attività illecite o pericolose, con impatti sulla conformità in ambito cybersecurity.
• Backdoor: Una backdoor è un modo nascosto per accedere a un computer o a un server, aggirando i normali controlli di sicurezza, spesso usato dagli attaccanti per ottenere un controllo segreto.