Oszustwa północnokoreańskich informatyków: weryfikacja w rekrutacji zdalnej

Zatrudnianie północnokoreańskich informatyków pod fałszywą tożsamością jest finansowaną przez państwo operacją oszustwa wymierzoną w zachodnie firmy przy użyciu skradzionych tożsamości, amerykańskich pośredników prowadzących „farmy laptopów” i rozmów rekrutacyjnych wspieranych przez AI. Sam segment fałszywych pracowników regularnie przynosi reżimowi w Korei Północnej szacunkowo od 250 do 600 milionów dolarów rocznie w wyłudzonych pensjach i właśnie teraz jest przedmiotem postępowań przed amerykańskimi sądami federalnymi. Żeby ograniczyć ryzyko, weryfikuj tożsamość już na wejściu, prowadź rozmowy z włączoną kamerą i testami na deepfake’i na żywo, wysyłaj sprzęt wyłącznie na zweryfikowany adres i nie przyznawaj żadnego dostępu do systemów, dopóki nie zostanie zakończona weryfikacja przeszłości kandydata. Kontrole rekrutacyjne trzeba połączyć z ochroną urządzeń i uprawnień po zatrudnieniu.

W tym scenariuszu napastnik uzyskuje dostęp przez rekrutację: składa zgłoszenie, przechodzi rozmowy i przyjmuje ofertę pod cudzą tożsamością. Weryfikacja musi więc obejmować więcej niż umiejętności opisane w CV.

Czym tak naprawdę jest schemat z północnokoreańskimi informatykami

Schemat wykorzystuje prawdziwe amerykańskie tożsamości, by północnokoreańscy agenci zostali zatrudnieni na legalnych, zdalnych stanowiskach inżynierskich, a opłacony amerykański wspólnik sprawia, że pracownik uchodzi za miejscowego. Sam pracownik fizycznie przebywa w Chinach, Rosji albo gdzie indziej; operator „farmy laptopów” na terenie USA odbiera firmowego laptopa, instaluje oprogramowanie do zdalnego dostępu i pozwala zalogować się pracownikowi zza granicy. Pracodawca błędnie zakłada, że pracownik znajduje się w deklarowanym miejscu.

Amerykański Departament Sprawiedliwości podaje, że Korea Północna „rozmieściła na całym świecie tysiące wysoko wykwalifikowanych informatyków”, a sieć pośredników obejmuje wiele krajów (źródło: DOJ, ogólnokrajowa akcja z czerwca 2025). Opisywana sieć ma podział ról, narzędzia i pośredników pomagających obchodzić sankcje.

Liczby bez przekłamań: 2,8 mld dolarów w krypto kontra 250-600 mln w pensjach

Te kwoty opisują różne źródła przychodów i okresy. Multilateral Sanctions Monitoring Team (MSMT) wycenia całość przychodów Korei Północnej z cyberataków i działalności informatyków na mniej więcej 2,8 miliarda dolarów od stycznia 2024 do września 2025, ale większość tej kwoty to kradzież kryptowalut, a nie pensje (źródło: raport MSMT Departamentu Stanu USA, podsumowany przez Chainalysis).

Sam schemat fałszywych informatyków to osobny, mniejszy strumień, który ONZ szacuje na 250-600 milionów dolarów rocznie w wyłudzonych pensjach (źródło: Fortune, powołując się na dane ONZ). Pojedynczy pracownicy zarabiają podobno od 3500 do 10 000 dolarów miesięcznie. Kiedy więc czytasz, że „fałszywi informatycy przynoszą 2,8 miliarda dolarów”, to nieprawda. Przychody z zatrudnienia pod fałszywą tożsamością są częścią tej szerszej działalności.

Łańcuch: skradziona tożsamość → amerykański pośrednik → farma laptopów → pranie pieniędzy

W opisywanych sprawach powtarzają się następujące elementy:

1. Skradziona lub pożyczona tożsamość. Agent posługuje się nazwiskiem, numerem ubezpieczenia (SSN) i adresem prawdziwego Amerykanina, często kupionymi lub pozyskanymi przy wcześniejszych wyciekach danych.
2. Pośrednik na terenie USA. Opłacony wspólnik (operator „farmy laptopów”) stwarza pozory pracy wykonywanej w USA, odbierając firmowego laptopa pod amerykańskim adresem.
3. Zdalny dostęp. Pośrednik instaluje oprogramowanie do zdalnego sterowania, dzięki czemu zagraniczny pracownik działa tak, jakby siedział przy tym amerykańskim biurku.
4. Pranie pensji. Wynagrodzenia trafiają do pośrednika, a stamtąd są kierowane za granicę do Korei Północnej, czasem przez kryptowaluty.

Wśród pośredników są zarówno świadomi naciągacze nastawieni na zysk, jak i ludzie zwerbowani przez ogłoszenia „praca z domu”, którzy nie do końca rozumieją, w co się wpakowali. Dokumentacja zatrudnienia może wyglądać poprawnie, mimo że pracę wykonuje inna osoba.

Sprawy prowadzone przez amerykański wymiar sprawiedliwości

W kilku sprawach amerykańscy pośrednicy otrzymali wieloletnie wyroki więzienia. Komunikaty Departamentu Sprawiedliwości opisują sposób działania i skalę tych operacji.

Farma laptopów w Arizonie: 309 firm, 17 mln dolarów, 102 miesiące

Jedna z tych spraw dotyczy Christiny Chapman, która prowadziła farmę laptopów we własnym domu w Arizonie. 24 lipca 2025 roku została skazana na 102 miesiące więzienia. Jej proceder przyniósł ponad 17 milionów dolarów, naraził na straty 309 amerykańskich firm (w tym jedną z pięciu największych sieci telewizyjnych, firmę technologiczną z Doliny Krzemowej i przedsiębiorstwa z listy Fortune 500) i opierał się na 68 skradzionych amerykańskich tożsamościach (źródło: DOJ).

Podczas przeszukania jej domu w 2023 roku zabezpieczono ponad 90 laptopów ustawionych w zorganizowane stanowisko robocze, a wcześniej wysłała 49 urządzeń za granicę, w tym kilka przesyłek do chińskiego miasta przy granicy z Koreą Północną (źródła: DOJ; The Record). Urządzenia pozwalały osobom za granicą korzystać z amerykańskich adresów sieciowych i firmowego dostępu.

Prokurator federalna Jeanine Pirro ujęła płynący z tego wniosek w jednym zdaniu:

Telefon dzwoni z wnętrza domu… Firmy, które nie weryfikują wirtualnych pracowników, stanowią zagrożenie dla bezpieczeństwa nas wszystkich. To wy jesteście pierwszą linią obrony przed zagrożeniem ze strony Korei Północnej.

Ogólnokrajowa obława w 2025: 16 stanów, 29 farm laptopów

Chapman nie była odosobnionym przypadkiem. W czerwcu 2025 roku skoordynowana akcja DOJ objęła 16 stanów, w których przeszukano 29 znanych lub podejrzewanych farm laptopów i zabezpieczono około 200 komputerów, 29 kont finansowych i 21 fałszywych witryn internetowych. Pracownicy zdobyli posady w ponad 100 amerykańskich firmach. W jednym ze schematów wykradli amerykańską technologię wojskową objętą kontrolą eksportu; w innym północnokoreańscy pracownicy w blockchainowej firmie z Atlanty ukradli około 900 000 dolarów w kryptowalucie (źródło: DOJ).

W kwietniu 2026 roku dwóch kolejnych pośredników, Kejia Wang i Zhenxing Wang, skazano na 108 i 92 miesiące za podstawianie północnokoreańskich pracowników do ponad 100 amerykańskich firm z wykorzystaniem co najmniej 80 skradzionych tożsamości, co przyniosło reżimowi ponad 5 milionów dolarów. Według zastępcy prokuratora generalnego cały podstęp „umieścił północnokoreańskich informatyków na listach płac niczego nieświadomych amerykańskich firm i w amerykańskich systemach komputerowych, szkodząc tym samym naszemu bezpieczeństwu narodowemu” (źródło: DOJ).

Sprawy te dokumentują udział pośredników, wykorzystanie skradzionych tożsamości i straty wielu firm.

Jak AI pomaga podszywać się pod kandydata

AI ułatwia przygotowanie fałszywych profili oraz zmianę obrazu i głosu podczas rozmowy. Kontrola dokumentów i sam obraz z kamery mogą więc nie wystarczyć.

Deepfake w czasie rzeczywistym w 70 minut

Zespół Unit 42 z Palo Alto Networks przeprowadził eksperyment: pojedynczy badacz, bez doświadczenia w obróbce obrazu, ze znikomą wiedzą o deepfake’ach i na pięcioletnim komputerze, zbudował syntetyczną tożsamość na potrzeby rozmów rekrutacyjnych w 70 minut, używając konsumenckiej karty graficznej z 2020 roku i darmowych narzędzi (źródło: Unit 42). Eksperyment pokazał, że do przygotowania takiej tożsamości wystarczył łatwo dostępny sprzęt i oprogramowanie.

Agenci łączą podmianę twarzy w czasie rzeczywistym z narzędziami do maskowania głosu w czasie rzeczywistym, które ukrywają akcent. Dzięki temu kandydat na twojej rozmowie może wyglądać i brzmieć jak Amerykanin, którego tożsamość ukradł (źródła: Unit 42; Dark Reading).

Niektóre systemy podmiany twarzy ujawniają artefakty przy ruchu lub zmianie oświetlenia. W uzasadnionej procedurze weryfikacji można poprosić kandydata, aby:

• powoli przesunął dłonią przed twarzą,
• obrócił się całkowicie profilem i zatrzymał w tej pozycji,
• wykonał szybki ruch głową,
• nagle zmienił oświetlenie.

Takie próby mogą ujawnić niespójności, ale nie są pewnym testem tożsamości. Problemy z łączem, kamerą lub dostępnością również wpływają na obraz. Wyjaśnij cel weryfikacji i zapewnij alternatywę, jeśli kandydat nie może wykonać prośby.

Maskowanie głosu, syntetyczne tożsamości i „zbyt czyste” profile

Sprawdź spójność informacji w dokumentach, profilu i referencjach. Wypatruj tożsamości bez naturalnej historii cyfrowej: świeżutkiego konta na GitHubie przy CV deklarującym dziesięć lat doświadczenia, podejrzanie ubogiego albo podejrzanie wypolerowanego LinkedIna, referencji, z którymi nie da się skontaktować, oraz numerów VoIP lub Google Voice zamiast prawdziwej linii operatora (źródła: SpyCloud; Unit 42). Nowy profil, niewielka aktywność publiczna ani numer VoIP nie dowodzą oszustwa. Wymagają oceny w kontekście innych informacji. O szerszym problemie uczciwości, jaki AI wprowadza do rozmów rekrutacyjnych, pisaliśmy w tekście o kandydatach-deepfake’ach i oszustwach rekrutacyjnych z AI; ten artykuł dotyczy konkretnego, objętego sankcjami przeciwnika, który prowadzi pełny łańcuch oszustwa.

Rekrutacja jest dziś powierzchnią ataku

Zespół bezpieczeństwa powinien pomóc ustalić weryfikację przed nadaniem dostępu oraz kontrole po zatrudnieniu. Umowa zawarta pod fałszywą tożsamością może prowadzić do przyznania prawdziwych uprawnień.

Po zatrudnieniu ci pracownicy nie poprzestają na inkasowaniu pensji. W osądzonych sprawach okradali pracodawców z technologii wojskowej objętej kontrolą eksportu i z kryptowalut (źródło: DOJ). A szkody nie kończą się wraz ze zwolnieniem: po wykryciu lub zwolnieniu niektórzy północnokoreańscy informatycy szantażowali byłych pracodawców, grożąc ujawnieniem skradzionego kodu źródłowego i danych firmowych, co skłoniło FBI do wydania konkretnych ostrzeżeń (źródło: Bitdefender/FBI).

Czarny scenariusz nie brzmi więc tutaj „zatrudniliśmy słabego pracownika, który nie dowoził”. To narażenie na sankcje, kradzież własności intelektualnej i groźba szantażu, w której kartą przetargową są twoje prywatne repozytoria. Weryfikację tożsamości warto więc uwzględnić w kontrolach bezpieczeństwa. Podobne zależności opisujemy w tekście o lukach w kontroli rekrutacji w świetle SOC 2.

Zestaw kontroli: zgłoszenie, rozmowa i wdrożenie

Obroną jest warstwowy zestaw kontroli, na który zbieżnie wskazują FBI/IC3, OFAC i Unit 42. Żadna pojedyncza weryfikacja nie jest rozstrzygająca. Ich połączenie może pomóc wykryć niespójności, ale nie gwarantuje wykrycia oszustwa.

Weryfikuj tożsamość już na wejściu (analiza dokumentów + liveness)

Ustal właściwy etap i podstawę prawną weryfikacji. Jeśli sprawdzasz dokument, oceń jego ważność, zabezpieczenia i ewentualne przeróbki. Przy nieczytelnym zdjęciu poproś o ponowienie, zamiast automatycznie odrzucać kandydata. Połącz dokument z wykrywaniem żywej osoby (liveness), żeby ograniczyć ryzyko użycia statycznego zdjęcia lub deepfake’a, i porównaj twarz z ujęcia na żywo z fotografią w dokumencie (źródła: komunikat FBI IC3; ID Dataweb). Cel na wejściu jest prosty: zweryfikować człowieka, a nie tylko CV.

Portal kandydata w Kit korzysta z dostępu przez link z e-maila bez hasła. Potwierdza to dostęp do skrzynki e-mail, a nie tożsamość osoby, jej dokument czy obecność na żywo. Weryfikację tożsamości trzeba przeprowadzić osobno.

Jak sprawdzać spójność informacji podczas rozmowy

Jeśli weryfikacja wymaga kamery, uprzedź o tym i ustal dostępne alternatywy. Nagrywanie wymaga osobnej oceny podstawy prawnej, celu i okresu przechowywania. Następnie spraw, by rozmowy nie dało się wyreżyserować z góry:

• Zadawaj pytania wymagające własnego wyjaśnienia: o lokalne punkty orientacyjne w okolicy podanego adresu, o dzisiejsze wiadomości, o dzisiejszą pogodę tam, gdzie kandydat rzekomo się znajduje.
• Zmieniaj zestawy pytań, żeby odpowiedzi nie dało się wykuć z Glassdoor.
• Zwracaj uwagę na długie pauzy przy pytaniach z wiedzy podstawowej. Mogą wymagać wyjaśnienia, ale same nie dowodzą korzystania z podpowiedzi.
• Przeprowadź opisane wyżej fizyczne testy liveness, jako jedną z kontroli, a nie rozstrzygający test.

(Źródła: Help Net Security; WeLiveSecurity.)

Potwierdź, że oceniany to ten, kogo zatrudniasz

Rozmowę może przejść osoba, która później nie będzie wykonywać pracy. Sprawdź więc, czy oceniasz osobę, którą zamierzasz zatrudnić. Zadanie programistyczne i późniejsza rozmowa o rozwiązaniu pomagają sprawdzić znajomość oddanej pracy. Niech kandydat wykona prawdziwą pracę, a potem, w nagrywanej sesji na żywo, poproś go, żeby omówił własny kod, rozbudował go i wyjaśnił decyzje, które powinien pamiętać, jeśli rzeczywiście to on go napisał.

Zadania programistyczne w Kit korzystają z szablonowego repozytorium GitHub. Możesz połączyć je z etapem rozmowy na żywo i poprosić kandydata o omówienie rozwiązania. Pomaga to ocenić wiedzę, ale nie stanowi technicznego dowodu tożsamości autora.

Dostawa sprzętu i nadawanie dostępu

Sprawdzaj również adres dostawy sprzętu i dane do wypłaty. Zgodnie z wytycznymi FBI i OFAC: wysyłaj sprzęt wyłącznie na adres zweryfikowany w dokumencie tożsamości i wymagaj dodatkowej weryfikacji przy każdej zmianie adresu. Przeszkol HR i rekruterów, żeby wychwytywali zmiany adresu lub platformy płatniczej podczas wdrożenia pracownika. Zmiana może służyć przekierowaniu sprzętu do pośrednika. I nie przyznawaj żadnego dostępu do systemów, dopóki nie zostanie zakończona weryfikacja przeszłości kandydata (źródła: komunikat FBI IC3; doradztwo OFAC/Departamentu Skarbu). Nagłe „a właściwie wyślijcie to na ten inny adres” tuż po ofercie to jeden z najgłośniejszych sygnałów w całym schemacie.

Gdy pojawi się niespójność wymagająca wyjaśnienia, zapisz ją i przypisz osobę odpowiedzialną za sprawdzenie. Podejrzenie powinno zostać rozpatrzone według ustalonej procedury, z przypisaną osobą odpowiedzialną, podobnie jak zgłoszenie podatności. Ustal, kiedy rekruter powinien zaangażować zespół bezpieczeństwa.

Jak prowadzić rekrutację odporną na oszustwa w Kit

Kit to ATS z funkcjami AI, w którym skonfigurujesz etapy, przypiszesz osoby oceniające i zapiszesz ich opinie. Możesz połączyć zadanie programistyczne z rozmową o rozwiązaniu oraz ustalić zadania zespołu przed zatrudnieniem.

Link z e-maila potwierdza dostęp do skrzynki. Historia etapów pokazuje działania przypisane do rekordu kandydata. Żadna z tych funkcji nie potwierdza dokumentu tożsamości, nie wykrywa deepfake’ów i nie gwarantuje, że zadanie wykonała osoba obecna na rozmowie.

Moduł CSIRT służy do obsługi zgłoszeń podatności. Nie jest automatycznie połączonym z rekrutacją systemem wykrywania oszustw. Ustal własną procedurę przekazywania podejrzeń zespołowi bezpieczeństwa i ogranicz dostęp do zebranych danych.

Najczęściej zadawane pytania

Czy zagrożenie ze strony północnokoreańskich informatyków jest realne, czy to marketingowy szum dostawców? Realne i ścigane federalnie. DOJ wywalczył wyroki 102, 108 i 92 miesięcy więzienia dla amerykańskich pośredników, w ramach jednej akcji w 2025 roku przeszukał 29 farm laptopów w 16 stanach i udokumentował setki poszkodowanych firm. Sprawy te są udokumentowane w komunikatach DOJ.

Jak duży jest ten schemat? Sam segment fałszywych informatyków przynosi Korei Północnej szacunkowo 250-600 milionów dolarów rocznie w wyłudzonych pensjach. Mieści się on w szerszej machinie cyberprzychodów reżimu, którą ONZ wycenia na około 2,8 miliarda dolarów w ciągu dwóch lat, przy czym większość tej kwoty to kradzież kryptowalut, a nie pensje.

Jakie są sygnały ostrzegawcze? „Zbyt czysty” lub świeżutki profil cyfrowy przy długim CV; numery VoIP lub Google Voice; opory przed włączeniem kamery; długie pauzy przy podstawowych pytaniach; artefakty deepfake’a przy obrotach głowy lub przy teście z dłonią przesuwaną przed twarzą; oraz prośba o zmianę adresu wysyłki lub platformy płatniczej tuż po ofercie.

Czy sama weryfikacja przeszłości może to powstrzymać? Nie. Schemat jest zaprojektowany tak, by przejść weryfikację przeszłości, bo posługuje się zweryfikowaną tożsamością prawdziwego Amerykanina. Tę weryfikację trzeba połączyć ze sprawdzeniem obecności osoby na żywo (liveness), spójności informacji podczas rozmowy oraz ciągłości tożsamości od oceny do zatrudnienia. Sprawdź też adres dostawy sprzętu. Każdy sygnał wymaga sprawdzenia w kontekście pozostałych danych.

Ustal kontrole przed wysłaniem sprzętu

Opisywane sprawy pokazują, że rekrutacja może posłużyć do uzyskania dostępu pod cudzą tożsamością. Połącz sprawdzenie danych, rozmowę o wykonanej pracy, kontrolę adresu dostawy i nadawanie minimalnych uprawnień. Ustal też sposób wyjaśniania rozbieżności, żeby pojedynczy błąd lub problem techniczny nie stał się automatycznie zarzutem oszustwa.

W Kit możesz uporządkować etapy i oceny zespołu. Rozpocznij bezpłatny okres próbny i zaplanuj proces, uwzględniając osobną weryfikację tożsamości oraz kontrole bezpieczeństwa po zatrudnieniu.