A Rede Norte-Coreana usou identidades falsas e laptop farms para contratar pessoas remotas e desviar salários

Uma campanha sustentada de fraude laboral ligada à Coreia do Norte evoluiu fora do terreno tradicional do hacking: em vez de explorar vulnerabilidades de rede, os operadores conseguiram aceder a empresas contratando-as como funcionários remotos com identidades falsas ou roubadas. Pesquisas recentes de empresas de segurança —citadas por fontes privadas e por um alerta internacional de múltiplas agências — descrevem uma rede de pessoas e facilitadores que colocam trabalhadores remotos em empresas de tecnologia, saúde, finanças e setor público para cobrar salários ocidentais e canalizar esses fundos para o regime de Pyongyang.

O que aconteceu (fatos confirmados): Diferentes equipamentos de cibersegurança privados documentaram casos concretos onde trabalhadores que aparentavam ser candidatos legítimos conectaram-se a partir de VPNs e proxies, apresentaram documentos de identidade criados ou alterados e, uma vez contratados, usaram hardware e software para manter controle remoto persistente sobre equipamentos localizados em "grandes portáteis". Empresas como Huntress e Recorded Future publicaram análises apontando o uso de serviços como Astrill VPN, IPRoyal Proxy, PiKVM/TinyPilot (KVM sobre IP), e serviços de troca de arquivos para facilitar a suplantação. Além disso, há sentenças e processos judiciais públicos contra indivíduos que operavam laptop farms e que, segundo os promotores, ajudavam a colocar trabalhadores remotos para a campanha. As Nações e as agências de segurança de vários países emitiram um apelo conjunto ao reforço dos controlos de identidade e contratação.

Como funciona tecnicamente (mecanismo operacional): A cadeia típica combina engenharia social, identidades sintéticas ou usurpadas e elementos físicos. Os operadores criam ou compram documentos e fotos (por vezes geradas por IA), administram múltiplos perfis por navegadores separados e ferramentas de multiconta, e aplicam massivamente a ofertas de emprego. Para executar o trabalho “remoto” usam laptop farms: máquinas físicas que estão nas mãos de facilitadores e às que se conectam o operador por KVM sobre IP (ex. PiKVM) ou software de controle remoto. O uso de dispositivos como cartões de captura USB permite que o sinal de vídeo dessas máquinas seja apresentado como uma webcam legítima em Zoom/Teams, evitando testes telemáticas de presença. Os pagamentos de salários são dirigidos a contas ou empresas interpostas sancionadas ou a facilitadores que branqueam fundos.

Quem é afetado e como (impacto real): empresas de todo o tamanho — especialmente em tecnologia, saúde, biotecnologia, serviços financeiros e consultoria — são vítimas diretas. O risco imediato inclui roubo de propriedade intelectual, acesso a sistemas internos e filtragem de dados sensíveis. Mas há consequências legais e regulamentares significativas: pagar ou empregar pessoas ligadas à Coreia do Norte pode violar sanções internacionais e obrigações de cumprimento (por exemplo, listas de sanções nacionais e da ONU). Existe também um risco reputacional elevado e o custo operacional de remediação quando se descobre uma intrusão laboral deste tipo.

O que é confirmado vs estimativas e incertezas: É confirmado por vários relatos a existência de uma rede que coloca trabalhadores remotos usando identidades fraudulentas e que emprega PiKVM e proxies para ocultar a localização real. Também são feitos públicos várias condenações penais contra operadores de laptop farms. Estimativas —citadas por assinaturas de inteligência — sobre montantes transferidos (por exemplo, cerca de 1.97 milhões de dólares num período específico) e o grau exato em que os fundos apoiam programas de armamento são declarações baseadas em análises de fluxos e sanções e, por conseguinte, representam inferências plausível, mas sujeitas a verificação contabilística completa. Por último, algumas ligações directas entre operadores e órgãos do Estado norte-coreano podem depender de indicadores circunstanciais (patrones de ferramentas, infra-estruturas e rotas financeiras) e, embora a atribuição seja sustentada por várias empresas e governos, existe sempre uma margem de incerteza na cadeia de atribuição técnica e financeira.

Do ponto de vista técnico, há vários elementos que aumentam a probabilidade de fraude: uso repetido dos mesmos VPNs/proxies em múltiplos perfis, similaridades em documentos apresentados, facturas de residência com erros linguísticos ou formatos estranhos, e presença em dispositivos corporativos de ferramentas e periféricos atípicos (KVMs, cartões de captura). Em pelo menos um caso documentado, o “empregado” substituiu a foto da pessoa real em uma identidade existente pela sua para passar onboarding, e em outros casos operadores usaram IA para produzir respostas em entrevistas técnicas.

Consequências práticas para as organizações: Além do roubo de dados e do acesso não autorizado a sistemas, as empresas enfrentam risco regulatório sério: pagar salários a trabalhadores vinculados a entidades sancionadas pode implicar violações a sanções nacionais e da ONU. Também aumenta o risco de movimentos laterais dentro da rede corporativa e de campanhas de espionagem industrial.

Medidas concretas e acionáveis a tomar pelo leitor (empresas e responsáveis técnicos): Em primeiro lugar, incorporar verificações de identidade robustas durante o processo de contratação: exigir verificações presenciais para postos críticos ou verificações biométricas que se contrastem com fontes oficiais, usar serviços de verificação de identidade que validen documentos frente a bases governamentais, e empregar buscas inversas de imagens para detectar fotos geradas por IA ou reutilizadas. Não aceitar pagamentos ou pagamentos ou pagamentos relacionados com contas pessoais ou intermediários sem diligência exaustiva; exigir contas corporativas verificadas para pagamentos e auditar qualquer facilitador externo.

De segurança TI, proibir ou restringir o uso de hardware não autorizado: registrar e monitorar todos os dispositivos USB e periféricos, verificar a presença de dispositivos de captura ou KVM em endpoints, e implantar soluções EDR que detectem processos ou conexões invulgares. Controle estritamente software de controle remoto (AnyDesk, etc.), proibir sua instalação fora de canais aprovados e requer autenticação multifator para acesso remoto. Rever configurações do Workday ou outros sistemas de RR. HH. expostos publicamente e limitar a possibilidade de um usuário criar ou modificar informações sensíveis sem dupla verificação humana. Implantar revisão forense de dispositivos recém incorporados se houver indicadores de compromisso.

Em matéria de cumprimento, manter listas de controlo de sanções actualizadas (UN, OFAC e equivalentes locais) e cruzar candidatos e facilitadores com essas listas antes de completar contratos ou pagamentos. Consultar aconselhamento legal se for detectada qualquer possível ligação com entidades sancionadas. Finalmente, integrar detecção centrada em anomalias de contratação: alertas por uso excessivo de VPNs durante entrevistas, coincidências de meta- dados entre documentos, ou padrões de aplicação em massa de um mesmo bloco de IPs.

Esta ameaça mistura engenharia social, fraude documental, hardware e serviços em nuvem para criar ambientes de trabalho aparentes que, em muitos casos, funcionam o bastante bem para passar auditorias básicas. O primeiro controlo efectivo é precisamente o humano: reforçar a diligência devida no recrutamento, exigir rastreabilidade de pagamentos e manter inventários técnicos fechados. Para leituras adicionais sobre sanções e contexto jurídico, consultar a página de sanções do Conselho de Segurança das Nações Unidas sobre a Coreia do Norte ( https://www.un.org/securitycouncil/sanctions/1718) e o blog da assinatura Huntress, que publicou análise técnica sobre o esquema ( https://www.huntress.com/blog).