Nhóm lao động IT giả mạo có thể xâm nhập hệ thống qua tuyển dụng từ xa
"The article describes North Korean IT workers posing as remote job candidates to gain legitimate access to government and business systems, with the FBI reportedly investigating one such worker at a U.S. federal agency. A joint investigation by Mauro Eldritch, Heiner García, and ANY.RUN used controlled sandbox environments to observe suspected DPRK operatives, revealing forged identities, remote-access tooling, AI-assisted workflows, and VPN/VPS infrastructure; the recommended mitigation is stronger pre-hire identity verification and cross-checking infrastructure and activity signals before granting access."
Rủi ro xâm nhập hợp pháp qua quy trình tuyển dụng có thể dẫn đến truy cập nội bộ và lạm dụng đặc quyền. Cần chú ý xác minh danh tính, đối chiếu hạ tầng và giám sát sau tuyển dụng.
Có thể ảnh hưởng đến an toàn hệ thống, dữ liệu nhạy cảm và uy tín tổ chức nếu ứng viên gian lận được cấp quyền. Việc bổ sung kiểm tra có thể làm tăng thời gian tuyển dụng nhưng giảm rủi ro vận hành.
Các nhà nghiên cứu và cơ quan thực thi pháp luật đang cảnh báo về việc một số đối tượng liên quan đến Triều Tiên (DPRK) giả danh ứng viên IT làm việc từ xa để được tuyển dụng hợp pháp vào cơ quan chính phủ và doanh nghiệp. Theo bài viết, FBI cũng đang điều tra một trường hợp được cho là đã làm việc cho một cơ quan liên bang Mỹ.
Một cuộc điều tra phối hợp giữa Mauro Eldritch, Heiner García và ANY.RUN cho thấy các đối tượng này có thể dùng danh tính giả, công cụ truy cập từ xa, quy trình làm việc có hỗ trợ AI, cùng hạ tầng VPN/VPS để che giấu vị trí và hoạt động. Các dấu hiệu đáng chú ý thường xuất hiện ngay từ giai đoạn tuyển dụng: thông tin cá nhân không khớp, tài liệu bị chỉnh sửa, hành vi phỏng vấn bất thường và dấu vết mạng không phù hợp với nơi ứng viên khai báo.
Khuyến nghị cho đội an ninh là tăng cường xác minh danh tính đa lớp trước khi cấp quyền truy cập, đặc biệt với vai trò có quyền vào mã nguồn, cloud, production hoặc tài sản tài chính. Khi có nghi vấn, nên đối chiếu với log, EDR, DNS, proxy và dùng sandbox để kiểm tra an toàn trước khi cho phép tiếp cận hệ thống thật.