Fałszywi programiści IT – jak Korea Północna infiltruje firmy

Skala problemu większa niż myślisz

Od kilku lat amerykańskie i europejskie służby wykrywają zorganizowane grupy obywateli Korei Północnej, którzy pod fałszywymi tożsamościami zdobywają zdalne stanowiska programistyczne w zagranicznych firmach. Departament Sprawiedliwości USA szacuje, że w ten sposób do budżetu reżimu trafiały setki milionów dolarów rocznie, a liczba zainfiltrowanych firm liczona jest w tysiącach.

Mechanizm jest prosty: osoba posługująca się kradzioną lub sfabrykowaną tożsamością (często obywatela USA lub Europy) przechodzi standardowy proces rekrutacyjny na stanowisko zdalne, dostaje sprzęt firmowy, a następnie realnie pracuje na rzecz obcego wywiadu lub programu rakietowego. Wynagrodzenie w dużej części wraca do Pjongjangu.

Choć pierwsze duże sprawy dotyczyły korporacji z listy Fortune 500, mechanizm doskonale skaluje się także na mniejsze firmy – zwłaszcza te, które rekrutują programistów, administratorów czy specjalistów DevOps w pełni zdalnie i bez rozbudowanego działu bezpieczeństwa.

Jak działa cały schemat

Za każdą fałszywą tożsamością stoi zwykle cała infrastruktura wspierająca, budowana latami:

• Kradzione lub kupione dane – numery ubezpieczenia, skany dokumentów i historie zatrudnienia prawdziwych osób, często pozyskane w wyciekach danych.
• Farmy laptopów – współpracownicy na terenie USA lub Europy, którzy odbierają firmowy sprzęt i utrzymują go włączony w swoim mieszkaniu, podczas gdy rzeczywisty użytkownik loguje się zdalnie z Azji.
• Sieci VPN i proxy – ukrywające faktyczną lokalizację logowania, tak by system wykazywał adres IP zgodny z deklarowanym miejscem zamieszkania.
• Wynajęte konta bankowe – do których wpływa wynagrodzenie, zanim zostanie przekazane dalej.
• Wspomagane AI CV i rozmowy – generatywna AI ułatwia tworzenie przekonujących portfolio, odpowiedzi na pytania rekrutacyjne, a nawet zmianę głosu lub obrazu podczas rozmowy wideo.

Efekt to kandydat, który na papierze wygląda idealnie, przechodzi standardowe rozmowy i zaczyna pracę – często wykonując ją w miarę solidnie, żeby nie wzbudzać podejrzeń przez długie miesiące.

Dlaczego to zagrożenie dla MŚP, a nie tylko dla gigantów

Małe i średnie firmy bywają celem łatwiejszym niż korporacje z rozbudowanym compliance. Rekrutacja zdalna w startupach i mniejszych zespołach IT często opiera się na zaufaniu i szybkości działania, a nie na wielostopniowej weryfikacji tożsamości. Do typowych czynników ryzyka należą:

• Zatrudnianie freelancerów lub kontraktorów przez platformy typu Upwork czy portale rekrutacyjne, bez fizycznego spotkania.
• Brak procedury weryfikacji dokumentów i referencji przy stanowiskach w pełni zdalnych.
• Nadanie nowemu pracownikowi szerokiego dostępu do repozytoriów kodu, baz danych czy kluczy API już w pierwszym tygodniu.
• Wysyłka sprzętu firmowego na adres, który nigdy nie jest fizycznie odwiedzany przez nikogo z firmy.

Konsekwencje nie muszą oznaczać szpiegostwa na poziomie państwowym – równie realne jest ryzyko kradzieży kodu źródłowego, danych klientów, instalacji backdoora w systemie albo po prostu wyprowadzenia pieniędzy za pracę, która nigdy nie jest w pełni wykonywana przez zadeklarowaną osobę.

Sygnały ostrzegawcze podczas rekrutacji

Żaden pojedynczy sygnał nie jest dowodem, ale kilka naraz powinno włączyć czerwoną lampkę:

• Kandydat unika rozmowy wideo lub ma stale wyłączoną kamerę, tłumacząc się problemami technicznymi.
• Wyraźne niedopasowanie między głosem, mimiką i ruchem ust podczas rozmowy wideo (możliwy deepfake w czasie rzeczywistym).
• Prośba o wysyłkę wynagrodzenia na inne konto niż to podane w danych osobowych, albo o podział wypłaty na kilka kont.
• Adres do wysyłki sprzętu inny niż zadeklarowane miejsce zamieszkania, często określany jako tymczasowy.
• Nietypowe godziny logowania niezgodne ze strefą czasową, którą kandydat deklarował.
• CV z wieloma poprzednimi stanowiskami w firmach technologicznych, ale bez możliwości skontaktowania się z realnymi przełożonymi.
• Bardzo wysoka gotowość do pracy w nadgodzinach i wielu projektach jednocześnie – co bywa sygnałem, że jedna osoba prowadzi kilka fałszywych etatów naraz.

Jak się chronić – konkretne kroki dla firmy

Ochrona przed tym zagrożeniem to połączenie procedur HR i zabezpieczeń IT, a nie zadanie tylko dla jednego działu:

• Weryfikacja tożsamości – wideorozmowa na żywo z prośbą o pokazanie dokumentu i porównanie z danymi, najlepiej z dodatkowym pytaniem improwizowanym, trudnym do przygotowania z wyprzedzeniem.
• Sprawdzenie referencji telefonicznie, nie tylko mailowo – rozmowa głosowa z byłym przełożonym jest trudniejsza do sfałszowania.
• Zasada najmniejszych uprawnień – nowy pracownik zdalny dostaje dostęp stopniowo, a krytyczne systemy i sekrety firmowe są odsłaniane po okresie próbnym.
• Monitorowanie logowań – alerty przy logowaniu z nowej lokalizacji, niezgodnej z deklarowaną, oraz przy stałym korzystaniu z komercyjnych VPN.
• Fizyczna weryfikacja adresu dostawy sprzętu, np. przez kuriera z potwierdzeniem odbioru i zdjęciem.
• Szkolenie zespołu HR i rekrutujących managerów z rozpoznawania powyższych sygnałów – w tym zakresie dobrze sprawdza się regularny Security Awareness rozszerzony na proces rekrutacji.

Firmy bez własnego działu bezpieczeństwa mogą skonsultować proces onboardingu nowych pracowników zdalnych z zewnętrznym partnerem IT, który pomoże ustawić właściwe zasady dostępu i monitoring od pierwszego dnia.