Como mais de 30 identidades falsas criadas por operativos norte-coreanos foram expostas através de uma violação de dispositivo

O investigador de segurança ZachXBT revelou uma descoberta significativa: dados confidenciais de dispositivos de pessoal de TI norte-coreano revelaram uma operação organizada que empregava mais de 30 identidades fabricadas em várias plataformas. As informações acessadas — incluindo perfis do navegador Chrome, backups do Google Drive e capturas de tela do sistema — pintaram um quadro de uma equipa coordenada a assegurar funções de desenvolvedor através de fraude.

A Escala da Operação

O alcance foi além da simples criação de contas. Estes operativos adquiriram sistematicamente credenciais do Upwork e LinkedIn usando documentos de identificação emitidos pelo governo, gerindo as suas atividades através do software de acesso remoto AnyDesk. Um endereço de carteira específico, 0x78e1, emergiu como ligado diretamente a um roubo de $680,000 dirigido à plataforma Favrr durante junho de 2025, estabelecendo ligações claras entre a infraestrutura de engenharia social e o furto financeiro.

Infraestrutura e Métodos Descobertos

Os sistemas acessados revelaram como a equipa orquestrava as suas atividades. Aproveitaram a suíte de ferramentas do Google para agendamento de tarefas, ao mesmo tempo que compravam SSNs, assinaturas de serviços de IA e acesso VPN através de canais ilícitos. Os registos do histórico do navegador indicaram uma dependência extensa do Google Translate, especificamente para converter texto para e de coreano, enquanto os dados de geolocalização rastrearam muitas ligações através de endereços IP russos — uma tática comum de ofuscação.

Vulnerabilidades Sistémicas Expostas

Para além das táticas técnicas, a violação destacou fraquezas organizacionais. Recrutadores e moderadores de plataformas não conseguiram detectar sinais de alerta óbvios em várias variações de identidade. A falta de partilha de inteligência entre plataformas e de coordenação na verificação de identidades criou lacunas que permitiram às mesmas pessoas manterem personas paralelas em redes de freelancers.

Este incidente sublinha como a combinação de engenharia social com ofuscação de infraestrutura continua a ser um vetor de ataque eficaz quando as defesas institucionais operam isoladamente.