Як понад 30 фальшивих особистостей, створених північнокорейськими оперативниками, були викриті через злом пристрою

Дослідник з безпеки ZachXBT оприлюднив важливе відкриття: конфіденційні дані пристроїв від співробітників IT з Північної Кореї виявили організовану операцію, яка використовувала понад 30 сфабрикованих ідентичностей на кількох платформах. Доступна інформація — профілі браузера Chrome, резервні копії Google Drive та скріншоти систем — малювала картину скоординованої команди, яка отримувала ролі розробників через шахрайство.

Масштаб операції

Обсяг виходив за межі простого створення акаунтів. Ці оперативники систематично отримували облікові дані Upwork і LinkedIn, використовуючи державні посвідчення особи, а потім керували своєю діяльністю через віддалене робоче середовище AnyDesk. Одна конкретна адреса гаманця, 0x78e1, була безпосередньо пов’язана з крадіжкою на суму $680,000, яка сталася у червні 2025 року на платформі Favrr, що встановлює чіткий зв’язок між інфраструктурою соціальної інженерії та фінансовою крадіжкою.

Виявлені інфраструктурні та методи

Доступні системи показали, як команда координувала свою діяльність. Вони використовували набір інструментів Google для планування завдань і одночасно купували SSN, підписки на AI-сервіси та VPN-доступ через нелегальні канали. Історія браузера свідчила про значну залежність від Google Translate для перекладу текстів до та з корейської мови, тоді як геолокаційні дані простежували багато з’єднань через російські IP-адреси — поширену тактику маскування.

Виявлені системні вразливості

Крім технічних тактик, злом підкреслив слабкі місця в організаційній структурі. Рекрутери та модератори платформ не змогли виявити очевидні ознаки підозрілої активності у різних ідентичностях. Відсутність обміну розвідданими між платформами та координації верифікації ідентичностей створювали прогалини, що дозволяли одній і тій самій особі підтримувати паралельні образи на різних фріланс-платформах.

Цей інцидент підкреслює, що поєднання соціальної інженерії з маскуванням інфраструктури залишається ефективним вектором атаки, коли інституційні захисти працюють ізольовано.