Hackers norte-coreanos pagam 500 dólares por mês para contratar alguém que passe na entrevista e depois assumem o cargo

Original｜Odaily News（@OdailyChina）

Autor｜Wenser（@wenser 2010）

Lembra-se daquele hacker norte-coreano que entrou na carteira MetaMask através de outsourcing?

E daquele hacker norte-coreano que foi apanhado por uma falsa empresa DeFi numa operação de phishing e exposto publicamente?

Tal como as empresas de segurança que realizam operações de phishing ativamente, os hackers norte-coreanos também estão a melhorar os seus "métodos de ataque", desde as vulnerabilidades técnicas iniciais, passando pelos ataques de engenharia social, até à entrada em projetos de outsourcing e ao emprego remoto em projetos de criptomoedas. Recentemente, os seus métodos de infiltração ganharam uma nova vertente: primeiro contratam alguém para passar na entrevista de uma empresa de criptomoedas, depois substituem essa pessoa e assumem o cargo, infiltram-se e aguardam o momento certo, acabando por roubar ativos de criptomoedas e informações sensíveis através de ataques técnicos internos.

Um mês depois, a guerra entre as empresas de segurança e os hackers norte-coreanos teve novos desenvolvimentos, e um novo tipo de fraude veio à tona.

"Salvar o país por meios indiretos": hackers contratam alguém para a entrevista e depois assumem o cargo, tudo para "servir a pátria"

Vamos primeiro conhecer o "historial" dos hackers norte-coreanos: segundo dados da empresa de segurança CrowdStrike, em 2025, as perdas em criptomoedas causadas por hackers e agentes de ameaças associados ao Estado norte-coreano ultrapassaram os 2 mil milhões de dólares, um aumento homólogo de 51%; o Banco da Coreia estima que, apesar das sanções conjuntas a nível global, a taxa de crescimento do Produto Interno Bruto (PIB) da Coreia do Norte em 2025 ainda foi de 3,5%.

O que se sabe atualmente é que os hackers norte-coreanos, como "equipa nacional", também deram um contributo importante para o crescimento económico do país.

A 31 de julho deste ano, o Departamento de Estado dos EUA e o FBI, em conjunto com 11 países, incluindo Japão, Coreia do Sul, Austrália, Canadá, França, Alemanha, Itália, Países Baixos, Nova Zelândia e Reino Unido, emitiram um relatório de segurança intitulado "Alerta sobre trabalhadores de TI norte-coreanos".

O relatório contém bastante informação, e os pontos-chave incluem o seguinte:

Em primeiro lugar, a Coreia do Norte depende de uma rede de programadores técnicos destacados no país e no estrangeiro para atuar externamente, enviando esses técnicos para obter identidades falsas, trabalhar remotamente e ganhar dinheiro, acabando por transferir os rendimentos salariais para contas de agências governamentais norte-coreanas. Os fundos relacionados são, em última análise, utilizados para o desenvolvimento e avanço dos programas de armas nucleares e mísseis balísticos da Coreia do Norte.

Em segundo lugar, quanto ao trabalho concreto dos hackers norte-coreanos, estes programadores técnicos obtêm normalmente trabalho e os correspondentes rendimentos salariais em plataformas de emprego online, compras e contratação operadas por empresas privadas no estrangeiro, usurpando a identidade de cidadãos de outros países.

Em terceiro lugar, além disso, os prestadores de serviços técnicos norte-coreanos não só ganham salários normais de funcionário, como também representam uma ameaça interna extremamente elevada para as informações comerciais e os ativos comerciais das empresas onde entram. Uma parte considerável aproveita a oportunidade para participar no roubo de dados, roubo de criptomoedas e roubo de informações sensíveis.

Por último, em termos de métodos de implementação concretos, as atividades preparatórias e as técnicas operacionais dos hackers norte-coreanos são cada vez mais complexas, incluindo até a utilização de ferramentas como modelos e aplicações de IA para criar identidades falsas e realizar atividades ilegais à escala global.

Vale a pena referir que a informação mais importante mencionada neste relatório é que, com base nas anteriores "entrevistas presenciais", os hackers norte-coreanos atualizaram recentemente o seu "fluxo de trabalho" —

• Atualmente, recrutam frequentemente com antecedência alguns trabalhadores técnicos de países terceiros (como o Irão, o Líbano, etc.) através de sites de recrutamento como o LinkedIn;
• Em seguida, os hackers norte-coreanos pedem a alguns programadores técnicos que trabalhem em part-time como "assistentes de entrevista", pagando uma remuneração mensal de 500 dólares em criptomoedas para que os ajudem a entrar na empresa-alvo.
• Por fim, os hackers norte-coreanos substituem-nos e entram na empresa-alvo como membros da equipa, conseguindo assim a infiltração técnica, ganhando o salário correspondente ao cargo e, ao mesmo tempo, aguardando a oportunidade para roubar informações e dados sensíveis, ativos de criptomoedas e ativos comerciais como código técnico.

Sem dúvida, na batalha de segurança em constante escalada, os hackers norte-coreanos também estão a melhorar gradualmente o seu "SOP (fluxo de trabalho)", e o seu objetivo final é, naturalmente, enviar os fundos de volta para o seu país.

Lista de verificação da taxa de infiltração de hackers norte-coreanos: desde as informações pessoais dos funcionários até aos hábitos de expressão diários

Atualmente, os métodos dos hackers norte-coreanos são difíceis de prevenir, mas ainda assim deixam rasto. Seguem-se alguns indicadores de alerta que algumas empresas precisam de vigiar e verificar:

Para empresas que operam plataformas online, é necessário prestar especial atenção aos seguintes aspetos:

• Funcionários que alteram frequentemente as informações de registo (nome de utilizador, contactos, conta bancária para recebimento, etc.).
• O nome do titular do documento de identificação do funcionário não corresponde ao nome da conta de pagamento registada.
• Utilização do mesmo documento de identificação para criar várias contas de recebimento.
• Documentos de verificação de identidade suspeitos de falsificação ou gerados/adulterados com software de edição de imagem ou ferramentas de geração de imagens por IA.
• Várias contas técnicas acedem a partir do mesmo endereço IP.
• Uma única conta inicia pedidos de acesso a partir de vários endereços IP num curto espaço de tempo.
• Contas que permanecem com sessão iniciada durante períodos anormalmente longos.
• Horas de trabalho acumuladas ou indicadores de trabalho relacionados anormais (como tempo online excessivo, eficiência de trabalho demasiado elevada, volume de trabalho excessivo).
• Utilizadores de sites de recrutamento que criam avaliações falsas para melhorar a classificação do site de trabalho, etc.

Para empresas que recrutam funcionários ou realizam entrevistas e contratam outsourcing, prestar atenção aos seguintes detalhes pode evitar atempadamente a infiltração interna de hackers norte-coreanos:

• O perfil do entrevistado contém erros ou expressões pouco naturais (suspeitas de tradução automática), e alega não ser fluente na língua do país da sua identidade (considerando a popularização dos serviços de tradução por IA, só é possível prestar mais atenção à sua expressão linguística).
• Detalhes falsos expostos em videoconferências, como fotografia que não corresponde às informações de identidade; imagem de vídeo da reunião gerada por IA ou com a colaboração de terceiros, com expressão linguística e gestos pouco naturais.
• O funcionário entrevistado recusa-se a participar em videoconferências, recusa-se a mostrar o rosto.
• Proposta de remuneração laboral abaixo do preço normal de mercado.
• Indicação de que a sua conta técnica pessoal é operada por várias pessoas (normalmente indica que este tipo de atividade de hacking funciona em equipa, e o interlocutor real pode mudar ao longo do tempo).
• Exigência de pagamento da remuneração em criptomoedas, recusando-se a fornecer informações completas da conta bancária e da conta de pagamento.