قراصنة كوريا الشمالية يدفعون 500 دولار شهريًا لبدلاء يجتازون المقابلات ثم يحلون محلهم

أصلي｜Odaily News: (@OdailyChina)

الكاتب｜Wenser (@wenser 2010)

هل تتذكرون ذلك القرصان الكوري الشمالي الذي تسلل إلى محفظة MetaMask عبر الاستعانة بمصادر خارجية؟

وماذا عن ذلك القرصان الكوري الشمالي الذي وقع في فخ شركة DeFi وهمية وتم كشفه علنًا؟

مثل شركات الأمن التي تنصب الفخاخ بشكل استباقي، يطوّر قراصنة كوريا الشمالية "أساليب هجومهم" أيضًا، بدءًا من الثغرات التقنية الأولى، ثم هجمات الهندسة الاجتماعية، ثم الانضمام إلى فرق المشاريع عبر الاستعانة بمصادر خارجية والعمل عن بُعد في مشاريع التشفير. ومؤخرًا، ظهرت حيلة جديدة في أساليب اختراقهم: توظيف شخص لاجتياز مقابلة العمل في شركة تشفير، ثم يحل القرصان محله للالتحاق بالوظيفة، وينتظر الفرصة المناسبة بعد التسلل، وفي النهاية يسرق أصول التشفير والمعلومات الحساسة عبر هجمات تقنية داخلية.

بعد مرور شهر، شهدت الحرب بين شركات الأمن وقراصنة كوريا الشمالية تطورًا جديدًا، وظهر نوع جديد من الاحتيال إلى السطح.

"الالتفاف لتحقيق الهدف": القراصنة يوظفون أشخاصًا لاجتياز المقابلات ثم يتولون المناصب، والهدف النهائي هو "خدمة الوطن"

لنبدأ بالتعرف على "سجل إنجازات" قراصنة كوريا الشمالية: تُظهر بيانات شركة الأمن CrowdStrike أنه في عام 2025، تجاوزت خسائر العملات المشفرة التي تسبب بها قراصنة مرتبطون بالدولة الكورية الشمالية وجهات تهديد 2 مليار دولار، بزيادة 51% على أساس سنوي؛ ويقدّر البنك المركزي الكوري أنه على الرغم من العقوبات الدولية المشتركة، لا يزال معدل نمو الناتج المحلي الإجمالي لكوريا الشمالية في عام 2025 يصل إلى 3.5%.

المؤكد حاليًا هو أن قراصنة كوريا الشمالية، بصفتهم "فريقًا وطنيًا"، قد ساهموا بشكل كبير في نمو اقتصاد بلادهم.

في 31 يوليو من هذا العام، أصدرت وزارة الخارجية الأمريكية ومكتب التحقيقات الفيدرالي (FBI) بالتعاون مع 11 دولة هي اليابان وكوريا الجنوبية وأستراليا وكندا وفرنسا وألمانيا وإيطاليا وهولندا ونيوزيلندا والمملكة المتحدة تقريرًا أمنيًا بعنوان "تنبيه بشأن عمال تكنولوجيا المعلومات الكوريين الشماليين".

يحتوي التقرير على معلومات وفيرة، وتشمل النقاط الرئيسية ما يلي:

أولًا، تعتمد كوريا الشمالية على شبكة من مطوري التكنولوجيا المنتشرين داخل البلاد وخارجها للعمل، حيث يحصل هؤلاء المطورون التقنيون على هويات مزيفة ويعملون عن بُعد لكسب المال، ثم يحولون رواتبهم في النهاية إلى حسابات وكالات حكومية كورية شمالية. وتُستخدم الأموال ذات الصلة في تطوير وتعزيز برامج الأسلحة النووية والصواريخ الباليستية لكوريا الشمالية.

ثانيًا، بالنظر إلى طبيعة عمل قراصنة كوريا الشمالية، يحصل هؤلاء المطورون التقنيون عادةً على وظائف ورواتب من خلال انتحال هويات مواطنين من دول أخرى على منصات التوظيف والشراء والتعاقد عبر الإنترنت التي تديرها شركات خاصة في الخارج.

ثالثًا، بالإضافة إلى ذلك، لا يكتفي مقدمو الخدمات التقنية الكوريون الشماليون بكسب رواتب الموظفين العادية، بل يشكلون تهديدًا داخليًا بالغ الخطورة للمعلومات التجارية والأصول التجارية للشركات التي يعملون بها. وقد شارك عدد كبير منهم في سرقة البيانات والمعلومات وسرقة العملات المشفرة وسرقة المعلومات الحساسة.

أخيرًا، من حيث أساليب التنفيذ المحددة، تزداد الأنشطة التحضيرية وأساليب عمل قراصنة كوريا الشمالية تعقيدًا، بما في ذلك استخدام أدوات مثل نماذج وتطبيقات الذكاء الاصطناعي لإنشاء هويات مزيفة والقيام بأنشطة غير قانونية على مستوى العالم.

والجدير بالذكر أن أهم معلومة وردت في هذا التقرير هي أنه بناءً على "المقابلات الشخصية" السابقة، قام قراصنة كوريا الشمالية مؤخرًا بترقية "سير عملهم" —

• فهم الآن غالبًا ما يقومون مسبقًا بتوظيف بعض العمال التقنيين من دول ثالثة (مثل إيران ولبنان وغيرها) عبر مواقع التوظيف مثل LinkedIn؛
• ثم يطلب قراصنة كوريا الشمالية من بعض المطورين التقنيين العمل بدوام جزئي "كمساعدين في المقابلات"، مقابل أجر شهري قدره 500 دولار بالعملات المشفرة لمساعدتهم على الالتحاق بالشركات المستهدفة.
• وأخيرًا، يحل قراصنة كوريا الشمالية محلهم بأنفسهم، وينضمون إلى الشركات المستهدفة كأعضاء في فرقها، محققين بذلك اختراقًا تقنيًا، وبينما يكسبون رواتب الوظائف المقابلة، ينتظرون الفرصة لسرقة المعلومات والبيانات الحساسة وأصول العملات المشفرة والأصول التجارية مثل الأكواد التقنية.

مما لا شك فيه أنه في ظل المعركة الأمنية المتصاعدة باستمرار، يطوّر قراصنة كوريا الشمالية "إجراءات التشغيل القياسية (SOP)" تدريجيًا، وهدفهم النهائي بالطبع هو تحويل الأموال إلى بلادهم.

قائمة فحص ذاتي لمعدل اختراق قراصنة كوريا الشمالية: من المعلومات الشخصية للموظفين إلى عادات التعبير اليومية

حتى الآن، يصعب التحصّن ضد أساليب قراصنة كوريا الشمالية، لكنها لا تزال قابلة للتتبع. فيما يلي بعض المؤشرات التي تحتاج الشركات إلى الحذر منها والفحص الذاتي:

بالنسبة للشركات التي تدير منصات عبر الإنترنت، يجب الانتباه بشكل خاص إلى الجوانب التالية:

• قيام الموظفين بتغيير معلومات التسجيل بشكل متكرر (اسم الحساب، معلومات الاتصال، حساب الدفع، إلخ).
• عدم تطابق اسم حامل وثيقة هوية الموظف مع اسم حساب الدفع المسجل.
• استخدام نفس وثيقة الهوية لإنشاء حسابات دفع متعددة.
• وثائق التحقق من الهوية مشتبه في تزويرها أو تم إنشاؤها أو التلاعب بها باستخدام برامج تحرير الصور أو أدوات توليد الصور بالذكاء الاصطناعي.
• طلبات وصول من حسابات تقنية متعددة من نفس عنوان IP.
• طلبات وصول من حساب واحد من عناوين IP متعددة خلال فترة زمنية قصيرة.
• بقاء الحساب مسجل الدخول لفترات طويلة بشكل غير طبيعي.
• ساعات العمل المتراكمة أو مؤشرات العمل ذات الصلة غير طبيعية (مثل وقت الاتصال الطويل جدًا، كفاءة العمل العالية جدًا، حجم العمل الكبير جدًا).
• قيام مستخدمي مواقع التوظيف بكتابة تقييمات مزيفة لأنفسهم لرفع تقييماتهم على مواقع العمل، إلخ.

بالنسبة للشركات التي توظف موظفين أو تجري مقابلات أو توظف متعاقدين خارجيين، يمكن للانتباه إلى التفاصيل التالية أن يساعد في تجنب اختراق قراصنة كوريا الشمالية الداخلي في الوقت المناسب:

• وجود أخطاء أو تعبيرات غير طبيعية في الملف الشخصي للمتقدم للمقابلة (يشتبه في أنها ترجمة آلية)، وادعاؤه عدم إتقان اللغة الأم المذكورة في معلومات هويته (نظرًا لانتشار خدمات الترجمة بالذكاء الاصطناعي، لا يمكن إلا الانتباه أكثر إلى تعبيراته اللغوية).
• كشف تفاصيل مزيفة في مؤتمرات الفيديو، مثل عدم تطابق الصورة مع معلومات الهوية؛ أو أن فيديو المؤتمر تم إنشاؤه بالذكاء الاصطناعي أو بمساعدة طرف ثالث، مع تعبيرات لغوية وحركات غير طبيعية.
• رفض الموظف المتقدم للمقابلة المشاركة في مؤتمرات الفيديو أو رفض إظهار وجهه.
• عروض أجور أقل من أسعار السوق المعتادة.
• يظهر أن حسابه التقني الشخصي يُدار من قبل عدة أشخاص (يشير هذا عادةً إلى أن أنشطة القرصنة هذه تتم غالبًا في شكل فرق، وقد يتغير الطرف الحقيقي المتفاعل مع مرور الوقت).
• طلب دفع الأجر بالعملات المشفرة ورفض تقديم معلومات كاملة عن الحساب البنكي وحساب الدفع.