Vorsicht! Nordkoreanische IT-Agenten nutzen Remote-Arbeit, um globale Organisationen zu infiltrieren

Die Bedrohung durch nordkoreanische Cyber-Infiltration ist nicht mehr nur ein amerikanisches Problem – sie ist mittlerweile eine globale Krise. Laut neuen Erkenntnissen der Threat Intelligence Group (GTIG) von Google weiten Agenten aus der Demokratischen Volksrepublik Korea (DVRK) ihre Cyber-Präsenz in ganz Europa und darüber hinaus aus und nutzen dabei Remote-Arbeitsplattformen, falsche Identitäten und zunehmend aggressive Taktiken wie Erpressung. Was als verdeckte Operation begann, hat sich zu einem weitläufigen, internationalen Netzwerk entwickelt, das darauf ausgelegt ist, Geld und Informationen unbemerkt abzuschöpfen.

Eine stille Invasion der globalen Belegschaft

Nordkoreanische IT-Mitarbeiter nutzen die weltweite Nachfrage nach Remote-Technikern aus. Indem sie sich als qualifizierte Freiberufler aus Ländern wie Japan, Malaysia, der Ukraine, Vietnam und sogar den USA ausgeben, sichern sie sich über Plattformen wie Upwork, Freelancer und Telegram legitime Verträge.

Einmal eingedrungen, können sie auf sensible Systeme zugreifen und manchmal sogar kritische Infrastrukturen wie Content-Management-Systeme (CMS), Webbots und Blockchain-Anwendungen manipulieren. Diese Agenten agieren oft unter mehreren Identitäten – manchmal bis zu einem Dutzend pro Person –, wobei jede Person als Referenz für die anderen dient. In einem Fall verwaltete ein einzelner nordkoreanischer Mitarbeiter zwölf verschiedene Identitäten in den USA und Europa, die jeweils darauf ausgelegt waren, Arbeitgeber und Personalvermittlungsplattformen zu täuschen.

Europa im Fadenkreuz

Während die USA weiterhin ein Hauptziel darstellen, treiben zunehmende rechtliche Kontrollen und verbesserte Arbeitserlaubnisprüfungen nordkoreanische Agenten dazu, tiefer in die europäischen Märkte vorzudringen. Deutschland, Portugal und Großbritannien haben Infiltrationsfälle gemeldet. Einige Mitarbeiter waren an KI-Entwicklungs- und Blockchain-Integrationsprojekten beteiligt – Bereiche, die oft einen umfassenden Systemzugriff gewähren und mit proprietären oder sensiblen Codebasen arbeiten.

In Großbritannien wurden Infiltratoren sogar mit dem Missbrauch von Unternehmensinfrastrukturen in Verbindung gebracht, beispielsweise mit der Nutzung von Laptops, die für US-Büros bestimmt waren, von Standorten in London aus. Diese Operationen werden oft von lokalen oder internationalen Vermittlern unterstützt, die helfen, die Identität und Herkunft der IT-Mitarbeiter zu verschleiern. GTIG berichtet von der Entdeckung von Kontaktdaten von Maklern, die mit gefälschten Pässen handeln, was unterstreicht, wie gut ausgestattet und organisiert dieses System mittlerweile ist.

Der Anstieg der Erpressung: Eine neue, alarmierende Taktik

Seit Ende Oktober 2024 ist eine neue Risikoebene entstanden. Angesichts des harten Durchgreifens der US-Strafverfolgungsbehörden – Störungen und Anklagen nehmen zu – greifen einige mit der DVRK verbundene Mitarbeiter auf Erpressung als zusätzliche Einnahmequelle zurück. Die Taktik ist erschreckend: Nach ihrer Entlassung oder nachdem sie entdeckt wurden, drohen die Agenten mit der Weitergabe sensibler Daten, darunter Quellcode und geschäftskritische Informationen.

GTIG-Forscher gehen davon aus, dass der Druck auf diese Agenten zu einem Verhaltenswandel führt – vom heimlichen Datendiebstahl hin zu aggressiver finanzieller Nötigung. Dieser Kurswechsel markiert eine beunruhigende Eskalation in Nordkoreas Vorgehen gegen Cyberspionage und digitale Kriminalität.

BYOD-Arbeitsplätze im Fokus

Die Strategie Nordkoreas hat sich auch an die Realität der Telearbeit angepasst. GTIG berichtet, dass nordkoreanische Agenten zunehmend Unternehmen mit BYOD-Richtlinien (Bring Your Own Device) ins Visier nehmen. Diese Unternehmen versuchen, Kosten zu sparen, indem sie keine Firmenlaptops ausgeben, und erleichtern damit böswilligen Freiberuflern unbeabsichtigt die Arbeit ohne große Kontrolle.

Diese Schwachstelle wird durch die Nutzung von Kryptowährungen und digitalen Zahlungsplattformen wie Payoneer noch verstärkt, da diese dazu beitragen, Herkunft und Ziel von Geldern zu verschleiern. Es handelt sich um ein sorgfältig konstruiertes System, das die Schwachstellen der globalen Cybersicherheitsabwehr ausnutzt – menschliches Vertrauen, Fernzugriff und dezentrale Systeme.

Ein globales Ökosystem der Täuschung

Der Umfang der nordkoreanischen Operationen deutet auf eine rasch wachsende globale Infrastruktur hin, die über mehrschichtige Unterstützungsnetzwerke, gefälschte Identitätsbroker und Zahlungswäschesysteme verfügt. Die neuesten Erkenntnisse von GTIG unterstreichen, wie agil und gefährlich diese Akteure geworden sind.

„Als Reaktion auf das gestiegene Bedrohungsbewusstsein in den USA haben [die nordkoreanischen IT-Mitarbeiter] ein globales Ökosystem betrügerischer Identitäten aufgebaut, um ihre operative Flexibilität zu verbessern“, erklärt GTIG. Ihre Fähigkeit, den Betrieb schnell über Grenzen hinweg zu verlagern und gleichzeitig einen stabilen Umsatzfluss aufrechtzuerhalten, stellt für Unternehmen weltweit ein ernstes Problem dar.

Was können Organisationen tun?

1. Verschärfen Sie die Identitätsprüfung : Implementieren Sie strenge, mehrstufige Überprüfungsprozesse für die Einstellung von Remote-Mitarbeitern.

Abschließende Gedanken

Die globale Ausbreitung nordkoreanischer IT-Infiltrationen ist nicht nur ein Problem der Cybersicherheit, sondern auch eine Bedrohung für die nationale Sicherheit und die Wirtschaft. Da ihre Taktiken immer ausgefeilter werden, müssen sich Unternehmen mit ebenso fortschrittlichen Abwehrmaßnahmen anpassen. Die Zeiten, in denen man einfach so und ohne gründliche Hintergrundprüfung Freiberufler aus aller Welt anheuerte, sind vorbei. Untätigkeit könnte den Diebstahl – oder die Nutzung als Waffe – Ihrer wichtigsten digitalen Vermögenswerte zur Folge haben.