نفوذ استخدام از راه دور کره شمالی، تأیید مصاحبه به عنوان خط دفاعی امنیتی

نفوذ نیروی مرتبط با کره شمالی به فرآیند استخدام از راه دور شرکت‌های کریپتو به عنوان یک مسیر نفوذ، در پی گزارشی مصاحبه‌ای دوباره نمایان شد. ارزیابی‌ها نشان می‌دهد که نه تنها هک کیف پول، بلکه مصاحبه، onboarding، ارسال تجهیزات و اعطای مجوز دسترسی از راه دور به عنوان خط اول کنترل امنیتی عمل کرده‌اند.

کریپتو بریفینگ (Crypto Briefing) در تاریخ 18، گزارش داد که لورا شین (Laura Shin) مجری برنامه «آنچینید» (Unchained) با فردی که خود را به عنوان «جاستین لیم» معرفی کرده و به عنوان متقاضی کار با نام «سوفی وانگ» مصاحبه کرده است. این گفتگو در قسمت پادکست آنچینید که در تاریخ 14 منتشر شد، معرفی گردید.

در این گزارش، لیم خود را به عنوان یک توسعه‌دهنده از راه دور معرفی کرد. او به سوالات مربوط به امنیت قراردادهای هوشمند، گراف (GRT)، یونی سواپ (UNI) و Velas پاسخ داد و به سوالات مربوط به رهبر کره شمالی به طور طفره‌آمیز واکنش نشان داد.

کریپتو بریفینگ نوشت که لیم به 2.7 میلیون دلار (حدود 38 میلیارد وون) سرقتی که در سال 2022 در متا پلی (MetaPlay) رخ داده، مرتبط است. با این حال، این ارتباط تنها ادعای گزارش است و در اسناد رسمی تحقیق یا بیانیه‌های نهادها تأیید نشده است.

اداره تحقیقات فدرال ایالات متحده (FBI) در اطلاعیه‌ای در تاریخ 16 مه 2024 اعلام کرد که نیروی IT کره شمالی از همکاران خود در ایالات متحده برای پنهان کردن هویت و دسترسی به شبکه‌های شرکتی استفاده می‌کند. FBI روش‌های اصلی را شامل دریافت تجهیزات، اتصال به دسکتاپ از راه دور، افتتاح حساب‌های مالی، ایجاد حساب‌های سایت‌های استخدام، حضور نمایندگی در مصاحبه‌های مجازی و تأسیس شرکت‌های جبهه‌ای مستقر در ایالات متحده معرفی کرد.

هشدار FBI از این نظر حائز اهمیت است که هک را تنها به عنوان یک مشکل آسیب‌پذیری کد نمی‌بیند، بلکه آن را به عنوان یک مشکل در فرآیند استخدام می‌داند. به شرکت‌ها توصیه شده است که نه تنها قبل از استخدام هویت را تأیید کنند، بلکه در طول دوره کاری نیز الگوهای استفاده از موقعیت، تجهیزات و حساب‌ها را به طور مکرر بررسی کنند.

وزارت دادگستری ایالات متحده نیز در بیانیه‌ای در تاریخ 30 ژوئن 2025 اعلام کرد که نیروی کره شمالی با هویت‌های دزدیده شده و جعلی، مشاغل IT از راه دور به دست آورده و در بیش از 100 شرکت آمریکایی استخدام شده است. این بیانیه همچنین به جستجوی 29 مکان مشکوک "مزرعه لپ‌تاپ" در 16 ایالت، ضبط 29 حساب مالی و ضبط 21 وب‌سایت کلاهبرداری اشاره کرد.

مزرعه لپ‌تاپ مکانی فیزیکی است که تجهیزات کاری ارسال شده توسط شرکت‌های استخدام‌کننده را نگهداری کرده و به نیروی خارجی کمک می‌کند تا به صورت از راه دور به آن‌ها دسترسی پیدا کند. وزارت دادگستری اعلام کرد که برخی از نیروهای IT کره شمالی در شرکت‌های تحقیق و توسعه بلاک‌چین استخدام شده و بیش از 900 هزار دلار (حدود 13 میلیارد وون) دارایی مجازی را دزدیده‌اند.

چینالیسیس (Chainalysis) در گزارشی در سال 2025 اعلام کرد که هکرهای کره شمالی در آن سال 2.02 میلیارد دلار (حدود 28.31 تریلیون وون) دزدیده‌اند و مجموع سرقت‌ها به 6.75 میلیارد دلار (حدود 95.44 تریلیون وون) رسیده است. چینالیسیس توضیح داد که نیروهای مرتبط با کره شمالی در داخل خدمات کریپتو نیروی IT را نفوذ کرده و برای به دست آوردن دسترسی به مجوزها یا به عنوان مسئول استخدام در شرکت‌های وب3 و AI خود را معرفی می‌کنند تا در فرآیند مصاحبه‌های فنی به گواهی‌نامه‌ها و دسترسی به کد منبع دست یابند.

شرکت امنیتی کدلسکی (Kudelski Security) در تحقیقی در تاریخ 30 ژوئن 2026 اعلام کرد که کمپین «مصاحبه‌های آلوده» مرتبط با کره شمالی از طریق لینکدین، واتس‌اپ و دیسکورد توسعه‌دهندگان را جذب می‌کند. ساختاری تحلیل شده است که در آن در فرآیند مصاحبه‌های فنی جعلی، کدهای مخرب اجرا می‌شوند و اطلاعات حساس مانند متغیرهای محیط اجرایی و توکن‌ها استخراج می‌شوند.

شرکت آموزشی امنیتی KnowBe4 در نوشته‌ای که در تاریخ 24 فوریه 2025 منتشر شد، تجربه‌ای از مصاحبه با متقاضیان جعلی کره شمالی را معرفی کرد. متقاضی الگوهایی از تکرار سوالات و به تعویق انداختن زمان را نشان داد و به نظر می‌رسید از جستجو یا پاسخ‌های AI استفاده می‌کند. KnowBe4 توضیح داد که شرکت‌های استخدام‌کننده توسعه‌دهندگان از راه دور به طور مکرر با چنین متقاضیانی مواجه می‌شوند.

صنعت کریپتو با ترکیب سازمان‌های اولویت‌دار از راه دور، همکاری توسعه‌دهندگان فرامرزی، استخدام سریع و فرهنگ نام مستعار، به راحتی می‌تواند هویت‌ها را شل کند. اگر بررسی‌های امنیتی قراردادهای هوشمند و نظارت بر کیف پول نزدیک به شناسایی پس از وقوع باشد، تأیید مصاحبه و onboarding کنترل‌هایی است که قبل از ایجاد دسترسی داخلی انجام می‌شود.

این مشکل همچنین در شرکت‌های کریپتو داخلی ادامه دارد. ما قبلاً گزارش داده‌ایم که نمونه‌های مصاحبه توسعه‌دهندگان از راه دور که به کره شمالی مرتبط هستند، مشکلات تأیید استخدام در صنعت دارایی‌های مجازی را نمایان کرده است. در آن زمان، نام مستعار و ملیت و محل اقامت شخصیت‌های موجود در مقاله به طور مستقل تأیید نشده بود و نکته اصلی روش‌ها بود نه شخصیت‌های خاص.

تحقیقات امنیتی نمونه‌هایی از ایجاد شرکت‌های دیفای جعلی را نشان داده است که نیروی IT پوششی که به سازمان تحت رهبری کره شمالی، لازاروس، نسبت داده شده است، را شناسایی کرده‌اند. ما قبلاً گزارشی از استفاده از شناسنامه‌های جعلی، شماره‌های تأمین اجتماعی دزدیده شده و حساب‌های نمایندگی در فرآیند استخدام ارائه کرده‌ایم.

این موضوع به جای هدف قرار دادن هویت یک مصاحبه خاص، ساختار استخدام در صنعت کریپتو را هدف قرار می‌دهد. برای کاهش نفوذ به دسترسی داخلی، باید فرآیندهای مصاحبه استخدام، ارسال تجهیزات، مجوز دسترسی و اعطای مجوز در یک سیستم امنیتی واحد مدیریت شوند.

این محتوا صرفاً برای اطلاع‌رسانی عمومی ارائه شده است و به‌منزله مشاوره مالی، سرمایه‌گذاری، حقوقی یا مالیاتی تلقی نمی‌شود. هرگونه رویداد، جایزه، کمپین آنلاین یا اطلاعات مرتبط که در اینجا ذکر شده است، نباید به‌عنوان توصیه، ترغیب یا دعوت به خرید، فروش، معامله یا هرگونه دادوستد دیگر دارایی‌های رمزارزی تلقی شود. دارایی‌های رمزارزی از نوسان بالایی برخوردار هستند و ممکن است منجر به زیان شوند. دسترسی به خدمات، محصولات و رویدادهای مرتبط با WEEX ممکن است بسته به منطقه جغرافیایی متفاوت باشد. اطمینان از اینکه استفاده شما از این خدمات با قوانین و مقررات محلی مطابقت دارد، بر عهده خود شماست.