Le attività fraudolente legate alla Corea del Nord si stanno espandendo oltre il settore IT, coinvolgendo ora anche sanità e vendite. I criminali utilizzano identità rubate e tecniche sofisticate per ottenere impieghi remoti e finanziare programmi illeciti del regime.
Le organizzazioni criminali collegate alla Corea del Nord stanno ampliando le loro attività fraudolente oltre il settore IT, puntando ora anche a ruoli nella sanità, nelle vendite e nel marketing. Recenti indagini hanno identificato lavoratori sospetti impiegati in aziende sanitarie e finanziarie, nonché nel settore delle vendite, che utilizzano documenti d'identità rubati o falsificati, VPN e servizi proxy per nascondere la loro vera identità e posizione.
Nuove strategie e casi concreti
Il fenomeno, noto come IT worker scheme, vede la Corea del Nord sfruttare una rete di professionisti IT per ottenere impieghi in aziende globali, tra cui multinazionali Fortune 500, con l'obiettivo di generare entrate per finanziare i programmi nucleari e missilistici di Pyongyang. Secondo Huntress, questi lavoratori rappresentano una sfida unica per la sicurezza aziendale: invece di violare i sistemi, riescono a farsi assumere regolarmente, svolgendo spesso il lavoro per cui sono stati ingaggiati.
Un caso emblematico risale a febbraio 2026, quando tre dipendenti di un'azienda sanitaria australiana sono stati identificati come lavoratori nordcoreani che si spacciavano per cittadini cinesi, grazie all'uso di VPN Astrill e IPRoyal Proxy, documenti d'identità falsi e anomalie nei documenti presentati. In un altro episodio, presso una società finanziaria, è stato scoperto l'uso di PiKVM e Guermok USB capture card, strumenti che permettono il controllo remoto dei dispositivi e la simulazione di presenza durante videoconferenze.
Un terzo caso, indagato da Huntress nell'agosto 2026, ha riguardato un'assunzione nel settore vendite e marketing, dove il lavoratore aveva utilizzato l'identità di una persona reale, sostituendo la propria foto a quella originale dopo che i dati erano stati pubblicati online dalle forze dell'ordine.
Uso di AI e servizi illeciti per ingannare le aziende
Secondo Recorded Future, il gruppo PurpleDelta ha presentato candidature a oltre 1.100 aziende tra il 2024 e il 2025, soprattutto nei settori software, consulenza, sanità e biotecnologie. Gli operatori, spesso basati in Cina, gestivano fino a 22 identità false, alcune create con intelligenza artificiale e documenti ottenuti tramite servizi come TrustID Card. Durante i colloqui, utilizzavano software di registrazione schermo e chatbot AI per rispondere in tempo reale, spesso ripetendo risposte generate da ChatGPT. Una volta assunti, registravano le riunioni interne e usavano Google Translate per giustificare l'uso di dispositivi e conti bancari personali.
Le attività includevano anche il noleggio di account tramite AnyDesk, la gestione di più profili Google Chrome e la comunicazione su Telegram e Slack con facilitatori che procuravano hardware aziendale. L'integrazione di strumenti AI ha abbassato la soglia per la creazione di identità credibili, aumentando il rischio per le aziende.
Implicazioni legali e reazioni internazionali
Le autorità statunitensi stanno indagando su come un lavoratore IT nordcoreano sia riuscito a ottenere un impiego presso un'agenzia federale, mentre i proventi di queste attività vengono riciclati tramite società di comodo e intermediari già sanzionati, come Sobaeksu, Saenal e Songkwang. Tra dicembre 2025 e febbraio 2026, il sistema avrebbe generato quasi 2 milioni di dollari, destinati anche al supporto della produzione di armi e al conflitto in Russia.
Negli Stati Uniti, due cittadini sono stati condannati a 18 mesi di carcere per aver gestito una "laptop farm" a favore di lavoratori IT nordcoreani, coinvolgendo quasi 70 aziende e generando 1,2 milioni di dollari. Altri casi simili hanno portato a condanne fino a 108 mesi di reclusione e a perdite per oltre 3 milioni di dollari per le aziende vittime.
Rapporti di Nisos hanno inoltre evidenziato come i nordcoreani puntino anche a società di criptovalute per furti di asset, mentre Microsoft ha rilevato attività di Jasper Sleet su piattaforme di recruiting come Workday, con comunicazioni tramite Teams, Zoom e Webex. Una volta assunti, i lavoratori aggiornano i profili e i dati di pagamento, spesso collegati a facilitatori esterni.
Rischi per le aziende e raccomandazioni
Secondo Group-IB, questi operatori si presentano come sviluppatori esperti da tutto il mondo, sfruttando identità sintetiche e social engineering per ottenere ruoli remoti ben retribuiti. Oltre al rischio di furto dati, le aziende rischiano gravi conseguenze legali e sanzioni internazionali se assumono inconsapevolmente lavoratori nordcoreani.
Per contrastare il fenomeno, una dozzina di governi ha emesso un'allerta congiunta, invitando aziende e piattaforme digitali a rafforzare i controlli sull'identità dei candidati, prevedendo verifiche rigorose dei documenti e colloqui in presenza, oltre a sistemi di rilevamento di anomalie nei dati forniti.
