Podstępni hakerzy i oszukańczy pracownicy IT z Korei Północnej od lat  infiltrują firmy, kradnąc tajemnice przedsiębiorstw i rabując miliardy w kryptowalutach. Pozyskane środki pomagają w finansowaniu totalitarnego reżimu i jego programów zbrojeniowych. Angelis Stykas dyrektor ds. technologii w firmie zajmującej się cyberbezpieczeństwem Kumio,  od 22 miesięcy miał dostęp do serwerów dowodzenia i kontroli (C2), używanych przez północnokoreańskich cyberprzestępców. W  tym czasie odnalazł dowody na to, że działania hakerów z tego kraju dotknęły 1640 firm z 57 państw.

Grecki badacz przeglądając te systemy przez miesiące, zidentyfikował potencjalne ofiary, analizując klucze deweloperskie, kod źródłowy i inne dane,  Angelis Stykas poinformował poszkodowane podmioty o zaistniałych incydentach. Wsród ofiar znalazły się między innymi  Boston Children’s Hospital (który posiadał ogromną bazę danych Covid-19 z osobistymi danymi medycznymi Amerykanów), japońska firma technologiczna AEON Smart Technology, chiński producent telefonów Oppo, firmy kryptowalutowe Coinbase i Uniswap Labs, Włoska Wysoka Rada Sądownictwa, spółka zależna saudyjskiego banku Al Rajhi Bank czy Digitaal Vlaanderen – rządowej agencji regionu Flandrii.

W przypadku prawie wszystkich z setek zhakowanych firm oraz organizacji, w których północnokoreańscy intruzi uzyskali przynajmniej punkt zaczepienia, użyli prostej i dobrze udokumentowanej taktyki. Napastnicy kusili programistów fałszywymi ofertami pracy z obietnicą wysokich zarobków. Gdy kandydat połknął haczyk, był proszony o pobranie programu w celu przetestowania jego umiejętności kodowania, co pozwoliło  zainstalować złośliwe oprogramowanie na jego maszynie. Według Microsoftu północnokoreańskie grupy hakerskie używają tej techniki fałszywych rozmów kwalifikacyjnych w ramach szerszej kampanii znanej jako Contagious Interview co najmniej od 2022 roku.

Angelis Stykas zwraca uwagę, że w przypadku wielu poszkodowanych organizacji to właśnie zewnętrzni kontrahenci znacząco zwiększali potencjalny zasięg szkód wynikających z udanego ataku, bowiem posiadali klucze deweloperskie lub dostęp do wielu systemów jednocześnie. 

-Widziałem kontrahentów, którzy mieli dostęp aż do 30 firm naraz – wyjaśnia w rozmowie z Wired Angelis Stykas