Hackers norte-coreanos infiltram ao menos 70 empresas dos EUA com identidades falsas
Uma operação atribuída a agentes ligados à Coreia do Norte levou à contratação fraudulenta de trabalhadores de tecnologia por pelo menos 70 empresas americanas. Para conseguir os empregos, os operadores usaram identidades roubadas de cidadãos dos Estados Unidos e se apresentaram como profissionais locais. Uma vez contratados, recebiam salários e podiam acessar sistemas e informações internas das organizações.
O Departamento de Justiça dos Estados Unidos informou que duas pessoas foram presas e indiciadas, enquanto agentes realizaram buscas em mais de 40 imóveis no Texas. As autoridades apreenderam mais de 180 computadores que empresas haviam enviado a funcionários recém-admitidos. As organizações, segundo a investigação, não sabiam que os equipamentos eram usados por pessoas cuja verdadeira localização e identidade estavam ocultas.
Os imóveis funcionavam como “fazendas de laptops”: os computadores ficavam fisicamente nos Estados Unidos, mas eram controlados à distância por operadores norte-coreanos. Assim, os sistemas corporativos registravam conexões feitas a partir de equipamentos em território americano, o que ajudava a sustentar a aparência de que os funcionários trabalhavam no país.
As instalações estavam distribuídas por residências e outros imóveis texanos e seriam administradas por pelo menos dois facilitadores americanos. A participação de intermediários locais ajudava a receber e manter os computadores, além de contornar obstáculos físicos, financeiros e legais que dificultariam a atuação direta de operadores no exterior.
A fraude também incluía a criação de endereços de e-mail aparentemente legítimos, perfis falsos no LinkedIn e contas em redes sociais. Esses elementos eram usados para dar consistência às identidades inventadas e aumentar as chances de aprovação em processos seletivos e verificações de antecedentes.
De acordo com as autoridades, o esquema atingiu empresas de saúde, varejo, comunicações, manufatura e serviços de cibersegurança. As organizações estavam em Ohio e em outros 16 estados, além do Distrito de Columbia. Os nomes das companhias não foram divulgados. A operação teria gerado cerca de US$ 3 milhões em receitas ilícitas.
Investigadores também apontaram uma mudança no método. À medida que empresas aperfeiçoaram seus controles e as ações policiais se intensificaram, os operadores passaram a recrutar cidadãos americanos para assumir tarefas de apoio, como administrar os equipamentos. Em alguns casos, o trabalho conquistado com a identidade fraudulenta era repassado integralmente a profissionais estrangeiros.
Essa estratégia pode prolongar o acesso a redes corporativas e reduzir a probabilidade de que inconsistências de localização sejam percebidas. Um funcionário aparentemente legítimo, afinal, pode receber permissões para consultar documentos, sistemas e ferramentas necessárias ao trabalho – justamente os recursos que tornam a infiltração mais arriscada para a empresa.
O FBI alertou que milhares de profissionais de tecnologia controlados pelo Estado norte-coreano podem estar empregados em empresas ocidentais. A agência considera essa presença uma ameaça à segurança nacional e à propriedade intelectual, pois o vínculo profissional pode oferecer acesso privilegiado a dados, código e projetos ainda não divulgados.
O risco não se limita à obtenção de um salário. Durante o período de contratação, os trabalhadores podem coletar informações confidenciais e dados comerciais. Em determinadas situações, o material obtido é usado posteriormente para pressionar ou extorquir as empresas, criando uma fonte adicional de dinheiro para os envolvidos.
Para reduzir a exposição, organizações podem reforçar a verificação de identidade e de histórico profissional, confirmar referências por canais independentes e analisar com atenção divergências entre localização declarada, endereço e atividade de acesso. Também é recomendável limitar permissões ao mínimo necessário para cada função, especialmente nos primeiros meses de trabalho.
A entrega de computadores a funcionários remotos exige cuidados específicos. A empresa deve manter inventário dos equipamentos, aplicar autenticação multifator, monitorar mudanças incomuns de localização e revisar periodicamente os acessos concedidos. Sinais como conexões em horários atípicos, tentativas repetidas de autenticação ou consultas a arquivos sem relação com as tarefas podem justificar uma investigação interna.
A infiltração de trabalhadores de tecnologia integra uma estratégia mais ampla de obtenção de recursos e evasão de sanções atribuída à Coreia do Norte. Além de fraudes em contratações, as autoridades associam o país a ataques contra corretoras de criptomoedas e a iniciativas ligadas ao desenvolvimento de software de código aberto. Os valores arrecadados são apontados como uma possível fonte de financiamento para o governo norte-coreano e seu programa nuclear.