В продължение на години прикритите хакери на Северна Корея проникват в компании, крадат корпоративни тайни и присвояват криптовалути за милиарди долари, с които подпомагат тоталитарния режим и оръжейните му програми.

Сега експерт по киберсигурност, прекарал почти две години в системите на една от севернокорейските хакерски групи, предупреждава колко ефективна и широко разпространена е тактиката им да атакуват отделни служители и външни изпълнители, за да проникват в организации по целия свят.

Откакто гръцкият изследовател Вангелис Стикас придобива достъп до севернокорейските системи преди 22 месеца, той е открил доказателства, че хакерските операции на страната са засегнали 1640 компании в 57 държави.

Според данните на Стикас около 700–800 от тези организации са претърпели особено тежки пробиви.

„Става дума за достъп до цели компании, за пълни администраторски права върху сървъри и върху AWS“, казва той пред WIRED, имайки предвид Amazon Web Services и т.нар. root достъп, който дава най-високото ниво на права в една компютърна система.

„При криптокомпаниите става дума за ключове и достъп до блокчейн мрежи. Нивото на достъп е абсурдно.“

Стикас, който е технологичен директор на компанията за киберсигурност Kumio, разказва, че е проникнал в няколко командни сървъра, използвани от хакерите.

В някои случаи хакерите изглежда са заразили собствените си устройства със създадения от тях зловреден софтуер. Така Стикас е получил достъп и до работните им компютри.

„Имам достъп до Slack, до Discord и до още много неща“, казва той и допълва, че е прегледал общо около 5 терабайта данни.

Изследователска група, подкрепяна от правителството на Обединеното кралство, съобщи, че системи на OpenAI и Anthropic са предприели действия без разрешение и са проявили подвеждащо поведение по време на тестове

Мощните AI модели отново излязоха извън контрол. Този път – особено прикрито

Докато анализира системите в продължение на месеци, Стикас установява потенциалните жертви чрез ключове за разработчици, изходен код и други данни. По думите му той е уведомил засегнатите организации за инцидентите.

Сред тях са детска болница в Бостън, която е разполагала с огромна база данни за Covid-19, съдържаща лична здравна информация на американци, голямата японска технологична компания AEON Smart Technology, китайският производител на телефони Oppo, криптокомпаниите Coinbase и Uniswap Labs, Висшият съдебен съвет на Италия, дъщерно дружество на саудитската Al Rajhi Bank и Digitaal Vlaanderen, част от правителството на Фландрия в Белгия.

Японският център за реакция при компютърни инциденти заявява пред WIRED, че е потвърдил констатациите на изследователя и е работил с AEON Smart Technology за отстраняването на проблема.

„Можем да потвърдим, че бяхме уведомени за инцидента на 3 март 2026 г. от белгийския Център за киберсигурност след сигнала на изследователя“, заявява говорител на фламандското правителство.

„Като част от реакцията засегнатото работно устройство беше изолирано, а потенциално компрометираните данни за достъп бяха отнети и заменени. Според нашето разследване инцидентът е овладян и последиците са отстранени.“

Говорител на детската болница в Бостън заявява, че случаят е бил свързан с лично устройство на бивш независим изпълнител, а не със системите на болницата.

Бившият ръководител на Sony Entertainment признава как едно прибързано решение в Холивуд прераства в кибератака с унищожени сървъри, изтекли имейли и лични данни на служители

„Да го правим!“: Как едно решение в Sony отвори пътя към исторически киберхаос

Много от засегнатите организации са разполагали с изключително чувствителни данни, до които хакерите теоретично са можели да достигнат. Въпреки това хакерите са се съсредоточавали основно върху достъпа до криптопортфейли и до голяма степен са пренебрегвали останалите системи, разказва Стикас.

При почти всички стотици пробити компании, както и при над хиляда други организации, в които севернокорейците са успели поне да установят първоначален достъп, хакерите са използвали проста и добре позната тактика.

Те примамват софтуерни разработчици с фалшиви предложения за работа и изкушаващо високи заплати. След като жертвата прояви интерес, инженерът получава задача да изтегли програма като част от тест за уменията му по програмиране. Програмата незабелязано инсталира зловреден софтуер на устройството.

Преди три месеца Никълъс Карлини предупреди за опасностите от изкуствения интелект. Днес той е част от екипа, който защитава пускането на най-новите модели на компанията на Амодей

Киберсигурност в кръвта: Как „хакерът“ на Anthropic успокоява нервите на Вашингтон относно AI безопасността

Според Microsoft севернокорейски хакерски групи използват този метод с фалшиви интервюта поне от 2022 г. като част от по-широката кампания, известна като „Contagious Interview“.

При много от засегнатите организации компрометираните външни изпълнители са увеличили значително мащаба на потенциалните щети. Те често са разполагали с ключове за разработчици или с достъп до множество системи.

„Виждал съм изпълнители, които имаха достъп до до 30 компании“, казва Стикас.

Кибероперациите на Северна Корея са едновременно мащабни и постоянно променящи се, посочва доклад на компанията за киберсигурност Dtex, публикуван миналата година.

Структурата на операциите и хората, които ги провеждат, често се адаптират към текущите приоритети на страната, сред които икономическото и военното развитие, набирането на приходи, шпионажът и заобикалянето на санкции.

Смята се, че Северна Корея разполага с няколкостотин висококвалифицирани кибероператори, които често започват обучението си още в ранна възраст, както и с „няколко хиляди“ т.нар. IT работници.

На всяка публично известна ransomware атака се падат 8 скрити. За компаниите мълчанието често изглежда като контрол върху кризата, но цената идва по-късно

Скритите инциденти: Защо компаниите плащат, решават проблема и мълчат

Тези хора кандидатстват с фалшива самоличност за дистанционна работа в легитимни компании и печелят пари, които впоследствие могат да бъдат насочвани към режима, намиращ се под тежки международни санкции.

Според доклада на Dtex както хакерите, така и IT служителите получават годишни норми за приходите, които трябва да осигурят.

Предвид мащаба на севернокорейските кампании фактът, че една-единствена група може да е проникнала в над хиляда организации чрез фалшиви интервюта, не е особено изненадващ, казва пред WIRED Маркъс Хътчинс, изследовател по киберзаплахите в компанията Expel.

Той е проследявал подобни кампании със също толкова дълги списъци от жертви.

„Изглежда, че екипите се придържат към конкретната си задача да откриват криптопортфейли. Рискът обаче е, че ако запазят траен достъп до дадена компания, някой от шпионските екипи може впоследствие да го използва“, казва Хътчинс.

„Достатъчно е само един човек да получи достъп до системата и вече може да действа необезпокоявано.“

Заради опасността от тези пробиви, както по отношение на чувствителните данни, така и заради продължаващите кражби на криптовалути, които финансират севернокорейския режим, истинската тревога вероятно не са компаниите, които Стикас е назовал, а тези, които е запазил в тайна.

Сред тях има стотици организации, които никога не са отговорили на предупрежденията му. Към списъка всеки ден се добавят и нови жертви.

„Това започна като страничен проект, а сега е работата ми на пълен работен ден“, казва Стикас.

„Те са тук и ни атакуват непрекъснато“, допълва той. „В крайна сметка всички биват хакнати. Разликата между добрата и лошата компания е в начина, по който реагира на пробива. А ние видяхме много лоши компании.“