Kuzey Kore bağlantılı sahte işe alım operasyonu, yazılım ve teknoloji pozisyonlarının dışına çıkarak sağlık, finans ve satış ekiplerini de hedef almaya başladı. Araştırmacılar, bu ağın kimlik hırsızlığı, sahte belgeler, VPN ve proxy servisleri ile uzaktan çalışma araçlarını bir arada kullanarak şirketlere personel gibi giren operatörler üzerinden yürüdüğünü ve elde edilen maaşları Pyongyang’ın yasa dışı silah programlarına aktardığını aktarıyor.
Huntress’in son incelemesine göre bu yapı, güvenlik ekipleri için klasik bir sızma vakasından farklı bir tablo yaratıyor. Saldırganlar hesap ele geçirmek ya da kurumsal ağdaki bir açıklığı kullanmak yerine, uzaktan işe alım süreçlerini kandırıyor. Üstelik çoğu zaman kendilerine verilen işi gerçekten yaparak şüphe uyandırmamaya çalışıyorlar.
Bu kampanya güvenlik araştırmalarında Famous Chollima, Jasper Sleet, Nickel Tapestry, PurpleDelta, eski adıyla TAG-121, UNC5267 ve Wagemole adlarıyla da izleniyor. Kullandıkları yöntemler arasında çalıntı ya da üretilmiş kimlik belgeleri, konumu gizleyen VPN’ler ve proxy hizmetleri var. Operatörler, gerçek kimliklerini ve bulundukları yeri saklamak için bu altyapıyı birlikte kullanıyor.
Huntress, Kuzey Koreli çalışanların savunma tarafı için özel bir tespit sorunu yarattığını belirtti. Şirketlere göre bu kişiler, genellikle bir güvenlik açığını istismar ederek değil, işe alım sürecini başarıyla geçerek içeri giriyor. Bu da onları, dışarıdan gelen tipik saldırganlardan ayırıyor.
Şubat 2026’da Avustralya’daki bir sağlık şirketinde çalışan üç kişinin Çin vatandaşı gibi davranan Kuzey Koreli operatörler olduğu değerlendirildi. İncelemede, bu kişilerin Astrill VPN ve IPRoyal Proxy üzerinden tekrar tekrar bağlandığı görüldü. Ayrıca işe alım aşamasında sunulan kimlik belgelerinde sahtecilik izleri, iki pasaport arasındaki benzerlikler ve ikamet kanıtı olarak yüklenen elektronik faturalar üzerindeki belirgin kelime hataları da ortaya çıktı.
Huntress, pasaport ve oturum kimliklerinin sahte olma ihtimaline rağmen bunların içinde başka kişilerden alınmış gerçek bilgiler ya da fotoğraflar bulunabileceğini de ekledi. Araştırmacılar, saldırganların tamamen uydurma belgelerle değil, bazen çalıntı kimlik parçalarını birleştirerek de ilerleyebildiğine işaret ediyor.
Bu ay ortaya çıkan ikinci vakada, adı açıklanmayan bir finansal hizmetler şirketinin cihazında PiKVM bulundu. PiKVM ve TinyPilot gibi KVM anahtarları daha önce Kuzey Kore’nin IT çalışanı düzeniyle ilişkilendirilmişti. Bu tür araçlar, saldırganların laptop çiftliklerinde barındırılan cihazlara uzaktan bağlanmasını sağlıyor. Savunma ekipleri de aynı sınıf cihazları kendi laboratuvar ve yönetim ortamlarında meşru uzaktan erişim ve test amaçlarıyla kullanabiliyor; sorun araçta değil, nasıl kullanıldığında ortaya çıkıyor.
“Çalışan”ın ayrıca üçüncü taraf dosya paylaşım servisi SendGB’yi kullanarak meşru bir GitHub profilinin değiştirilmiş sürümünü indirdiği, bunu da kurum içi iletişim aracında profil fotoğrafı olarak kullanmayı planladığı değerlendirildi. Aynı cihaza PiKVM kurulduktan birkaç gün sonra Guermok USB yakalama kartı da takıldı. Bu kartın video akışını web konferans uygulamalarında kamera girişi gibi iletebildiği, örneğin Zoom ile kullanılabildiği belirtildi. Guermok’un tek başına şüpheli sayılmaması gerektiği ifade edilirken, kurulumun PiKVM’den hemen sonra gelmesi alarm işareti olarak görüldü.
Huntress’in Ağustos 2026’da incelediği üçüncü vakada ise satış ve pazarlama pozisyonuna 13 gün önce alınan bir kişinin, başka birinin kimliğini alıp kullandığı anlaşıldı. Bu kişinin, ad, doğum tarihi, yer bilgisi ve fotoğrafı kolluk kuvvetlerince tutuklama sonrası internete konulan gerçek kişinin yüzünü değiştirerek işe girdiği değerlendirildi.
Şirket, sahte çalışan riskini azaltmanın görüşme aşamasında başladığını ve işe alımdan önce sıkı arka plan kontrolleriyle sürmesi gerektiğini vurguladı. İncelemede, adayların çevrimiçi izinin kontrol edilmesi ve önceki iş geçmişlerinin doğrulanmasının Kuzey Kore bağlantılı operatörleri erken aşamada elemek için yararlı olacağı belirtildi.
Benzer vakalar bunlarla sınırlı değil. Recorded Future’ın Insikt Group ekibi, PurpleDelta ile bağlantılı bir grubun 2024 sonu ile 2025 başı arasında 1.100’den fazla şirkete iş başvurusu yaptığını bildirdi. Başvuruların büyük bölümü yazılım ve teknoloji, personel ve danışmanlık, sağlık ile biyoteknoloji sektörlerine yöneldi.
İstihbarat firmasına göre bu yapıda, muhtemelen Çin merkezli birden fazla operatör yer alıyor ve toplam 22 sahte persona yönetiliyor. Bu kimliklerin bir kısmı yapay zekâ ile üretilmiş durumda. Kimlik belgeleri ise TrustID Card adıyla anılan yasa dışı bir belge üretim servisinden, trustidcard[.]com alanından sağlandı.
PurpleDelta’nın çalışma temposunu “yüksek” olarak tanımlayan Recorded Future, grubun günde en az 60 pozisyona, 10 farklı iş platformu üzerinden başvurduğunu aktardı. Operatörler, ayrı persona’ları yönetmek için çoklu hesap tarayıcıları ve farklı Google Chrome profilleri kullandı. Başvuruları eşgüdümlemek için de ayrıntılı takip tabloları hazırladı.
Görüşmeler sırasında ekran kaydı yazılımları, AI transkripsiyon araçları ve sohbet botlarıyla birlikte çalıştıkları, çoğu zaman ChatGPT yanıtlarını kelimesi kelimesine tekrar ettikleri de kayda geçti. İşe alındıktan sonra kurum içi toplantılar kaydedildi, bankacılık ve kişisel cihaz kullanımı için gerekçe üretmek amacıyla Google Translate üzerinden önceden hazırlanmış bahaneler yazıldı.
Operatörlerin ayrıca kimlik aracılık hizmetlerine, AnyDesk üzerinden hesap kiralamaya ve çoklu hesap araçlarına başvurduğu; Telegram ve Slack üzerinden koordine olduğu; şirket tarafından sağlanan donanımı onlar adına temin eden ve bakımını yapan yardımcılarla iletişim kurduğu da belirtildi. Recorded Future, PurpleDelta etkinliğinin büyük olasılıkla devam ettiğini ve Kuzey Koreli IT çalışanlarının fark edilme çabalarına uyum sağladıkça daha da büyüyüp karmaşıklaşacağını yazdı.
Raporda, yapay zekâ araçlarının bu operasyonlara daha fazla entegre edilmesinin riskleri artırdığına da yer verildi. Özel ChatGPT yardımcıları, görüşmelerde gerçek zamanlı AI transkripsiyonu ve yapay zekâ ile üretilmiş profil fotoğrafları, ikna edici aldatmacanın eşiğini düşürüyor ve operatörlerin teknik roller içinde yeterince ikna edici görünmesini sağlıyor.
Gelişmeler, ABD Federal Soruşturma Bürosu’nun adı açıklanmayan bir federal devlet kurumunda Kuzey Koreli bir IT çalışanının nasıl başarılı biçimde işe girdiğini araştırmasıyla aynı döneme denk geldi. Söz konusu kişinin doğrudan çalışan olarak değil, yüklenici olarak çalıştığı değerlendiriliyor.
Yetkililer, Batılı maaşların Sobaeksu, Saenal ve Songkwang gibi aracı şirketler ve paravan yapılar üzerinden aktarıldığını da takip ediyor. Bu şirketlerin bazıları ABD’de yaptırımlardan kaçınma gerekçesiyle zaten yaptırım listesinde. DTEX’in değerlendirmesine göre bu ağ, rejimin silah üretimi ve Rusya’nın savaş çabalarına destek gibi hedeflerine de hizmet ediyor. Kasım 2025 ile Şubat 2026 arasında Ryongbong General Corporation üzerinden 1,97 milyon dolar tutarında ödeme akışı tespit edildiği bildirildi.
Mayıs ayında ise Matthew Isaac Knoot ve Erick Ntekereze Prince adlı iki ABD vatandaşı, Kuzey Koreli uzaktan IT çalışanları için laptop çiftliği işletmekten dolayı ayrı ayrı 18 ay hapis cezası aldı. Bu iki dosyanın yaklaşık 70 ABD şirketini etkilediği ve toplam 1,2 milyon dolarlık yasa dışı gelir yarattığı açıklandı.
Bir ay önce de Kejia Wang ve Zhenxing Wang, New Jersey’deki evlerinde benzer bir laptop çiftliği kurup 100’den fazla Amerikan şirketinde IT çalışanlarının uzaktan iş bulmasına yardım ettikleri için sırasıyla 108 ay ve 92 ay hapis cezasına çarptırıldı. Bu düzenek yaklaşık 5 milyon dolar gelir sağladı, mağdur şirketlerde ise 3 milyon doların üzerinde kayba yol açtı. Olayla bağlantılı diğer dört isim, Oleksandr Didenko, Audricus Phagnasay, Jason Salazar ve Alexander Paul Travis, Şubat ve Mart aylarında ceza aldı.
Nisos’un yayımladığı bir dizi rapor, Kuzey Koreli operatörlerin employment fraud yöntemiyle kripto para şirketlerini hedef aldığını ve amaçlarından birinin varlık hırsızlığı olduğunu ortaya koydu. IT çalışanlarından biri de yapay zekâ risk yönetimi şirketinde baş yapay zekâ mimarı pozisyonuna başvururken yakalandı; bu başvuru sırasında 20 makineli bir laptop çiftliğindeki cihaz üzerinde kontrolü sürdürmek için PiKVM kullandığını istemeden ifşa etti.
Nisan ayında Microsoft, Jasper Sleet aktörlerinin Workday Recruiting Web Service uç noktalarına eriştiğini duyurdu. Bu uç noktalar dış kariyer siteleri üzerinden açığa çıkıyordu ve muhtemelen açık roller ile işe alım iş akışlarına dair ayrıntılar toplamak için kullanıldı. İşe alım sürecinde saldırganların hedef kurumun insan kaynakları ekibiyle e-posta üzerinden iletişim kurduğu, görüşmeler için Microsoft Teams, Zoom veya Cisco Webex gibi meşru platformlara yöneldiği belirtildi.
İşe alım tamamlandıktan sonra yeni Workday profilleri açılıyor, bordro bilgileri güncelleniyor ve bu işlemler çoğu zaman bir aracıya bağlanıyor. Group-IB, yapay kimliklerle hareket eden bu kişilerin kendilerini dünyanın farklı yerlerinden gelen deneyimli geliştiriciler gibi tanıtarak uzun vadeli ve yüksek ücretli uzaktan rollere yerleştiğini aktardı. Şirket, bunun klasik bir zararlı yazılım sızma zinciri değil, sosyal mühendislik, sentetik kimlik operasyonları ve platform istismarı üzerine kurulu emek tabanlı bir erişim modeli olduğunu yazdı.
Kuruluş, bunun yalnızca veri hırsızlığı riski yaratmadığını, aynı zamanda farkında olmadan bu kişileri işe alan şirketler için ciddi yasal ve uyum sorunları doğurduğunu da belirtti. Kuzey Koreli IT çalışanlarına ödeme yapmak ya da onları istihdam etmek, BM, ABD ve Birleşik Krallık yaptırımlarının doğrudan ihlali anlamına gelebiliyor.
Saldırıların kalıcı yapısı ve ölçeği, geçen ay yaklaşık bir düzine ülkenin ortak uyarı yayımlamasına yol açtı. ABD, Japonya, Güney Kore, Avustralya, Kanada, Fransa, Almanya, İtalya, Hollanda, Yeni Zelanda ve Birleşik Krallık’tan siber güvenlik ve istihbarat kurumları, ülkelerin ve şirketlerin Kuzey Koreli çalışan düzeneklerinin kapsamını daha iyi anlaması ve uygun karşı önlemleri uygulaması gerektiğini bildirdi.
Aynı kurumlar, çevrimiçi platform işleten şirketlerin kimlik doğrulama süreçlerini sertleştirmesini, kimlik belgelerini daha sıkı incelemesini, mümkünse yüz yüze görüşme şartı getirmesini ve şüpheli hesapları otomatik olarak işaretleyen sistemler kurmasını tavsiye etti. Raporda, giriş alanlarındaki anormal bilgi girişlerini uyarı mekanizmalarıyla izleyen sistemlerin de bu mücadelede rol oynayabileceği kaydedildi.