Uma operação de segurança cibernética levou três supostos agentes norte-coreanos a aceitar empregos em uma startup de criptomoedas fictícia. A empresa havia sido criada justamente para investigar como profissionais ligados à Coreia do Norte conseguem entrar em organizações estrangeiras por meio de processos convencionais de contratação.
Em vez de entregar computadores reais aos contratados, os pesquisadores forneceram máquinas virtuais monitoradas, capazes de registrar as atividades realizadas durante o trabalho. A estratégia permitiu acompanhar o comportamento dos profissionais e reunir evidências sobre as técnicas utilizadas.
O caso expõe um problema que vai além do malware tradicional: o próprio processo de contratação pode se transformar em uma porta de entrada para espionagem, roubo de dados e fraude financeira.
Startup de criptomoedas foi criada como armadilha
Segundo informações divulgadas pelo The Hacker News e repercutidas por pesquisadores da área, a equipe criou uma empresa fictícia do setor de criptomoedas e publicou anúncios procurando desenvolvedores.
O objetivo era reproduzir uma situação real de contratação e observar se trabalhadores associados às operações norte-coreanas tentariam ingressar na organização.
Três candidatos acabaram sendo contratados e foram considerados pelos pesquisadores como prováveis operadores ligados à Coreia do Norte.
O experimento não dependia apenas da análise dos currículos. A equipe acompanhou o comportamento dos profissionais depois que eles receberam acesso ao ambiente de trabalho.
Computadores virtuais registravam as atividades
A principal diferença em relação a uma contratação convencional estava na infraestrutura fornecida aos funcionários.
As máquinas virtuais disponibilizadas pelos pesquisadores eram configuradas para parecer estações de trabalho legítimas, mas possuíam mecanismos de monitoramento.
Assim, praticamente tudo o que acontecia dentro do ambiente podia ser acompanhado.
A estratégia é semelhante a outras operações de pesquisa realizadas contra redes de trabalhadores norte-coreanos, nas quais ambientes virtuais são utilizados para substituir os computadores físicos normalmente exigidos pelos operadores. Pesquisas da Flare e IBM X-Force mostram que esses trabalhadores frequentemente utilizam máquinas virtuais, proxies e identidades falsas para aparentar estar em outros países.
Operação revela o risco do trabalho remoto
O modelo investigado é conhecido como North Korean IT Worker, ou trabalhadores de TI norte-coreanos.
Em vez de realizar ataques diretamente contra uma empresa, os operadores tentam ser contratados como profissionais legítimos.
Eles podem utilizar identidades falsas ou roubadas, documentos adulterados, endereços de terceiros e intermediários para conseguir passar pelas etapas de recrutamento.
Depois de contratados, passam a ter acesso legítimo a ferramentas, sistemas, código-fonte e informações internas.
A Microsoft já descreveu a existência de uma estrutura organizada que envia milhares de trabalhadores norte-coreanos para buscar empregos remotos em empresas estrangeiras. Esses profissionais podem atuar em desenvolvimento de software, web e outras funções de tecnologia.
Uma mesma pessoa pode controlar várias identidades
Um dos elementos que tornam o esquema particularmente difícil de detectar é a possibilidade de uma única estrutura controlar diferentes identidades.
Os trabalhadores podem utilizar computadores virtuais ou equipamentos controlados por intermediários para realizar atividades remotamente.
Segundo pesquisas sobre o fenômeno, essas máquinas podem ser utilizadas por uma ou mais pessoas, inclusive para administrar simultaneamente diferentes identidades profissionais.
Isso cria um cenário no qual a empresa acredita ter contratado um desenvolvedor localizado nos Estados Unidos ou em outro país ocidental, enquanto o trabalho pode estar sendo realizado fisicamente em uma região completamente diferente.
Objetivo não é apenas conseguir um salário
A infiltração tem um componente financeiro importante.
Ao conseguir empregos em empresas estrangeiras, os trabalhadores podem gerar renda para estruturas associadas ao governo norte-coreano, contornando sanções internacionais e restrições financeiras.
Mas o risco não termina no recebimento do salário.
Uma vez dentro da empresa, um funcionário mal-intencionado pode ter acesso a código-fonte, credenciais, documentação interna, informações de clientes e sistemas corporativos.
Em alguns casos documentados, trabalhadores norte-coreanos também foram associados a roubo de dados, extorsão e atividades destinadas a obter criptomoedas.
A Microsoft aponta que organizações dos setores de tecnologia, blockchain, finanças e outros segmentos estratégicos estão entre os alvos relevantes dessa atividade.
O caso das máquinas virtuais ajuda a entender a estratégia
O monitoramento utilizado no experimento permitiu aos pesquisadores observar diretamente como os contratados utilizavam o ambiente.
A abordagem também evita um dos problemas tradicionais de investigações desse tipo: quando uma empresa percebe que está sendo investigada, o operador pode simplesmente desaparecer.
Ao fornecer um ambiente controlado, os pesquisadores conseguem observar as ações sem necessariamente expor a investigação.
Operações anteriores utilizando ambientes virtuais monitorados já registraram operadores norte-coreanos trabalhando dentro de máquinas preparadas para parecer computadores legítimos de desenvolvedores. Em um desses casos, pesquisadores utilizaram sandboxes para registrar atividades, conexões e ferramentas utilizadas pelos operadores.
Como identificar possíveis sinais de fraude
O principal desafio para as empresas é que nenhum indicador isolado necessariamente comprova que um candidato esteja ligado à Coreia do Norte.
Por isso, especialistas recomendam observar conjuntos de inconsistências.
Entre os sinais que podem justificar uma investigação adicional estão:
- divergências entre endereço, documentos e localização da conexão;
- uso de números de telefone virtuais ou inconsistentes;
- dificuldade em confirmar a identidade do candidato;
- alterações frequentes de informações pessoais;
- conexões provenientes de países incompatíveis com o endereço informado;
- instalação de ferramentas de acesso remoto não autorizadas;
- utilização incomum de VPNs;
- comportamento incompatível com o horário ou localização declarados;
- resistência a videoconferências ou verificações presenciais;
- tentativa de obter privilégios além do necessário para a função.
A Microsoft recomenda, entre outras medidas, verificar a identidade do candidato por vídeo, confirmar informações de contato e endereço e monitorar a instalação de ferramentas não autorizadas depois da contratação.
Problema também merece atenção no Brasil
O fenômeno não deve ser tratado como uma ameaça exclusivamente americana.
Uma análise do Google Cloud sobre ameaças cibernéticas contra usuários e empresas brasileiras já apontou os trabalhadores de TI norte-coreanos infiltrados como uma tendência emergente.
O relatório ressalta que, embora não tenham sido observadas conexões diretas entre esses trabalhadores e empresas brasileiras naquele levantamento, o crescimento do ecossistema de startups no país pode aumentar a relevância desse risco no futuro.
Para empresas brasileiras que contratam desenvolvedores remotamente, especialmente em setores como fintechs, criptomoedas, software e tecnologia, o episódio serve como alerta para fortalecer processos de identificação e controle de acesso.
Contratação passa a fazer parte da segurança
Tradicionalmente, a segurança corporativa é concentrada em firewalls, antivírus, autenticação multifator e sistemas de monitoramento.
O caso mostra que essa proteção precisa começar antes mesmo de o funcionário receber uma conta corporativa.
Se uma organização não consegue confirmar adequadamente quem está sendo contratado, todas as camadas posteriores de segurança podem ser colocadas à prova por alguém que possui acesso legítimo.
Isso não significa transformar cada candidato em suspeito. O caminho é criar processos de verificação proporcionais ao nível de acesso da função e monitorar comportamentos anômalos depois da contratação.
A principal ameaça pode estar dentro da empresa
O experimento com a startup fictícia mostra uma mudança importante no cenário de cibersegurança.
Em vez de tentar invadir diretamente uma organização, grupos associados à Coreia do Norte podem buscar ser contratados por ela.
Essa estratégia combina engenharia social, falsificação de identidade, trabalho remoto e, em alguns casos, acesso técnico a sistemas corporativos.
Para empresas brasileiras e estrangeiras, a lição é clara: segurança não começa quando o funcionário entra na rede. Ela começa no processo de contratação.
