Tin tặc Triều Tiên chiêu trò mới: Trả 500 USD thuê người phỏng vấn, rồi thay thân xác vào làm việc

Bài viết gốc｜Odaily（@OdailyChina）

Tác giả｜Wenser（@wenser 2010）

Bạn còn nhớ tên hacker Triều Tiên từng xâm nhập vào ví MetaMask thông qua nhà thầu phụ không? (Đọc thêm "Suýt nữa thì toang! Một nhân viên nhà thầu phụ suýt phá hủy MetaMask")

Còn tên hacker Triều Tiên bị một công ty DeFi giả mạo câu cá và công khai vạch trần thì sao? (Đọc thêm "Màn câu cá hoành tráng của năm: DeFi giả câu được hacker Lazarus Triều Tiên thật")

Giống như các công ty bảo mật chủ động câu cá, hacker Triều Tiên cũng đang không ngừng nâng cấp "phương thức tấn công" của mình, từ khai thác lỗ hổng kỹ thuật ban đầu, đến tấn công kỹ nghệ xã hội sau đó, rồi đến việc tham gia các dự án nhà thầu phụ, làm việc từ xa cho các dự án crypto. Gần đây, phương thức thâm nhập của chúng lại có chiêu trò mới: trước tiên thuê người vượt qua phỏng vấn tại các công ty crypto, sau đó tự mình mạo danh nhận vị trí, nằm vùng bên trong chờ thời cơ, cuối cùng thông qua tấn công kỹ thuật từ bên trong để đánh cắp tài sản crypto và thông tin nhạy cảm.

Sau một tháng, cuộc chiến giữa các công ty bảo mật và hacker Triều Tiên đã có tiến triển mới, và một kiểu lừa đảo mới cũng theo đó mà lộ diện.

"Cách mạng đường vòng": Hacker thuê người phỏng vấn rồi tiếp quản vị trí, cuối cùng chỉ để "báo đáp tổ quốc"

Trước tiên hãy cùng tìm hiểu "thành tích" của hacker Triều Tiên: Dữ liệu từ công ty bảo mật CrowdStrike cho thấy, năm 2025, thiệt hại crypto do hacker và các tác nhân đe dọa có liên hệ với nhà nước Triều Tiên gây ra vượt quá 2 tỷ USD, tăng 51% so với cùng kỳ; Ngân hàng Trung ương Hàn Quốc ước tính, bất chấp các lệnh trừng phạt chung trên phạm vi toàn cầu, tốc độ tăng trưởng tổng sản phẩm quốc nội (GDP) của Triều Tiên năm 2025 vẫn đạt tới 3,5%.

Thông tin hiện có thể xác nhận là, hacker Triều Tiên với tư cách "đội tuyển quốc gia" cũng đã đóng góp một phần quan trọng vào tăng trưởng kinh tế của nước này.

Ngày 31 tháng 7 năm nay, Bộ Ngoại giao và FBI của chính phủ Mỹ đã cùng 11 quốc gia bao gồm Nhật Bản, Hàn Quốc, Australia, Canada, Pháp, Đức, Ý, Hà Lan, New Zealand và Anh đưa ra một báo cáo an ninh mang tiêu đề "Cảnh báo về lao động IT Triều Tiên".

Lượng thông tin trong báo cáo không hề nhỏ, các nội dung then chốt bao gồm những thông tin sau:

Thứ nhất, Triều Tiên dựa vào mạng lưới nhà phát triển kỹ thuật được triển khai cả trong và ngoài nước để hoạt động đối ngoại, thông qua việc cử những nhân viên kỹ thuật này để có được danh tính giả, làm việc từ xa kiếm tiền, cuối cùng chuyển thu nhập từ lương về tài khoản của các cơ quan chính phủ Triều Tiên. Số tiền liên quan cuối cùng được sử dụng cho việc phát triển và thúc đẩy các chương trình vũ khí hạt nhân và tên lửa đạn đạo của Triều Tiên.

Thứ hai, xét về nội dung công việc cụ thể của hacker Triều Tiên, những nhà phát triển kỹ thuật này thường mạo danh công dân của các quốc gia khác để có được việc làm và thu nhập lương tương ứng trên các nền tảng tuyển dụng, mua sắm và thầu phụ trực tuyến do các công ty tư nhân ở nước ngoài vận hành.

Thứ ba, ngoài ra, nhân viên dịch vụ kỹ thuật Triều Tiên không chỉ kiếm được mức lương nhân viên thông thường, mà còn tạo thành mối đe dọa nội bộ cực cao đối với thông tin thương mại và tài sản thương mại của doanh nghiệp mà họ gia nhập. Một phần đáng kể trong số họ đã nhân cơ hội này tham gia vào việc đánh cắp dữ liệu thông tin, đánh cắp crypto và đánh cắp thông tin nhạy cảm.

Cuối cùng, xét về phương thức thực hiện cụ thể, các hoạt động chuẩn bị cũng như thủ đoạn thao tác của hacker Triều Tiên ngày càng phức tạp, trong đó thậm chí còn bao gồm việc sử dụng các mô hình AI và ứng dụng để tạo danh tính giả và tiến hành các hoạt động bất hợp pháp trên phạm vi toàn cầu.

Đáng chú ý là, thông tin quan trọng nhất được đề cập trong báo cáo này là, trên cơ sở "phỏng vấn trực tiếp" trước đây, hacker Triều Tiên gần đây đã nâng cấp "quy trình làm việc" của mình——

• Hiện nay, chúng thường tuyển trước một số nhân viên kỹ thuật từ các quốc gia thứ ba (như Iran, Lebanon, v.v.) thông qua các trang tuyển dụng như LinkedIn;
• Sau đó, hacker Triều Tiên sẽ yêu cầu một số nhà phát triển kỹ thuật làm việc bán thời gian với tư cách "người hỗ trợ phỏng vấn", trả thù lao bằng crypto 500 USD mỗi tháng để đối phương hỗ trợ mình gia nhập công ty mục tiêu.
• Cuối cùng, hacker Triều Tiên tự mình thay thế, gia nhập công ty mục tiêu và trở thành một thành viên trong nhóm, qua đó thực hiện thâm nhập kỹ thuật, vừa kiếm được mức lương tương ứng với vị trí, vừa chờ thời cơ đánh cắp thông tin và dữ liệu nhạy cảm tương ứng, tài sản crypto và mã kỹ thuật cùng các tài sản thương mại khác.

Không nghi ngờ gì nữa, trong cuộc chiến tấn công phòng thủ an ninh không ngừng leo thang, hacker Triều Tiên cũng đang dần nâng cấp "SOP (quy trình làm việc)" của mình, và mục đích cuối cùng của chúng, tất nhiên là chuyển tiền về nước.

Danh sách tự kiểm tra mức độ thâm nhập của hacker Triều Tiên: Từ thông tin cá nhân nhân viên đến thói quen diễn đạt hàng ngày

Hiện tại, thủ đoạn phạm tội của hacker Triều Tiên khó lường, nhưng vẫn có dấu vết có thể theo dõi. Dưới đây là một số tín hiệu mà các công ty cần cảnh giác và tự kiểm tra:

Đối với các công ty vận hành nền tảng trực tuyến, cần đặc biệt chú ý đến các khía cạnh sau:

• Nhân viên thường xuyên thay đổi thông tin đăng ký (tên tài khoản, thông tin liên lạc, tài khoản ngân hàng nhận tiền, v.v.).
• Tên người sở hữu giấy tờ tùy thân của nhân viên không khớp với tên tài khoản thanh toán đã đăng ký.
• Sử dụng cùng một tài liệu danh tính để tạo nhiều tài khoản nhận tiền.
• Tài liệu xác minh danh tính nghi ngờ bị làm giả hoặc được tạo, chỉnh sửa bằng phần mềm chỉnh sửa ảnh, công cụ tạo ảnh AI.
• Nhiều tài khoản kỹ thuật gửi yêu cầu truy cập từ cùng một địa chỉ IP.
• Một tài khoản duy nhất gửi yêu cầu truy cập từ nhiều địa chỉ IP trong thời gian ngắn.
• Tài khoản duy trì trạng thái đăng nhập trong thời gian dài bất thường.
• Tổng số giờ làm việc tích lũy hoặc các chỉ số công việc liên quan bất thường (như thời gian online quá lâu, hiệu suất làm việc quá cao, khối lượng công việc quá lớn).
• Người dùng trang tuyển dụng tự biên soạn đánh giá giả để nâng cao điểm số trên trang web việc làm, v.v.

Đối với các công ty tuyển dụng nhân viên hoặc tiến hành phỏng vấn, thuê nhà thầu phụ, chú ý đến các chi tiết sau có thể kịp thời tránh sự thâm nhập nội bộ của hacker Triều Tiên:

• Hồ sơ cá nhân của ứng viên có lỗi hoặc cách diễn đạt không tự nhiên (nghi ngờ dịch máy), tuyên bố không thành thạo ngôn ngữ bản địa trong thông tin danh tính của mình (xét đến sự phổ biến của dịch vụ dịch AI, chỉ có thể chú ý nhiều hơn đến cách diễn đạt ngôn ngữ của họ).
• Chi tiết giả mạo bị lộ trong cuộc họp video, như ảnh không khớp với thông tin danh tính; hình ảnh video cuộc họp được tạo bởi AI hoặc do bên thứ ba phối hợp, cách diễn đạt ngôn ngữ và động tác, thần thái không tự nhiên.
• Nhân viên được phỏng vấn từ chối tham gia cuộc họp video, từ chối lộ mặt.
• Báo giá thù lao lao động thấp hơn mức giá thị trường chung thông thường.
• Cho thấy tài khoản kỹ thuật cá nhân của họ được vận hành bởi nhiều người (thường cho thấy các hoạt động hacker kiểu này thường vận hành theo nhóm, đối tượng tương tác thực sự có thể thay đổi theo thời gian).
• Yêu cầu thanh toán thù lao tương ứng bằng crypto, từ chối cung cấp thông tin tài khoản ngân hàng và tài khoản thanh toán đầy đủ.