Lavoratori IT nordcoreani nelle aziende: la truffa remota

Il Dipartimento di Giustizia degli Stati Uniti ha annunciato nuove azioni contro una rete di lavoratori IT legati alla Corea del Nord che avrebbe colpito oltre 70 aziende statunitensi. Il caso non riguarda solo l’hacking tradizionale: il punto centrale è l’infiltrazione tramite lavoro remoto, identità false e dispositivi aziendali spediti a persone che non erano davvero i dipendenti dichiarati.

Secondo il comunicato ufficiale del DOJ, l’operazione ha portato a incriminazioni, arresti, perquisizioni in Texas e al sequestro di circa 187 dispositivi informatici. L’accusa parla di schemi legati al regime nordcoreano per ottenere lavoro IT da remoto, generare entrate e aggirare sanzioni e controlli aziendali.

Cosa sono le “laptop farm” usate dai lavoratori IT nordcoreani

Le “laptop farm” sono luoghi in cui vengono raccolti e gestiti computer aziendali intestati a presunti dipendenti remoti. L’azienda crede di aver spedito il portatile alla persona assunta, ma il dispositivo può essere controllato da intermediari o usato per far apparire il lavoratore come se si trovasse nel Paese richiesto dal contratto.

Il meccanismo è efficace perché sfrutta una zona grigia del lavoro remoto: onboarding a distanza, colloqui video limitati, documenti apparentemente validi, accessi VPN e consegna dei dispositivi fuori sede. Se i controlli sono deboli, un candidato falso può entrare nei sistemi interni con credenziali reali, non con una vulnerabilità tecnica.

Perché non è solo un problema americano

Il caso riguarda aziende statunitensi, ma il rischio interessa anche imprese europee che assumono sviluppatori, consulenti IT, operatori cloud o figure tecniche completamente da remoto. Il problema non è la nazionalità del candidato: è l’assenza di verifiche robuste sull’identità, sulla posizione reale, sul dispositivo usato e sugli accessi concessi nei primi giorni di lavoro.

La truffa è diversa dal classico phishing. Qui l’attaccante prova a diventare un utente legittimo. Una volta assunto, può accedere a repository, sistemi interni, ambienti di sviluppo, strumenti di ticketing, documentazione, canali aziendali e, nei casi peggiori, dati di clienti o credenziali operative.

I segnali da controllare durante assunzione e onboarding

• documenti d’identità o profili professionali incoerenti tra loro;
• rifiuto sistematico di videochiamate o richieste di usare solo chat;
• indirizzi di spedizione diversi da quelli dichiarati dal candidato;
• accessi da Paesi, VPN o orari incompatibili con il contratto;
• richiesta di usare strumenti di desktop remoto non autorizzati;
• più candidati con curriculum, portfolio o profili social molto simili;
• necessità improvvisa di far configurare il computer da una terza persona.

Questi segnali non dimostrano da soli una frode. Servono però a decidere quando approfondire prima di concedere privilegi estesi. La verifica deve avvenire prima che il nuovo account abbia accesso a repository, segreti, ambienti cloud o dati sensibili.

Cosa dovrebbero fare le aziende

La difesa più utile è combinare controlli HR, sicurezza e IT. Non basta verificare il documento una volta: serve controllare chi usa davvero il dispositivo, da dove accede e quali privilegi riceve nelle prime settimane.

• applicare il principio del minimo privilegio fin dal primo giorno;
• separare ambienti di sviluppo, produzione e dati sensibili;
• monitorare anomalie di accesso, geolocalizzazione e uso di VPN;
• bloccare software di controllo remoto non approvati;
• verificare l’indirizzo fisico di consegna dei dispositivi aziendali;
• usare controlli di identità periodici per ruoli ad alto rischio;
• rivedere gli account di contractor e consulenti esterni con scadenze chiare.

Nel nostro archivio questo tema si collega al precedente approfondimento sugli attacchi nordcoreani contro sviluppatori e registro npm: in entrambi i casi l’obiettivo non è solo violare un sistema, ma inserirsi nella catena del software e sfruttare la fiducia concessa a chi lavora sul codice.

La lezione per chi lavora da remoto

Il lavoro remoto non è il problema. Il problema è trattarlo come se avesse gli stessi controlli fisici dell’ufficio. Se l’azienda non verifica identità, dispositivo, posizione e privilegi, un attaccante può entrare dalla porta principale con badge digitale e accessi regolari.

Per questo il caso DOJ è utile anche fuori dagli Stati Uniti: mostra che la sicurezza non dipende solo da antivirus, firewall e patch. Dipende anche da procedure di assunzione, gestione dei portatili, monitoraggio degli accessi e revoca rapida dei privilegi quando qualcosa non torna.