Схема фиктивного найма КНДР вышла за пределы IT
Исследователи Huntress обнаружили предполагаемых работников КНДР не только в IT, но и в австралийской медицинской компании, а также среди нанятых в продажи и маркетинг. Отдельно Recorded Future связала кластер PurpleDelta с заявками более чем в 1 100 компаний и 22 вымышленными личностями.
Схема строится не на прямом взломе инфраструктуры, а на получении удалённой работы под чужими или синтетическими личностями. Такие сотрудники могут выполнять задачи, для которых были наняты, одновременно скрывая реальное местоположение и личность.
Медицина, финансы и продажи
В феврале 2026 года три сотрудника австралийской компании из сферы здравоохранения были отмечены как предполагаемые граждане КНДР, выдававшие себя за китайцев. Huntress указала на регулярные подключения через Astrill VPN и IPRoyal Proxy, подозрительные документы, сходство двух паспортов и аномалии в электронных счетах, представленных при онбординге.
В другой организации финансового сектора на устройстве «сотрудника» обнаружили PiKVM. KVM-переключатели PiKVM и TinyPilot ранее связывали со схемой «ферм ноутбуков»: оператор удалённо управляет устройством, физически размещённым в другой стране. Позднее к тому же устройству подключили USB-карту захвата Guermok, способную передавать видеопоток как сигнал веб-камеры для Zoom.
В августе Huntress расследовала случай с новым сотрудником отдела продаж и маркетинга, принятым 13 днями ранее. По оценке исследователей, для трудоустройства использовалась украденная или заимствованная личность: сведения реального человека были доступны после публикации правоохранительными органами, а лицо на изображении заменили.
Как PurpleDelta автоматизирует обман
Insikt Group компании Recorded Future наблюдала заявки PurpleDelta как минимум на 60 вакансий в день через десять платформ. Операторы, предположительно находящиеся в Китае, применяли браузеры для управления множеством аккаунтов, отдельные профили Google Chrome и таблицы для координации заявок.
Часть персон создавалась с помощью ИИ, а документы получали через нелегальный сервис TrustID Card. На интервью использовались запись экрана, ИИ-транскрибация и чат-боты для ответов в реальном времени; Recorded Future отмечала случаи дословного повторения ответов ChatGPT. После найма операторы записывали внутренние встречи и с помощью Google Translate готовили объяснения для использования личных устройств и банковских счетов.
Что проверить при найме
Huntress рекомендует начинать снижение риска ещё на этапе интервью и проводить тщательную проверку до онбординга. В неё входят поиск кандидата в открытых источниках, подтверждение истории работы и проверка документов. Совместное предупреждение властей США, Японии, Южной Кореи, Австралии, Канады, Франции, Германии, Италии, Нидерландов, Новой Зеландии и Великобритании также призывает усилить верификацию личности и выявление подозрительных аккаунтов.
Для бизнеса это означает необходимость рассматривать рекрутинг как часть защиты доступа: проверять несоответствия в личности и документах, внимательно относиться к необычным способам удалённого управления техникой и не отделять кадровую проверку от требований санкционного комплаенса.