เกาหลีเหนือส่งสายลับ IT แทรกซึมบริษัทตะวันตก หาเงินเข้าประเทศผ่านการปลอมตัว
ภาพลักษณ์ของนักพัฒนาซอฟต์แวร์รุ่นใหม่ที่ใช้ชีวิตหรูหรา ดื่มไวน์ราคาแพง ทานสเต็กมื้อค่ำ และพักผ่อนในสระว่ายน้ำส่วนตัว อาจดูเหมือนความสำเร็จของสตาร์ทอัพในซิลิคอนวัลเลย์ แต่ในความเป็นจริง คนเหล่านี้คือ แรงงาน IT จากเกาหลีเหนือ ที่แฝงตัวเข้ามาทำงานในบริษัทตะวันตกเพื่อส่งรายได้กลับไปยังรัฐบาลในประเทศ
ข้อมูลล่าสุดจากบริษัทความปลอดภัยทางไซเบอร์ DTEX ได้เปิดเผยตัวตนของนักพัฒนาสองรายที่ใช้ชื่อปลอมว่า “Naoki Murano” และ “Jenson Collins” ซึ่งเชื่อว่าเคยปฏิบัติการในประเทศลาวก่อนจะย้ายไปยังรัสเซียในช่วงต้นปี 2024 โดย Murano ถูกระบุว่ามีความเชื่อมโยงกับการโจรกรรมเงินจากบริษัทคริปโต DeltaPrime มูลค่าถึง 6 ล้านดอลลาร์สหรัฐเมื่อปีที่ผ่านมา
กลยุทธ์การหาเงินของรัฐบาลเปียงยาง
เกาหลีเหนือภายใต้การนำของ คิม จอง อึน ได้เปลี่ยนการโจมตีทางไซเบอร์ให้กลายเป็นเครื่องมือหาเงินหลักของประเทศ โดยไม่ได้จำกัดอยู่เพียงแค่การจารกรรมข้อมูลทางทหารหรือทรัพย์สินทางปัญญา แต่ยังรวมถึงการขโมยคริปโตเคอร์เรนซีจำนวนมหาศาลเพื่อหลีกเลี่ยงการคว่ำบาตรและนำเงินไปพัฒนาอาวุธนิวเคลียร์
ตัวอย่างที่ชัดเจนคือเหตุการณ์ในเดือนกุมภาพันธ์ที่ผ่านมา ซึ่ง FBI รายงานว่าเกาหลีเหนือสามารถขโมยเงินจากแพลตฟอร์ม Bybit ได้สูงถึง 1.5 พันล้านดอลลาร์สหรัฐ นอกจากนี้ รัฐบาลยังส่งแรงงาน IT ฝีมือดีที่ผ่านการฝึกฝนอย่างเข้มงวดให้ปลอมตัวเป็นพนักงาน Remote Work (การทำงานทางไกล) เพื่อหลอกลวงบริษัทต่างๆ ให้จ้างงาน
| หัวข้อ | รายละเอียดการดำเนินงาน |
|---|---|
| วิธีการแทรกซึม | ใช้ตัวตนปลอม (Fake Personas) หรือขโมยอัตลักษณ์ผู้อื่นสมัครงานผ่านแพลตฟอร์มฟรีแลนซ์ |
| ฐานปฏิบัติการ | มักพำนักในประเทศจีน รัสเซีย และลาว |
| เป้าหมายหลัก | สร้างรายได้ส่งกลับรัฐบาล และจารกรรมข้อมูลทางเทคโนโลยี |
| เทคนิคอำพราง | ใช้ซอฟต์แวร์เปลี่ยนใบหน้าขณะสัมภาษณ์งาน และใช้ AI ช่วยตอบคำถามแบบเรียลไทม์ |
เบื้องหลังการทำงานและการควบคุมที่เข้มงวด
แม้ภายนอกจะดูเหมือนมีอิสระ แต่แรงงานเหล่านี้ถูกควบคุมอย่างใกล้ชิดโดย Ministry of State Security (MSS) หรือกระทรวงความมั่นคงแห่งรัฐ ซึ่งเป็นหน่วยงานตำรวจลับของเกาหลีเหนือ มีการติดตั้งกล้องวงจรปิดในที่ทำงานและใช้ซอฟต์แวร์ตรวจสอบการพิมพ์และการส่งข้อความ หากมีการกล่าวถึง คิม จอง อึน หรือเนื้อหาที่ไม่เหมาะสม ระบบจะแจ้งเตือนไปยังเซิร์ฟเวอร์ส่วนกลางทันที
ในด้านการเงิน แรงงานเหล่านี้ต้องทำยอดรายได้ตามโควตาที่รัฐกำหนด ตัวอย่างเช่น หากพนักงานหาเงินได้ 5,000 ดอลลาร์ต่อเดือน อาจได้รับเงินเก็บส่วนตัวเพียง 200 ดอลลาร์เท่านั้น ส่วนที่เหลือจะถูกส่งเข้าคลังของรัฐบาลทั้งหมด
โครงสร้างองค์กรที่ขับเคลื่อนด้วยอาชญากรรม
Michael Barnhart จาก DTEX อธิบายว่าปฏิบัติการของเกาหลีเหนือแตกต่างจากรัสเซียหรือจีน เพราะทำงานเหมือน “องค์กรอาชญากรรมที่รัฐสนับสนุน” โดยแบ่งหน้าที่ชัดเจน เช่น:
- 227 Research Center: เน้นการพัฒนา AI และการโจมตีทางไซเบอร์ ภายใต้การดูแลของ Reconnaissance General Bureau (หน่วยข่าวกรองหลัก)
- Ministry of National Defense: ดูแลทีมงานที่เน้นการจารกรรมและสร้างรายได้
- Munitions Industry Department: เน้นการสร้างรายได้จากการจ้างงาน IT เป็นหลัก
ข้อเท็จจริงสำคัญ
- การปลอมตัวขั้นสูง: มีการใช้รูปภาพที่ผ่านการตัดต่อและสร้างตัวตนปลอม เช่น กรณีของ “Benjamin Martin” ที่ใช้รูปภาพดัดแปลงเพื่อสมัครงานในสาย Web3
- ความผิดพลาดที่ทิ้งร่องรอย: เนื่องจากการเร่งทำยอดรายได้ ทำให้มักทิ้งหลักฐานไว้ เช่น การเปิด Github สาธารณะที่รวม CV และเครื่องมือไว้ หรือการตอบคำถามผิดพลาดระหว่างสัมภาษณ์
- การเปิดโปงครั้งใหญ่: DTEX ได้เผยแพร่รายชื่ออีเมลกว่า 1,000 ฉบับที่เชื่อว่าเชื่อมโยงกับเครือข่ายแรงงาน IT ของเกาหลีเหนือ
- การกวาดล้างของสหรัฐฯ: กระทรวงการคลังสหรัฐฯ ได้คว่ำบาตรบริษัทบังหน้าหลายแห่งในลาวและจีนที่สนับสนุนการจ้างงานนี้
คำถามที่พบบ่อย
แรงงาน IT เกาหลีเหนือใช้วิธีใดในการหลอกบริษัทให้จ้างงาน?
พวกเขาใช้การสร้างตัวตนปลอม (Fake Personas) โดยการขโมยข้อมูลผู้อื่นหรือสร้างประวัติการทำงานปลอมขึ้นมา รวมถึงใช้เทคโนโลยี AI และซอฟต์แวร์เปลี่ยนใบหน้าเพื่ออำพรางตัวตนระหว่างการสัมภาษณ์งานผ่านวิดีโอ
ทำไมบริษัทต่างๆ ถึงไม่สามารถตรวจพบได้ตั้งแต่แรก?
เนื่องจากแรงงานเหล่านี้มีความสามารถทางเทคนิคสูงและใช้การทำงานแบบ Remote Work ซึ่งเป็นเรื่องปกติในปัจจุบัน ประกอบกับการใช้ตัวตนปลอมที่ดูน่าเชื่อถือ ทำให้บริษัทจำนวนมาก รวมถึงบริษัทใน Fortune 500 ตกเป็นเหยื่อโดยไม่รู้ตัว
เงินที่ได้จากการทำงานถูกนำไปใช้ทำอะไร?
รายได้ส่วนใหญ่จะถูกส่งกลับไปยังรัฐบาลเกาหลีเหนือ เพื่อนำไปใช้เป็นทุนในการพัฒนาอาวุธนิวเคลียร์ และใช้ในการบริหารประเทศเพื่อหลีกเลี่ยงผลกระทบจากการถูกคว่ำบาตรทางเศรษฐกิจ
เราจะสังเกตเห็นสัญญาณเตือนของพนักงานที่เป็นสายลับ IT ได้อย่างไร?
สัญญาณเตือนอาจรวมถึงความผิดปกติในประวัติการทำงาน (CV) ที่ไม่สอดคล้องกัน การใช้เครื่องมือสื่อสารที่ผิดปกติ หรือการมีพฤติกรรมหลบเลี่ยงเมื่อถูกถามคำถามส่วนตัวที่เฉพาะเจาะจงเกี่ยวกับประเทศบ้านเกิด
