C’è un segreto che quasi tutte le aziende della classifica Fortune 500 condividono e che nessuna vorrebbe ammettere: da qualche parte, nei loro organici, hanno assunto un informatico nordcoreano sotto copertura.
Non si tratta di un caso isolato ma di una vera e propria strategia industriale portata avanti da Pyongyang per aggirare le sanzioni e raccogliere valuta pregiata. È un fenomeno che ha assunto proporzioni tali da mettere in allarme le più grandi società di cybersicurezza e perfino giganti come Google.
Agenti sotto copertura, business miliardario
Come racconta Axios, per la Corea del Nord il reclutamento di informatici da remoto è diventato una fonte di denaro indispensabile. E le aziende occidentali, a caccia di talenti IT da remoto, finiscono spesso per aprire le porte a candidati che non sono ciò che dicono di essere.
Curriculum impeccabili, profili LinkedIn curati e identità digitali sofisticate fanno il resto. In questo modo, stipendi che possono raggiungere cifre elevate per sviluppatori e specialisti di sicurezza IT, vengono canalizzati verso Pyongyang attraverso società di comodo in Cina o circuiti di criptovalute.
Gli esperti parlano di un’operazione che ricorda in tutto e per tutto la struttura di una multinazionale. A coordinarla ci sono uffici governativi nordcoreani, società di facciata con sede in Cina e persino complici americani disposti a fornire supporto logistico.
Il loro ruolo è centrale nel sistema delle cosiddette “laptop farm”, vere e proprie basi operative allestite in appartamenti o piccoli uffici negli Stati Uniti.
Il meccanismo è semplice ma efficace: dopo essere stati assunti sotto falsa identità, i lavoratori nordcoreani chiedono che il portatile aziendale venga spedito a un indirizzo americano, con scuse plausibili come un trasloco improvviso o un’emergenza familiare.
In realtà, quel computer finisce nelle mani di un complice che lo configura e installa software di accesso remoto, così da permettere al vero lavoratore (spesso collegato da Pyongyang o da basi in Cina), di usarlo come se fosse fisicamente negli Stati Uniti.
Queste farm possono ospitare decine di computer, tutti collegati a reti locali diverse, così da moltiplicare le identità lavorative e ridurre i sospetti. È un sistema che ha già attirato l’attenzione delle autorità: lo scorso luglio l’FBI ha condotto perquisizioni in 21 località di 14 stati, sequestrando 137 laptop pronti all’uso.
Identità rubate e tecniche raffinate
A rendere il fenomeno ancora più insidioso è la sofisticazione con cui viene gestito. Gli informatici nordcoreani rubano identità reali, spesso appartenenti a cittadini statunitensi, anche deceduti, e costruiscono documenti falsi come tessere della previdenza sociale, patenti e bollette.
L’inganno è reso ancora più difficile da smascherare grazie all’impiego di strumenti di intelligenza artificiale per generare curriculum credibili, gestire decine di candidature contemporaneamente e perfino creare identità digitali capaci di affrontare colloqui tecnici online.
Non mancano figure dedicate a recitare la parte dei candidati durante le interviste, con un inglese fluente e competenze sufficienti a superare test di programmazione. Solo dopo l’assunzione, il lavoro viene passato a sviluppatori che spesso gestiscono più incarichi contemporaneamente sotto diverse identità.
Infiltrazioni coreane, un problema per tutti
Non si tratta soltanto di grandi aziende. Anche realtà di medie dimensioni che si affidano a consulenti esterni o piattaforme come Upwork e Fiverr, hanno scoperto di aver avuto in squadra programmatori nordcoreani.
Secondo CrowdStrike, solo nell’ultimo anno ci sono stati oltre 320 casi documentati di assunzioni fraudolente. Google stessa ha dichiarato di aver ricevuto candidature sospette, mentre la società di formazione KnowBe4 ha ammesso di aver effettivamente assunto un lavoratore IT proveniente da Pyongyang.
A complicare ulteriormente la gestione del problema c’è un paradosso: molti di questi lavoratori sotto copertura sono estremamente competenti, tanto che i manager faticano a credere di aver portato in azienda un infiltrato.
Un documento d’identità falso utilizzato da un informatico nordcoreano. Foto: Dipartimento di Giustizia americano.
“Meglio che abbiate ragione, perché quello è il mio uomo migliore”, ha commentato un dirigente quando gli è stato detto che uno dei suoi sviluppatori era con tutta probabilità un impostore nordcoreano.
Quando la copertura salta, il finale può essere ancora più spiacevole. Alcuni dipendenti colti in fallo scaricano dati riservati e minacciano di divulgarli a meno di ricevere un riscatto. Altri si rivolgono perfino alla giustizia americana con denunce strumentali.
C’è ad esempio chi ha presentato richieste di risarcimento per infortuni sul lavoro e chi ha tentato di invocare le tutele contro la violenza domestica pur di guadagnare tempo e ostacolare il licenziamento.
Uno scenario in evoluzione
Finora l’obiettivo principale è stato quello di generare denaro ma gli analisti temono un salto di qualità. Le unità coinvolte, dalle note Lazarus alle nuove cellule di ricerca sull’IA, stanno raccogliendo know-how e dati preziosi.
Secondo Michael Barnhart di DTEX Systems, esiste già l’intenzione di sfruttare l’intelligenza artificiale per amplificare esponenzialmente le attività in corso, inclusi furti di proprietà intellettuale e spionaggio.
Il timore più grande riguarda la difesa: sono sempre più frequenti i segnali di interesse verso tecnologie strategiche come droni e sistemi di intelligenza artificiale applicati al settore militare. E mentre le aziende statunitensi alzano il livello di attenzione, i lavoratori nordcoreani stanno spostando il mirino sull’Europa, con laptop farm individuate in Polonia, Romania e Regno Unito.
La sensazione è che il fenomeno sia appena all’inizio e che il mercato globale del lavoro remoto, nato come opportunità di apertura e collaborazione, sia diventato l’ennesimo fronte di una lunga guerra digitale.
