Beobachtungen
Nachrichtendienste der Demokratischen Volksrepublik Korea (Nordkorea) nutzen eigene Staatsbürger (IT-Spezialisten) zur Devisenbeschaffung. Hierzu bieten diese unter falscher Identität ihre Arbeitskraft per Telearbeit an. Die Vergütungen dieser IT-Fachkräfte sind im unteren Preissegment angesiedelt. Ziel ist es, Anstellungen oder Projektaufträge bei Unternehmen weltweit, auch in Baden-Württemberg, zu erlangen. Die Beschäftigung erfolgt in der Regel vollständig remote, was den Aufenthaltsort und die Identität des Beschäftigten verschleiert. Die Einkünfte aus diesen Beschäftigungen dienen nach Erkenntnissen der Sicherheitsbehörden der Finanzierung des Regimes sowie dessen Waffen- und Raketenprogrammen. Nach erfolgreicher Einstellung besteht zudem die Möglichkeit des Datendiebstahls, der Ausspähung von Geschäftsgeheimnissen sowie die Vorbereitung von anderen Cyberoperationen gegen das betroffene Unternehmen.
Methoden
Die eingesetzten IT-Fachkräfte nutzen unterschiedliche Täuschungs- und Verschleierungsmethoden.
Hierzu gehören
- die Verwendung gestohlener oder gefälschter Identitäten und Bewerbungsunterlagen,
- der Einsatz gefälschter oder erfundener professionell wirkender Lebensläufe, Referenzen und Zertifikate,
- die Nutzung von VPN- und Proxy-Infrastrukturen,
- die Zusammenarbeit mit Vermittlern in Drittstaaten,
- die vorrangige Durchführung von Kommunikation via Teams oder Messengern,
- und die Beantragung von weitreichenden Zugriffsrechten auf Entwicklungs-, Cloud- oder Administrationssysteme.
Attribution
Dieser Modus Operandi kann Nordkorea zugeordnet werden. Unternehmen die IT-Fachkräfte Nordkoreas beschäftigen unterstützen die Devisenbeschaffung des Regimes und helfen mittelbar deren Nuklear- und Raketenprogramm zu finanzieren. Weiterhin können Sanktionsverletzungen zu juristischen Konsequenzen und Compliance-Verstöße zu einem Reputationsverlust führen.
Empfehlungen
Wir empfehlen eine Anpassung der Einstellungs- und Sicherheitsprozesse im Unternehmen (Pre-Employment Screening).
Die Identität von Bewerbern sollte vor der Einstellung sicher verifiziert werden. Zudem sollten Referenzen, Qualifikation sowie der Lebenslauf auf Plausibilität geprüft und eine besondere Aufmerksamkeit auf ausschließlich remote durchgeführte Einstellungsverfahren gelegt werden. Versenden Sie Arbeitsausstattung nur an die Adresse, welche auf verifizierten Ausweispapieren angegeben ist. Zugriffsrechte empfehlen wir nach dem Least-Privilege-Prinzip zu vergeben und regelmäßig das Erfordernis von privilegierten Rechten zu prüfen. Achten Sie auf ungewöhnliche Anmeldeorte, Gerätewechsel sowie entsprechende Netzwerkaktivitäten.
Abschließend raten wir zur Sensibilisierung von HR-, Recruiting- und IT-Sicherheitsbereichen im Unternehmen. Melden Sie Verdachtsfälle möglichst frühzeitig den Sicherheitsbehörden.