Le truffe legate al lavoro da remoto attribuite a operatori collegati alla Corea del Nord stanno evolvendo e non riguardano più solo il settore IT. Diverse indagini mostrano un ampliamento verso ruoli in ambito sanitario e in aree commerciali come vendite, marketing e servizi.
Il modello è quello della frode occupazionale da remoto, in cui candidati con identità false o rubate riescono a farsi assumere da aziende internazionali e a generare entrate continuative, riducendo al minimo i segnali tipici di un attacco informatico tradizionale.
Il punto critico è che questi soggetti spesso svolgono davvero parte del lavoro richiesto, rendendo più difficile la rilevazione. La catena di inganno include documenti di identità contraffatti, utilizzo di VPN e proxy per mascherare la posizione reale e procedure di onboarding manipolate con prove di residenza alterate. In un caso in ambito healthcare, anomalie nei documenti e nelle bollette elettroniche, insieme a connessioni ripetute tramite servizi VPN e proxy, hanno fatto emergere sospetti su più dipendenti che impersonavano cittadini di altri paesi.
Un altro elemento ricorrente è l’uso di infrastrutture come laptop farm, cioè dispositivi fisici presenti in un paese diverso da quello dell’operatore, controllati a distanza. Strumenti come KVM over IP consentono di gestire il computer aziendale come se si fosse davanti allo schermo, superando controlli basati su geolocalizzazione o fingerprinting. In uno scenario osservato, l’installazione di un sistema KVM è stata seguita dall’uso di una scheda di acquisizione video per inviare lo streaming come input webcam nelle piattaforme di videoconferenza, aumentando la credibilità durante meeting e verifiche.
La sofisticazione cresce anche grazie all’intelligenza artificiale. Durante i colloqui, alcuni candidati possono usare trascrizione in tempo reale e chatbot per generare risposte immediate, talvolta ripetendo testi standard. Sono stati inoltre segnalati profili sintetici con foto generate e una gestione industrializzata delle candidature, con decine di domande al giorno su più piattaforme e tracciamento dettagliato delle identità.
Per ridurre il rischio, la prevenzione deve partire dal recruiting. Verifica rigorosa dei documenti, controlli di background, ricerca online delle informazioni dichiarate, validazione della storia lavorativa e attenzione a incongruenze linguistiche o comportamentali. Anche la richiesta di passaggi di verifica più robusti, inclusi momenti in presenza quando possibile, può limitare l’esposizione a questa forma di insider threat.