ФБР изъяло 187 устройств при рейдах более чем по 40 адресам в Техасе: следствие считает, что там работали фермы ноутбуков КНДР, помогавшие северокорейским гражданам устраиваться в американские компании под чужими именами. По данным Dark Reading, операция затронула схему, от которой пострадали свыше 70 компаний США. Для российских работодателей и распределённых команд это не экзотика из американской криминальной хроники, а наглядный пример того, почему проверка удалённого найма должна быть частью информационной безопасности.
Операцию правоохранителей назвали Operation Lonestar Roundup. В рамках дела обвинения предъявлены 14 людям, также сообщалось о задержаниях. Следствие рассматривает их как посредников: они обеспечивали физическое присутствие техники в США, подключали присланные работодателями ноутбуки к сети и давали удалённым исполнителям возможность выглядеть как сотрудники, работающие с американской территории. Именно эта бытовая деталь — ноутбук в нужной стране, домашний интернет и человек, готовый принять посылку, — делает схему опаснее обычного фишинга.
Механика таких операций довольно прагматична. Граждане КНДР или связанные с ними операторы выдают себя за разработчиков, инженеров и других IT-специалистов, используют поддельные либо похищенные персональные данные и проходят найм в зарубежные компании. После этого они получают зарплату, доступ к корпоративной инфраструктуре и рабочим данным. Деньги могут уходить в Северную Корею, а доступ — использоваться для сбора сведений, кражи интеллектуальной собственности или подготовки последующей атаки.
Слово «ферма» здесь не означает секретный дата-центр с рядами серверов. Это скорее сеть точек, где одновременно поддерживают в рабочем состоянии множество выданных сотрудникам устройств. Подобная инфраструктура давно знакома антифрод-командам по схемам с кликфродом и вредоносной рекламой. Теперь тот же принцип применяется к кадровому мошенничеству: работодателю может казаться, что он нанял специалиста из согласованной юрисдикции, хотя фактически ноутбук обслуживает посредник, а работу выполняет человек из другой страны.
В обсуждении Dark Reading редакторы отдельно обращают внимание на роль «обычных» участников схемы. Человек, которому доставляют несколько ноутбуков и просят включить их в розетку и интернет, не всегда воспринимает себя как соучастника шпионажа или киберпреступления. Его могут привлечь обещанием лёгкого заработка или оформить отношения как техническую подработку. Но когда такой посредник обслуживает десятки устройств, речь уже идёт не о случайной услуге, а о критическом звене инфраструктуры. Именно поэтому фермы ноутбуков КНДР трудно искоренить одними блокировками аккаунтов: за ними стоит офлайн-логистика.
Тренд не новый, но масштабы и устойчивость таких схем меняют отношение к нему. Несколько лет назад предупреждения о фиктивных северокорейских IT-сотрудниках могли выглядеть как очередная страшилка для конференционных слайдов. Теперь у следствия есть конкретные адреса, десятки фигурантов, сотни устройств и более 70 затронутых компаний. Для бизнеса это означает, что риск возникает не только на этапе выдачи привилегий. Он появляется ещё раньше — при проверке кандидата, его места работы, платёжных реквизитов и причин, по которым корпоративный ноутбук внезапно должен оказаться у третьего лица.
Разработчикам и руководителям инженерных команд полезно смотреть на эту проблему без паранойи, но с дисциплиной доступа. Новый сотрудник не должен автоматически получать ключи к продакшену, секреты CI/CD, клиентские выгрузки и права администратора только потому, что успешно прошёл собеседование. Нужны поэтапная выдача прав, разделение сред, контроль нестандартных подключений и понятная процедура инвентаризации выданной техники. HR и службе безопасности стоит заранее договориться, кто проверяет личность кандидата, кто подтверждает его локацию, а кто реагирует на несовпадения между заявленным профилем, устройством и поведением в корпоративных системах.
Рейды в Техасе вряд ли закроют рынок посредников: удалённая работа, дефицит специалистов и желание компаний быстрее закрывать вакансии дают таким схемам удобную почву. Следующий вопрос для отрасли звучит жёстче: сможет ли стандартный процесс найма отличить квалифицированного удалённого инженера от человека, который прошёл интервью под чужой личностью и уже ждёт доставки корпоративного ноутбука на чужой адрес.
