Severnokorejski režim že več kot desetletje devize zbira tudi s hekerskimi in z izsiljevalskimi napadi, kjer so kriptovalute najpripravnejši plen. Precej manj izpostavljeno pa je tiho in marljivo delo severnokorejskih zaposlenih na daljavo, ki pod različnimi pretvezami delajo za ameriška podjetja in v svojo državo na skrivaj pošiljajo milijone dolarjev. Več sto podjetij ima med zaposlenimi severnokorejske operativce, ne da bi to sploh vedela.
Navsezgodaj 27. oktobra 2023 so agentje FBI potrkali na vrata Christine Chapman, ki je živela neizstopajoče življenje v majhnem kraju Litchfield Park v Arizoni. S seboj so imeli sodno odredbo za hišno preiskavo, ki se je kmalu izkazala za zelo upravičeno. Odkrili so pravo farmo prenosnih računalnikov, več kot 90 jih je bilo, ki so bili povezani z internetom in oddaljeno dostopni iz tujine. Na vsak računalnik je bil prilepljen listek s podatki o identiteti uporabnika in ameriškem podjetju, ki ga je poslalo zaposlenemu na daljavo.
Slabi dve leti pozneje, 24. julija 2025, je bila Christina Chapman obsojena na osem let in pol zapora, ker je v letih 2020–2023 več kot 300 ameriških podjetij prevarala za vsaj 17 milijonov dolarjev. A Christina Chapman ni bila milijonarka, temveč zgolj solidno situirana mula, ki je veliko večino denarja vestno posredovala v Severno Korejo. Najbolj zaprta država na svetu, za katero stroge sankcije veljajo od jedrskih testov leta 2006, je iz ameriških nedrij vsako leto črpala milijone dolarjev.
Da je v sodobnem, hiperpovezanem svetu na voljo več možnosti za čezmejno pridobivanje deviz, je severnokorejski voditelj Kim Džong Un spoznal že med svojim šolanjem v Švici. Pod vladavino njegovega očeta je bila Severna Koreja praktično odrezana od informacijskih tokov. Še leta 2010 je imela država eno samo povezavo do mednarodnega spleta, ki je bila seveda skrbno varovana in dostopna le najvišjim uradnikom. Ko je Kim Džong Un leto za tem prevzel oblast, se je odločil internet uporabiti v svoj prid.
Leta 2012 je šole pozval, naj okrepijo poučevanje računalništva. V srednje šole so uvedli predmet informatika, na fakultetah so se pojavili predmeti o informacijski varnosti, robotiki in inženirstvu. Najboljši študenti so dobili možnost študija hekerskih taktik in tujih jezikov. Ponudbe so bile mikavne: dobro plačilo in dostop do pravega, necenzuriranega interneta. A v zameno so morali na internetu izpolnjevati tajne misije režima.
Začelo se je s preprostimi vdori na spletne strani, kjer so priobčili propagandna sporočila ali jih z distribuiranimi napadi s preobremenitvijo (DDoS) onesposobili. Prelomnica, vsaj v mednarodni zavesti, je bil vdor v Sony Pictures leta 2014. Tedaj so na internet ušli podatki o zaposlenih in njihovih družinskih članih, finančne informacije vključno s plačami, še neizdana vsebina, zlasti filmi, in druge poslovne skrivnosti. Za nameček so podatke na okuženih računalnikih izbrisali.
Da je napad povezan s Severno Korejo, je bilo hitro jasno. Skupina, ki je prevzela odgovornost za napad, je zahtevala umik prihajajočega filma Intervju (The Interview), politične satire o Kim Džong Unu. Ker so grozili tudi s terorističnimi napadi, v nekaterih kinematografih filma niso predvajali, Sony pa je odstopil od uradne premiere, dasiravno je film vseeno izšel. Uradno Severna Koreja ni nikoli priznala, da je bil napad državno sponzoriran, ZDA pa so leta 2018 vložile obtožnico proti znanemu severnokorejskemu hekerju, ki naj bi bil odgovoren tudi za zloglasne napade WannaCry leta 2017. Medtem v Pjongjangu trdijo, da Park Jin Hyok sploh ne obstaja.
V Južni Koreji so prve resne napade iz severne sosede beležili že od leta 2009. Dotlej najresnejši napad se je zgodil leta 2013, ko so bile tarče medijske hiše KBS, MBC in YTN ter tri finančne institucije. Odtlej so bili severnokorejski hekerji med rednimi osumljenci in – če verjamemo zahodnim strokovnjakom in organom – tudi storilci številnih hekerskih vdorov.
Nekaj let pozneje je severnokorejsko vodstvo odkrilo, da so lahko hekerski napadi tudi odličen vir denarja, ki je lahko od izuma kriptovalut nenadoma neovirano potoval po svetu. Prvi večji napad je bil še klasičen, ko so februarja 2016 nepooblaščeno dostopili v svetovni plačilni sistem SWIFT. Po vdoru v bangladeško centralno banko so hekerji z vnosom nalogov v SWIFT poskušali prenesti milijardo dolarjev, ki so bili na računih te banke pri newyorški centralni banki, a jim je uspelo izmakniti le 101 milijon dolarjev, od katerih je bilo kasneje uspešno vrnjenih le 35 milijonov dolarjev, preostalih 66 milijonov dolarjev pa je izginilo na Filipinih.
Hekerji so vdrli v računalniški sistem bangladeške banke in opazovali običajno delovanje in poslovanje, nato pa so med vikendom (4.–5. februar 2016) uporabili prestrežene prijavne podatke in poznavanje delovanja, da so vnesli lažne zahtevke za prenos sredstev. Pri tem so bili nekoliko površini, saj so besedo fundacija v angleščini večkrat nápak zapisali (Fandation in Fundation namesto Foundation), zaradi česar je ena izmed posredniških bank ustavila nadaljnje transakcije. Storilcev niso nikoli izsledili, več neodvisnih strokovnjakov in ameriško tožilstvo pa s prstom kažejo na skupino Lazarus, ki deluje pod patronatom severnokorejskega vodstva.
Naslednji napadi so bili že bolj sofisticirani in težje izsledljivi, saj so se preusmerili v izsiljevanje in sprejemanje odkupnine v kriptovalutah. Tak primer je bil napad z izsiljevalskim virusom WannaCry leta 2017, ki ga je Severna Koreja zanikala, potem ko so ZDA in Velika Britanija prst spet uperile vanjo. Odtlej je Severna Koreja vsako leto zaslužila več sto milijonov dolarjev s hekerskimi napadi, natančnejše ocene pa niso mogoče. Chinalysis je decembra lani ocenil, da so samo leta 2025 pridobili vsaj dve milijardi dolarjev, skupno pa vsaj 6,7 milijarde. Lani je bilo uradno zabeleženih in prijavljenih 158.000 vdorov v kriptodenarnice posameznikov. Večino denarja pa izsilijo v manjšem številu bistveno večjih vdorov v podjetja.
Najuspešnejši napad lanskega leta je prizadel kriptomenjalnico ByBit, od koder naj bi severnokorejski hekerji odnesli poldrugo milijardo dolarjev. Vsaj 300 milijonov dolarjev so tudi uspešno oprali, kar je njihova odlika.
Ob nakradenih milijardah dolarjev se zdi prav neverjetno, da se za nekaj velikostnih razredov manjše zneske Severni Korejci tudi zaposlujejo in opravljajo »pravo« delo. Težko bi sicer trdili, da hekerski napadi niso trdo delo, so pa zelo očitna kazniva dejanja in kraja. Drugače pa denar služijo od ameriških podjetij, pri katerih so severnokorejski operativci dejansko – zaposleni. Tu se zgodbi ponovno pridruži Christina Chapman, ki je bila zgolj kolesce v dobro naoljenem stroju.
Južnokorejska obveščevalna služba ocenjuje, da je imela severna soseda leta 2024 v svoji kibernetski službi vsaj 8.400 zaposlenih, ki na daljavo delajo za tuja podjetja, kradejo kriptovalute ali vdirajo v računalniške sisteme, odvisno od specializacije in nalog. Prva skupina svoje delo začne z življenjepisom. Popolnim življenjepisom.
Simon Wijckmans, ki je v Belgiji ustanovil podjetje za računalniško varnost C.side, je za Wired lani opisal svojo zgodbo. Na oglas za prosto delovno mesto programerja, ki bo delal na daljavo, je prejel več sto prijav, kar je neobičajno mnogo. Premnogo kandidatov z na videz ravno dovolj odličnimi življenjepisi, da niso bili sumljivi, je ustrezalo istemu vzorcu. Imeli so angleška imena in priimke, šolali so se na solidnih ameriških univerzah in nato nekaj let delali kot programerji, a na virtualnem razgovoru so pred Wijckmansom vsakokrat sedeli mladi azijski moški z močnim naglasom, s slabo internetno povezavo in truščem v ozadju. Bolj kot vsebina dela, možnost profesionalnega napredka in različne ugodnosti – od zdravstvenega zavarovanja do delniških opcij – jih je zanimala izključno plača. Wijckmans tedaj še ni vedel, da gre za dobro utečeno severnokorejsko operacijo.
Njen del je bila tudi Christina Chapman, ki je leta 2020 na LinkedIn prejela sporočilo, ki ji je uničilo življenje. Z njo je v stik stopilo tudi podjetje, ki je iskalo predstavnika oziroma obraz za svoje operacije v ZDA. Potrebovali so posrednika, ki bi njihovim strankam omogočal zaposlitev v ZDA, na kar je Christina Chapman pristala. Navsezadnje je tedaj živela v prikolici v Minnesoti, zato je nujno potrebovala denar. Dve leti pozneje se je preselila v hišo s štirimi spalnicami v Arizoni.
Njen prispevek k operaciji je bil ključen. Severnokorejski uslužbenci so znali programirati, pridobili so lažne identitete, z umetno inteligenco so se lahko dobro odrezali na razgovorih in rešili najtežje preizkuse, a manjkala jim je ključna prednost ameriških državljanov – lokalna prisotnost. Če bi se k svojemu delodajalcu povezovali iz tujine, bi bili nemudoma odkriti. Tudi plač niso mogli prejemati na tuje bančne račune, zato so potrebovali lokalno mulo. Christina Chapman jim je nudila lokalno prisotnost. V njenem domu so brneli prenosni računalniki, prek katerih so zaposleni opravljali delo za ameriške delodajalce, unovčevala je čeke z njihovo plačo in jih po odbitku provizije prenakazovala v tujino, prejemala je pošto in podpisovala dokumente.
Večina podjetij svojim zaposlenim pošlje prenosne računalnike, ki so končali prav v Arizoni. Severnokorejski prevaranti seveda niso registrirali svojega naslova pri Christini Chapman, temveč so si izmislili najrazličnejše scenarije, zakaj naj podjetje računalnik pošlje tja. Nekateri so se pravkar preselili, drugi so bili na dopustu, tretji so skrbeli za bolne sorodnike. Ko so bili računalniki enkrat v Arizoni, so večinoma tam tudi ostali, nanje pa je Christina Chapman namestila Anydesk za oddaljeni dostop. Nato je vdano skrbela za računalnike, sodelovala z IT-službo podjetij, po potrebi ponovno zaganjala računalnike in dajala vtis, da je na njenem koncu legitimen zaposleni. Čedalje pogosteje je morala podpisovati dokumente in celo dvigovati uradne dokumente, ob čemer ji je bilo izrazito neprijetno, a vse do 30-odstotni delež od posameznih nakazil je bil preveč mamljiv.
O življenju in delu teh kibernetskih vohunov iz prve ali druge roke ne moremo izvedeti veliko, so pa jim iz razumljivih razlogov ves čas za ovratnikom južnokorejski obveščevalci. Nekaj so povedali tudi prebežniki, denimo nekdanji član specialnih enot Hyun Seung Lee, ki je leta 2014 prebegnil in zdaj živi v ameriški prestolnici.
Nekateri zaposleni prek interneta delajo iz Pjongjanga, drugi v prijateljskih državah, kot so Rusija, Pakistan ali Kitajska. Za svoje delo so sicer solidno plačani, to pa je tudi ves luksuz, ki so ga deležni. Živijo v skupinah, od 10 do 20 v enem stanovanju, tako da jih v sobi spi tudi pet. Delajo do 14 ur dnevno, običajno ob nenavadnih urah, ki ustrezajo delovniku v časovnem pasu delodajalca. Stanovanj ne smejo zapuščati brez razloga, denimo le za nakup hrane, kamor jih gre vedno več skupaj le z dovoljenjem vodje. Prostora za raziskovanje ni, kaj šele za prebeg. V resnici je oznaka dvojno življenje napačna, saj gre za strogo nadzorovano enojno življenje, če mu sploh lahko rečemo življenje.
V domovini so njihove družine pod budnim nadzorom, za njihov prebeg pa bi bile hudo kaznovane. Kvote so stroge in takšna skupina letno zasluži tudi tri milijone dolarjev, ki jih seveda vestno pošlje v domovino. V primerjavi s stomilijonskimi vdori se zdi to malo, a takšnih ekip je mnogo, denar pa precej varnejši in čistejši. Pranje ni potrebno.
Zaposlene lahko glede na njihovo vlogo in staž razdelimo v dve skupini, pravi Adam Meyers iz Crowdstrika. Nekateri mesece in leta neopazno in prizadevno delajo, pogosto so to celo najproduktivnejši in najzvestejši zaposleni. Njihov cilj je zaslužiti čim več in to poslati domov. Druga skupina ima nevarnejše namene, saj želijo aktivno škodovati podjetjem. Tem zadostuje že nekaj dni, da bodisi skopirajo vse, do česar imajo dostop, bodisi v sistem podtaknejo škodljivo programsko opremo, ki se bo morda aktivirala šele čez mesece.
Podjetja se proti lažnim zaposlenim borijo na različne načine, a umetna inteligenca je hud nasprotnik. Orodja, kot sta Gemini in ChatGPT, dajejo uporabne in prepričljive odgovore brez opazne zakasnitve, Claude programira enako dobro kot povprečni programer, videofiltri in globoki ponaredki lahko ukanijo tudi na intervjujih v živo. Kot so nas prve navadile banke, da moramo ob videoklicu pokazati svoj osebni dokument iz več kotov in posneti tudi sebe, to počno tudi kadrovske službe. A prevaranti so ugotovili, da imajo lahko prazen zeleni kos plastike, pa bodo kot globoki ponaredek nanj projicirali podobo osebne izkaznice.
Spočetka so lažne zaposlene odkrivali po naključju. Bodisi so želeli na računalnik namestiti orodje za oddaljeni dostop – v resnici je to storila Christina Chapman ali kakšen enako misleči nadobudni poslovnež – bodisi so se izdali na kakšen bizaren način. Enemu izmed teh operativcev so drugi zaposleni za rojstni dan pripravili presenečenje, pa je zgolj nejeverno zrl vanje in momljal, da sploh nima rojstnega dne. Pozabil je, kaj je navedel v osebni dokumentaciji. V drugih primerih so opazili nenavadne zamike pri tipkanju (lag), ker so zaposleni v resnici na drugem koncu sveta, ali pa nenavadno angleščino in – paradoksalno – preveliko učinkovitost.
V zadnjih letih so se podjetja zavedela te nevarnosti in aktivno iščejo lažne zaposlene. Delo na daljavo je namreč velik razmah doživelo med pandemijo leta 2020, kar približno sovpada tudi s severnokorejskim angažmajem. Ameriški FBI, zunanje ministrstvo in finančno ministrstvo so že leta 2022 izdali 16 strani dolgo opozorilo, da se severnokorejski uslužbenci izdajajo za delavce iz Južne Koreje, Kitajske, Japonske, vzhodne Evrope in tudi ZDA. Opozorili so, da podjetja z njihovim zaposlovanjem, četudi to počno nevede, kršijo sankcije, hkrati pa se izpostavljajo tveganju. Odtlej so opozorilo vsako leto posodabljali.
In tveganje ni malo. Lanskega decembra je Amazon sporočil, da so v preteklih 18 mesecih zavrgli 1.800 prijav na delovna mesta, ki so jih najbrž poslali severnokorejski agentje. Vodja varnosti Stephen Schmidt je ocenil, da gre za naraščajoči trend, saj so samo v Amazonu v enem samem četrtletju beležili več kot 27-odstotni porast prijav iz Severne Koreje. Crowdstrike je v svojem poročilu v letu 2025 opazil 220-odstotno povečanje števila odkritih zaposlitev severnokorejskih operativcev.
V Amazonu prijave analizirajo z umetno inteligenco in dodatnim človeškim pregledom. V njih iščejo sumljive institucije, anomalije, nekonsistentnosti in druge znake, da gre za lažne življenjepise. Nekonsistentnosti so lahko že majhne neobičajnosti, kot je zapis domnevno ameriške telefonske številke s klicno številko +1 namesto zgolj 1, kot to počnejo Američani. Istovetnost bodočih zaposlenih preverjajo s podrobnimi pregledi njihove zgodovine (background check), poglobljenimi razgovori in z neodvisnim preverjanjem verodostojnosti predloženih izkazov, denimo diplom.
Prevaranti se seveda najraje prijavljajo na delovna mesta, ki so povezana z umetno inteligenco in s strojnim učenjem, ker je povpraševanja največ, plače pa najvišje. V rokavu imajo vedno nove trike, denimo vdiranje v dalj časa neaktivne račune na LinkedInu, ki jih lahko polikajo in uporabijo kot eno izmed referenc.
Njihova organiziranost se izboljšuje. Med glavnimi kolovodji je bil 29-letni Ukrajinec Oleksandr Didenko, ki so ga letos februarja obsodili na pet let zapora. Didenko je upravljal spletno stran Upworksell.com, na kateri so lahko tuji uporabniki preprosto kupili ameriške identitete. Stran je postavil leta 2021, delovala pa je kot posrednik med tujimi delavci in domačimi mulami, kakršna je bila Christina Chapman. Na sodišču so mu dokazali, da je upravljal vsaj 871 identitet in vsaj tri farme s prenosniki, kakršna je bila tista v Arizoni. Zaslužil je vsaj 1,4 milijona dolarjev, kar je moral vrniti.
Didenko ni živel v ZDA. Njegovo spletno stran so zasegli maja 2024, kasneje pa so ga aretirali na Poljskem in konec leta 2024 izročili ZDA. Na sojenju v Washingtonu se je izrekel za krivega, zato je prejel sorazmerno milo kazen. Podobnih primerov ne manjka. Lani junija so v ZDA v veliki operaciji blokirali 29 bančnih računov, zaprli 21 spletnih strani in zasegli 200 računalnikov, ki so jih uporabljali v teh prevarah. Izvedli so več kot 20 hišnih preiskav. Tudi v ZDA ne manjka mul, med katerimi Christina Chapman še zdaleč ni bila edina. Do danes so obsodili več kot deset posameznikov, ki so pomagali iz ZDA.
V prevarah pa so prizadeti tudi nič hudega sluteči državljani, ki imajo potem precej težav, ko morajo z davčno upravo in FBI razčistiti, kaj se je zgodilo. Plačo mora nekdo prejeti, za kar prevaranti ne morejo uporabiti lažnih, torej neobstoječih identitet. V ZDA je identiteto precej laže ukrasti kot v Evropi, ker je ključni podatek slabo varovana številka zdravstvenega zavarovanja (social security number), s katero je mogoče skleniti pogodbo o zaposlitvi in prejemati plačo! Vsaka kraja osebnih podatkov, ki so odtekli v kakšnem hekerskem napadu in so nato pristali na temnem spletu, je idealna priložnost za krajo identitet.
Problem lažno zaposlenih na daljavo je podoben globalnemu segrevanju, saj ima zelo jasen, enostaven, enodimenzionalni vzrok. Za podjetja delajo ljudje na daljavo, zato jih ni mogoče natančno preveriti. Rešitve pa so vse prej kot enostavne, ker je sodobno gospodarstvo življenjsko odvisno od poceni delovne sile, ki jo lahko zagotovijo le tuji sodelavci na daljavo. Dokler bo to tako, interes podjetij po zaposlovanju pa večji od tveganja in morebitne škode, podjetja ne bodo opustila tega modela dela. Vsakega izmed kandidatov in bodočih zaposlenih povabiti na razgovor v živo pa stane, in to ne malo.
Obližev obstaja več, nekaj jih je nanizal tudi FBI (v okvirju), vsem pa sta skupna nadzor in spremljanje zaposlenih, zlasti vsakršnih sumljivih podrobnosti. Seveda se lahko vprašamo, ali to vodi proti Velikemu bratu, kar nas je skrbelo ob različnih bizarnih orodjih za nadzor produktivnosti med covidom, denimo merjenje premikanja miške na daljavo. Odgovor je, da najbrž ne, ker je treba tudi za številna delovna mesta na lokaciji že danes razkriti marsikaj, od oddaje urina vpričo medicinske sestre zaradi testa na droge do fotografij svojega domovanja za oceno varnosti pri delu od doma. Nekoč je bilo nadzora pri nakazovanju denarja malo, danes pa v banki skorajda ne morete položiti večje količine gotovine ali je nakazati v kriptomenjalnico. Enako velja tudi za izplačilo plač in prenos denarja v tujino.
