עובד IT מצפון קוריאה הסתנן לסוכנות פדרלית אמריקאית ועבד בה חודשים, ה-FBI חושף

ה-FBI חשף שעובד IT מרוחק, שהזדהה בזהות בדויה אך פעל בפועל מטעם צפון קוריאה, הצליח לעבור תהליכי גיוס רגילים ולהתקבל למשרת IT מרוחקת בסוכנות פדרלית אמריקאית — שם עבד במשך מספר חודשים לפני שאותר. זה לא ניצול פגיעות טכנית אלא הונאת גיוס: איום שהופך רלוונטי יותר ויותר לכל ארגון שמעסיק עובדי IT ופיתוח בעבודה מרוחקת, ולא רק לגופים ממשלתיים.

הפרטים

הגילוי נחשף פומבית ב-28 ביולי 2026 בכנס בוושינגטון, כשTodd Hemmen, סגן מנהל מחלקת יכולות הסייבר של ה-FBI, מסר שהסוכנות זיהתה עובד IT מרוחק מצפון קוריאה שהצליח להתקבל למשרה בסוכנות פדרלית אמריקאית. ה-FBI לא חשף איזו סוכנות מדובר ולא מסר האם נחשף או נגנב מידע רגיש — רק שהעובד היה פעיל במשך מספר חודשים לפני שזוהה.

המקרה מצטרף למחקר משותף עדכני של חברות BCA LTD,‏ NorthScan ו-ANY.RUN, שגייסו במכוון מפתחים חשודים כמקושרים לקבוצת Lazarus הצפון קוריאנית כדי לתעד את שיטות הפעולה שלהם בסביבה מבוקרת. המחקר חשף שימוש בזהויות מזויפות ובמסמכי זיהוי ערוכים בעזרת AI, כלי גישה מרחוק, ותשתית VPN/VPS ייעודית — ולעיתים גם סימנים בראיון הגיוס עצמו, כמו תלות בכלי תרגום ותשובות מושהות שמרמזים שמישהו אחר מסייע מאחורי הקלעים.

נקודות לשים לב

אם אתם מעסיקים עובדי IT או פיתוח בעבודה מרוחקת — אמתו זהות לעומק ולא רק מסמך זיהוי בודד: בדקו התאמה בין כתובת מגורים, פרטי תשלום והיסטוריית תעסוקה מוצהרת.
שימו לב לסימני אזהרה בראיונות וידאו מרחוק: מבטים חוזרים הצידה, תלות בכלי תרגום או AI, ותשובות מושהות במיוחד — יכולים להעיד שמישהו אחר מסייע או מבצע את הראיון בפועל.
הגבילו הרשאות גישה בהדרגה לעובדים חדשים בתפקידים רגישים (קוד מקור, תשתית ענן, מערכות פיננסיות) עד לאימות זהות מלא, גם אחרי תחילת העבודה בפועל.
בדקו התאמה בין מיקום הרשת בפועל למיקום המוצהר של העובד — שימוש עקבי בתשתית VPN/VPS יכול להעיד על הסוואת מיקום אמיתי.
אל תסיקו שהתופעה מוגבלת לגופים ממשלתיים בלבד — המניע הכלכלי, ולעיתים גם הרצון בגישה למידע, הופכים כל ארגון שמעסיק פרילנסרים או עובדים מרוחקים בתפקידי IT ליעד פוטנציאלי.

מקורות: The Hacker News · Federal News Network